CVE-2026-8984

Usługa nasłuchująca na porcie TCP 9002 udostępnia endpoint /test, który nie wymaga żadnego uwierzytelnienia. Atakujący może wysłać odpowiednio spreparowane żądanie do tego endpointu, w wyniku czego urządzenie pobiera zewnętrzne pliki kontrolowane przez napastnika, rozpakowuje je, a następnie automatycznie wykonuje ich zawartość. Cały proces odbywa się w kontekście konta root, co oznacza nieograniczony dostęp do systemu operacyjnego urządzenia.

Atakujący uzyskuje pełną kontrolę nad urządzeniem z uprawnieniami root, co umożliwia m.in. instalację złośliwego oprogramowania, modyfikację konfiguracji ładowarki, zakłócenie jej działania oraz potencjalne wykorzystanie urządzenia jako punktu wejścia do sieci lokalnej.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się izolację urządzeń od sieci publicznej oraz ograniczenie dostępu do portu TCP 9002 na poziomie firewall, tak aby był dostępny wyłącznie z zaufanych segmentów sieci.

Autel Maxi Charger Single z firmware w wersji V1.03.51 i wcześniejszych

Szczegóły techniczne podatności zostały opublikowane przez badaczy z CyberDanube Security Research pod adresem: https://cyberdanube.com/security-research/multiple-vulnerabilities-in-autel-maxi-charger/ — wskazuje to na istnienie publicznego opracowania technicznego (write-up), co może ułatwić opracowanie exploitu.