CVE-2026-8988
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W oprogramowaniu sprzętowym Autel Maxi Charger Single do wersji V1.03.51, dostępny interfejs UART umożliwia przerwanie procesu uruchamiania i dostęp do bootloadera U-Boot. Atakujący z fizycznym dostępem może zmodyfikować konfigurację rozruchu lub system plików, aby uzyskać dostęp do systemu operacyjnego.
Ocena ryzyka
Osoba z fizycznym dostępem do urządzenia może przejąć nad nim pełną kontrolę, zmieniając oprogramowanie lub konfigurację.
Rekomendacja
Zaktualizuj oprogramowanie sprzętowe do najnowszej wersji i zabezpiecz fizyczny dostęp do urządzenia.
Inne podatności w Autel Maxi Charger Single
Zobacz wszystkie- CVE-2026-8986Krytyczne
Oprogramowanie sprzętowe Autel Maxi Charger Single do wersji V1.03.51 jest podatne na wstrzykiwanie poleceń systemu operacyjnego podczas przetwarzania żądań OCPP GetDiagnostics. Złośliwy lub skompromitowany serwer OCPP może dostarczyć spreparowany URL diagnostyczny, co prowadzi do wykonania dowolnych poleceń na stacji ładowania.
- CVE-2026-8985Krytyczne
Oprogramowanie sprzętowe Autel Maxi Charger Single do wersji V1.03.51 jest podatne na wstrzykiwanie poleceń systemu operacyjnego przez endpoint /test na porcie TCP 9002. Nieuwierzytelniony atakujący może wysłać spreparowane dane w parametrze url, aby wykonać dowolne polecenia systemowe.
- CVE-2026-8989Średnie
Oprogramowanie sprzętowe Autel Maxi Charger Single do wersji V1.03.51 umożliwia nieograniczony dostęp do trybu odzyskiwania NXP i.MX6 przez odsłonięte fizyczne piny. Atakujący z dostępem fizycznym może uruchomić dowolny kod w pamięci oraz modyfikować lub wyodrębniać oprogramowanie i inne wrażliwe dane.
- CVE-2026-8987Wysokie
Oprogramowanie sprzętowe Autel Maxi Charger Single do wersji V1.03.51 zawiera przepełnienie bufora sterty w komendzie set_ap_param obsługiwanej przez endpoint /localcfg. Uwierzytelniony atakujący może dostarczyć zbyt duże dane wejściowe, co prowadzi do odmowy usługi i potencjalnie do wykonania dowolnego kodu.
- CVE-2026-8982Wysokie
Dwa nieudokumentowane konta uprzywilejowane istnieją w oprogramowaniu sprzętowym Autel Maxi Charger Single do wersji V1.03.51. Konta używają mechanizmów wyprowadzania haseł zdefiniowanych przez producenta, opartych na wartościach specyficznych dla urządzenia, co pozwala atakującemu znającemu algorytm i wymagane dane wejściowe na uwierzytelnienie w interfejsie zarządzania siecią z uprawnieniami administracyjnymi.
Oryginalny opis (angielski, źródło NVD)
Autel Maxi Charger Single firmware through V1.03.51 exposes an accessible UART interface that permits interruption of the boot process and access to the U-Boot bootloader. An attacker with physical access can modify the boot configuration or file system to obtain operating system access.