BDU:2025-10406 (CVE-2025-24004) — уязвимость функции Eichrecht() микропрограммного обеспечения модульных контроллеров зарядки переменного тока
По данным БДУ ФСТЭК России, по состоянию на 29.08.2025.
Средний — 5.2/10 Нет исправления
Уязвимость функции Eichrecht() микропрограммного обеспечения модульных контроллеров зарядки переменного тока для зарядных станций и настенных зарядных устройств Phoenix Contact CHARX SEC-3000, CHARX SEC-3050, CHARX SEC-3100 и CHARX SEC-3150 связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю оказать влияние на целостность данных и вызвать отказ в обслуживании с помощью USB-C
Кого касается и что делать
- Уязвимое ПО: CHARX SEC-3000 (Phoenix Contact GmbH & Co. KG) — версии до 1.6.5 включительно; CHARX SEC-3050 (Phoenix Contact GmbH & Co. KG) — версии до 1.6.5 включительно; CHARX SEC-3100 (Phoenix Contact GmbH & Co. KG) — версии до 1.6.5 включительно; и ещё 1 позиция
- Что делать: применить компенсирующие меры (см. раздел мер ниже)
Сведения об уязвимости
| Идентификаторы | BDU:2025-10406 · CVE-2025-24004 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 5.2; CVSS 2.0 — 5.6) |
| Вектор CVSS 3.1 | AV:P/ нужен физический доступ, низкая сложность, без прав, без участия пользователя, высокое влияние на целостность, ограниченное влияние на доступность |
| Наименование ФСТЭК | Уязвимость функции Eichrecht() микропрограммного обеспечения модульных контроллеров зарядки переменного тока для зарядных станций и настенных зарядных устройств Phoenix Contact CHARX SEC-3000, CHARX SEC-3050, CHARX SEC-3100 и CHARX SEC-3150, позволяющая нарушителю оказать влияние на целостность данных и вызвать отказ в обслуживании |
| Даты | Опубликована: 29.08.2025 · Обновлена ФСТЭК: 29.08.2025 · Выявлена: 08.07.2025 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Информация об устранении отсутствует (готового исправления на момент публикации нет) |
| Тип ошибки | CWE-120 — копирование буфера без проверки размера входных данных (классическое переполнение буфера) |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование структурами данных |
Уязвимое ПО
- CHARX SEC-3000 (Phoenix Contact GmbH & Co. KG) — до 1.6.5 включительно · ПО сетевого программно-аппаратного средства, микропрограммный код
- CHARX SEC-3050 (Phoenix Contact GmbH & Co. KG) — до 1.6.5 включительно · ПО сетевого программно-аппаратного средства, микропрограммный код
- CHARX SEC-3100 (Phoenix Contact GmbH & Co. KG) — до 1.6.5 включительно · ПО сетевого программно-аппаратного средства, микропрограммный код
- CHARX SEC-3150 (Phoenix Contact GmbH & Co. KG) — до 1.6.5 включительно · ПО сетевого программно-аппаратного средства, микропрограммный код
Возможные меры по устранению уязвимости
Если обновиться нельзя
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к устройствам
- ограничение доступа из внешних сетей (Интернет)
- отключение/ограничение функции удаленного управления для предотвращения попыток эксплуатации уязвимости (например, запрет использования незащищенных протоколов, таких как HTTP или Telnet)
- соблюдение парольной политики принятой для организации доступа к устройству
- сегментирование сети для ограничения доступа к уязвимому устройству
- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
