CVE-2026-8989
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Oprogramowanie sprzętowe Autel Maxi Charger Single do wersji V1.03.51 umożliwia nieograniczony dostęp do trybu odzyskiwania NXP i.MX6 przez odsłonięte fizyczne piny. Atakujący z dostępem fizycznym może uruchomić dowolny kod w pamięci oraz modyfikować lub wyodrębniać oprogramowanie i inne wrażliwe dane.
Ocena ryzyka
Ryzyko całkowitego przejęcia urządzenia, kradzieży poufnych danych i modyfikacji oprogramowania przez osobę z dostępem fizycznym.
Rekomendacja
Zabezpiecz fizycznie urządzenia Autel Maxi Charger Single i zaktualizuj oprogramowanie do najnowszej wersji, jeśli dostępna.
Inne podatności w Autel Maxi Charger Single
Zobacz wszystkie- CVE-2026-8986Krytyczne
Oprogramowanie sprzętowe Autel Maxi Charger Single do wersji V1.03.51 jest podatne na wstrzykiwanie poleceń systemu operacyjnego podczas przetwarzania żądań OCPP GetDiagnostics. Złośliwy lub skompromitowany serwer OCPP może dostarczyć spreparowany URL diagnostyczny, co prowadzi do wykonania dowolnych poleceń na stacji ładowania.
- CVE-2026-8985Krytyczne
Oprogramowanie sprzętowe Autel Maxi Charger Single do wersji V1.03.51 jest podatne na wstrzykiwanie poleceń systemu operacyjnego przez endpoint /test na porcie TCP 9002. Nieuwierzytelniony atakujący może wysłać spreparowane dane w parametrze url, aby wykonać dowolne polecenia systemowe.
- CVE-2026-8988Średnie
W oprogramowaniu sprzętowym Autel Maxi Charger Single do wersji V1.03.51, dostępny interfejs UART umożliwia przerwanie procesu uruchamiania i dostęp do bootloadera U-Boot. Atakujący z fizycznym dostępem może zmodyfikować konfigurację rozruchu lub system plików, aby uzyskać dostęp do systemu operacyjnego.
- CVE-2026-8987Wysokie
Oprogramowanie sprzętowe Autel Maxi Charger Single do wersji V1.03.51 zawiera przepełnienie bufora sterty w komendzie set_ap_param obsługiwanej przez endpoint /localcfg. Uwierzytelniony atakujący może dostarczyć zbyt duże dane wejściowe, co prowadzi do odmowy usługi i potencjalnie do wykonania dowolnego kodu.
- CVE-2026-8982Wysokie
Dwa nieudokumentowane konta uprzywilejowane istnieją w oprogramowaniu sprzętowym Autel Maxi Charger Single do wersji V1.03.51. Konta używają mechanizmów wyprowadzania haseł zdefiniowanych przez producenta, opartych na wartościach specyficznych dla urządzenia, co pozwala atakującemu znającemu algorytm i wymagane dane wejściowe na uwierzytelnienie w interfejsie zarządzania siecią z uprawnieniami administracyjnymi.
Oryginalny opis (angielski, źródło NVD)
Autel Maxi Charger Single firmware through V1.03.51 permits unrestricted access to the NXP i.MX6 recovery mode through exposed hardware recovery pins. An attacker with physical access can boot attacker-controlled code in memory and modify or extract firmware and other sensitive data.