🇰🇷 한글 설명
Autel Maxi Charger의 V1.03.51 이하 펌웨어 버전에서 OCPP GetDiagnostics 요청을 처리할 때 OS 명령 주입 취약점이 발생합니다. 악의적이거나 탈취된 OCPP 서버가 조작된 진단 URL을 전송할 경우, 충전 스테이션에서 임의의 명령이 실행될 수 있습니다.
💡 쉬운 설명
충전기 관리 서버가 가짜 명령이 담긴 주소를 보내면 충전기가 이를 그대로 실행해버리는 보안 결함입니다. 해커가 이 통로를 이용하면 충전기 제어권을 완전히 빼앗을 수 있습니다.
🇺🇸 원문 (English)
Autel Maxi Charger Single firmware through V1.03.51 is vulnerable to OS command injection when processing OCPP GetDiagnostics requests. A malicious or compromised OCPP server can supply a crafted diagnostics URL that results in arbitrary command execution on the charging station.
📍 영향받는 시스템
Autel Maxi Charger (Firmware V1.03.51 및 그 이하 버전)
⚔️ 공격 벡터
조작된 진단 URL을 포함한 OCPP GetDiagnostics 요청을 통한 원격 명령 주입
🛡️ 대응 방법
최신 보안 패치가 적용된 펌웨어 버전으로 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 범위(V1.03.51 이하)가 나타나면 보안 업데이트가 필요합니다.
curl -s http://[CHARGER_IP]/api/version | grep -E 'v1\.[0-3]\.[0-5][0-9]'