Podatność typu Insufficient Session Expiration w serwerze webowym stacji ładowania Schneider Electric EVlink umożliwia atakującemu utrzymanie przejętej sesji nawet po zmianie hasła przez prawowitego użytkownika. Brak skutecznego unieważniania sesji po zmianie poświadczeń stwarza poważne ryzyko nieautoryzowanego dostępu do infrastruktury ładowania pojazdów elektrycznych.
▸ Pokaż oryginał (EN)
A CWE-614 Insufficient Session Expiration vulnerability exists that could allow an attacker to maintain an unauthorized access over a hijacked session to the charger station web server even after the legitimate user account holder has changed his password. Affected Products: EVlink City EVC1S22P4 / EVC1S7P4 (All versions prior to R8 V3.4.0.2 ), EVlink Parking EVW2 / EVF2 / EVP2PE (All versions prior to R8 V3.4.0.2), and EVlink Smart Wallbox EVB1A (All versions prior to R8 V3.4.0.2)
Podatność polega na tym, że serwer webowy stacji ładowania nie unieważnia aktywnych tokenów/sesji po zmianie hasła przez właściciela konta. Atakujący, który wcześniej przechwycił identyfikator sesji (np. metodą session hijacking), może kontynuować korzystanie z przejętej sesji bez przeszkód. Nawet podjęta przez użytkownika próba zabezpieczenia konta poprzez zmianę hasła nie powoduje zakończenia nieautoryzowanej sesji, co oznacza trwały dostęp do panelu webowego stacji.
Atakujący może utrzymywać nieautoryzowany dostęp do panelu administracyjnego stacji ładowania, potencjalnie manipulując jej konfiguracją, zakłócając działanie usługi ładowania lub uzyskując dostęp do wrażliwych danych zgromadzonych w systemie.
Należy zaktualizować oprogramowanie układowe do wersji R8 V3.4.0.2 lub nowszej, zgodnie z zaleceniami producenta opublikowanymi w biuletynie SEVD-2021-348-02 dostępnym na stronie Schneider Electric.
Schneider Electric EVlink City EVC1S22P4 / EVC1S7P4 (wszystkie wersje przed R8 V3.4.0.2), EVlink Parking EVW2 / EVF2 / EVP2PE (wszystkie wersje przed R8 V3.4.0.2), EVlink Smart Wallbox EVB1A (wszystkie wersje przed R8 V3.4.0.2)
Pomimo że metadane wskazują CWE-613 (Insufficient Session Expiration), opis EN powołuje się na CWE-614 (Insufficient Session Expiration — brak flagi Secure na cookie). Podatność dotyczy infrastruktury krytycznej (stacje ładowania pojazdów elektrycznych). Biuletyn producenta: SEVD-2021-348-02.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HSchneider Electric Evlink City Evc1s22p4
HWSchneider-Electricwszystkie wersjeSchneider Electric Evlink City Evc1s22p4 Firmware
OSSchneider-Electric< 3.4.0.2Schneider Electric Evlink City Evc1s7p4
HWSchneider-Electricwszystkie wersjeSchneider Electric Evlink City Evc1s7p4 Firmware
OSSchneider-Electric< 3.4.0.2Schneider Electric Evlink Parking Evf2
HWSchneider-Electricwszystkie wersjeSchneider Electric Evlink Parking Evf2 Firmware
OSSchneider-Electric< 3.4.0.2Schneider Electric Evlink Parking Evp2pe
HWSchneider-Electricwszystkie wersjeSchneider Electric Evlink Parking Evp2pe Firmware
OSSchneider-Electric< 3.4.0.2Schneider Electric Evlink Parking Evw2
HWSchneider-Electricwszystkie wersjeSchneider Electric Evlink Parking Evw2 Firmware
OSSchneider-Electric< 3.4.0.2Schneider Electric Evlink Smart Wallbox Evb1a
HWSchneider-Electricwszystkie wersjeSchneider Electric Evlink Smart Wallbox Evb1a Firmware
OSSchneider-Electric< 3.4.0.2
Powiązane podatności
Hardkodowane hasło w ładowarkach EVlink Schneider Electric
Zakodowane na stałe hasła w stacjach ładowania Schneider Electric EVlink
Zakodowane na stałe dane uwierzytelniające w stacjach ładowania Schneider Electric EVlink
Niewystarczająca entropia w stacjach ładowania EVlink Schneider Electric
A CWE-307 Improper Restriction of Excessive Authentication Attempts vulnerability exists that could allow an a...