CVE-2021-22730

Zakodowane na stałe hasła w stacjach ładowania Schneider Electric EVlink

CVSS 9.8v3.1pub. 2021-07-21upd. 2024-11-21

Podatność w oprogramowaniu stacji ładowania Schneider Electric EVlink polega na zastosowaniu zakodowanych na stałe poświadczeń (hard-coded credentials). Umożliwia to atakującemu uzyskanie nieautoryzowanego dostępu administracyjnego do serwera webowego stacji ładowania bez posiadania jakichkolwiek uprawnień.

▸ Pokaż oryginał (EN)

A CWE-798: Use of Hard-coded Credentials vulnerability exists in EVlink City (EVC1S22P4 / EVC1S7P4 all versions prior to R8 V3.4.0.1), EVlink Parking (EVW2 / EVF2 / EV.2 all versions prior to R8 V3.4.0.1), and EVlink Smart Wallbox (EVB1A all versions prior to R8 V3.4.0.1 ) that could an attacker to gain unauthorized administrative privileges when accessing to the charging station web server.

🤖 Analiza AI

Jak działa

Oprogramowanie urządzeń EVlink zawiera wbudowane na stałe dane uwierzytelniające (CWE-798), które nie mogą być zmienione przez użytkownika w standardowy sposób. Atakujący znający te poświadczenia może uwierzytelnić się w interfejsie webowym stacji ładowania i uzyskać pełne uprawnienia administracyjne. Atak nie wymaga wcześniejszej autoryzacji, interakcji użytkownika ani szczególnych warunków sieciowych — wystarczy dostęp sieciowy do interfejsu webowego urządzenia.

Skutki

Atakujący może uzyskać nieautoryzowany pełny dostęp administracyjny do stacji ładowania, co może skutkować przejęciem kontroli nad urządzeniem, manipulacją jego konfiguracją, zakłóceniem procesu ładowania pojazdów elektrycznych, a także potencjalnym naruszeniem poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować firmware urządzeń do wersji R8 V3.4.0.1 lub nowszej. Szczegółowe instrukcje dostępne są w biuletynie bezpieczeństwa Schneider Electric SEVD-2021-194-06. Dodatkowo zaleca się ograniczenie dostępu sieciowego do interfejsów webowych stacji ładowania poprzez segmentację sieci i stosowanie firewalli.

Kogo dotyczy

EVlink City (EVC1S22P4 / EVC1S7P4) — wszystkie wersje firmware przed R8 V3.4.0.1; EVlink Parking (EVW2 / EVF2 / EV.2) — wszystkie wersje firmware przed R8 V3.4.0.1; EVlink Smart Wallbox (EVB1A) — wszystkie wersje firmware przed R8 V3.4.0.1

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Schneider Electric Evlink City Evc1s22p4
HW
Schneider-Electric
wszystkie wersje
Schneider Electric Evlink City Evc1s22p4 Firmware
OS
Schneider-Electric
< r8_v3.4.0.1
Schneider Electric Evlink City Evc1s7p4
HW
Schneider-Electric
wszystkie wersje
Schneider Electric Evlink City Evc1s7p4 Firmware
OS
Schneider-Electric
< r8_v3.4.0.1
Schneider Electric Evlink Parking Ev.2
HW
Schneider-Electric
wszystkie wersje
Schneider Electric Evlink Parking Ev.2 Firmware
OS
Schneider-Electric
< r8_v3.4.0.1
Schneider Electric Evlink Parking Evf2
HW
Schneider-Electric
wszystkie wersje
Schneider Electric Evlink Parking Evf2 Firmware
OS
Schneider-Electric
< r8_v3.4.0.1
Schneider Electric Evlink Parking Evw2
HW
Schneider-Electric
wszystkie wersje
Schneider Electric Evlink Parking Evw2 Firmware
OS
Schneider-Electric
< r8_v3.4.0.1
Schneider Electric Evlink Smart Wallbox Evb1a
HW
Schneider-Electric
wszystkie wersje
Schneider Electric Evlink Smart Wallbox Evb1a Firmware
OS
Schneider-Electric
< r8_v3.4.0.1