Etrel INCHに初期認証情報の脆弱性、修正版あり
EV充電器Etrel INCHの管理画面に、出荷時の初期アカウントで管理者権限を得られる脆弱性が見つかりました。充電設備を運用する企業や施設は、版を確認して修正版へ更新してください。
急ぎ度: 早めに
CVSS v3は9.8で認証なしにネットワークから管理者権限を得られますが、KEVへの登録は確認されておらず、修正版7.1.2と8.0.1が公開されています。
関係があるか
Etrel INCH AC充電ステーションを自社の駐車場や施設に設置している企業、充電サービス事業者、管理会社が対象です。管理画面がネットワークから到達できる状態にあるほど危険が高くなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Etrel INCH AC充電ステーション(管理用Webインターフェース、ファームウェア) | 7.1.2より前の版、および8.0.0 | 7.1.2、8.0.1 |
確かめ方
- 1充電器の管理画面または管理ツールで、現在のファームウェアの版を確認します。7.1.2未満、または8.0.0であれば対象です。
- 2設置台数と版を一覧にし、運用委託先や設置業者が管理している機器も含めて洗い出します。
- 3管理画面にインターネットや社外のネットワークから到達できるか、ファイアウォールやルーターの設定で確認します。
- 4Etrelのファームウェア告知ページで、自社機種の修正版と更新手順を確認します。
何が起きたか
Etrel INCH AC充電ステーションの管理用Webインターフェースに、出荷時の初期アカウントが固定で残っている脆弱性が公表されました。初期アカウントを知っている相手は、充電器の管理者として操作できてしまいます。
管理者になると、充電器の設定一式のほか、OCPPのChargePoint Identityや、CSMSへのWebSocket接続情報を取得できます。これらを使って、充電器を不正に管理下に置けるおそれがあります。管理画面には暗号化されないHTTPでもログインできる点も、公表内容に含まれています。
公表は2026年11月3日です。ベンダーは7.1.2と8.0.1で修正しています。
攻撃の流れ
-
1
管理画面へ到達
ネットワーク経由で充電器の管理用Webインターフェースにつながります。
-
2
初期アカウントで認証
出荷時から変更できない初期アカウントでログインします。
-
3
管理者権限を取得
充電器の設定一式と、CSMSへの接続情報を読み出します。
-
4
充電器を不正操作
設定の変更や、管理システムへの不正な接続につなげます。
どう悪用されるか
認証は不要で、利用者の操作も要りません。管理画面にネットワーク経由でつながれる相手が、初期アカウントでログインするだけで管理者権限を得られます。ログインは暗号化されないHTTPでも通るため、通信経路上でも情報を取られる余地があります。
被害は、充電器の設定の閲覧と変更、ChargePoint Identityの流出、CSMSとの接続情報の流出です。CVSSの評価では、機密性・完全性・可用性のすべてに高い影響が付いています。充電の停止や設定の書き換えのほか、管理システムとの連携に使う情報が外に出る点が、運用側にとっての実害です。
今すぐやること
-
1
対象機器と版を洗い出す
設置している全台のファームウェアの版を確認し、7.1.2未満または8.0.0の機器を一覧にします。委託先が管理する機器も含めます。
-
2
修正版へ更新する
7.1.2系は7.1.2へ、8.0系は8.0.1へ更新します。手順と対応機種はベンダーのファームウェア告知で確認してください。
-
3
管理画面の公開範囲を絞る
更新前でも、管理画面を社外やインターネットから到達できない状態にします。管理用ネットワークを分け、接続元を限ります。
-
4
接続情報の入れ替えを検討する
更新前に外部から到達できた機器は、すでに設定や接続情報が読まれた可能性があります。CSMS側の認証情報やChargePoint Identityの扱いを、運用ベンダーと相談して見直します。
-
5
不審な操作の跡を調べる
管理画面へのアクセスログ、設定の変更履歴、CSMS側の接続ログに、心当たりのない操作がないか確認します。
すぐ更新できないとき
すぐに更新できないときは、管理画面への通信をファイアウォールで遮断し、管理用の端末や拠点からだけ許可します。インターネットへ直接公開している場合は、最優先で止めてください。HTTPでのログインが避けられないなら、VPNなど暗号化された経路の内側に限ります。
背景
EV充電器は、駐車場や商業施設、社用車の充電設備として置かれ、電力と課金に関わる機器です。OCPPは充電器と管理システム（CSMS）をつなぐ通信の規格で、充電の開始や停止、設定変更、利用記録のやり取りがここを通ります。管理画面を握られると、この連携の入口まで触られることになります。
今回の原因は、製品に固定の初期アカウントが残っていたことです。CWE-1392は、初期認証情報の利用を指します。ネットワークにつながる機器では、出荷時のアカウントがそのまま使える状態が、ルーターやカメラなどでも長く問題になってきました。充電器は屋外や共用部に置かれ、設置後は担当者の目が届きにくいため、版の把握が抜けやすい機器でもあります。
よくある質問
Q.管理画面にパスワードを設定していれば影響はありませんか。
Q.充電器を利用するドライバーにも影響はありますか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは、公表時点で確認されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Etrel d.o.o. | Etrel INCH |
7.1.2 未満 8.0.0 以上 8.0.1 未満 |
7.1.2 8.0.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Etrel INCH AC charging station management web interface prior to firmware versions 7.1.2 and 8.0.1 contains a hard-coded default credentials vulnerability that allows remote attackers to gain full Administrator access by authenticating with the factory-default account. Attackers can log in over cleartext HTTP to obtain complete charger configuration, OCPP ChargePoint Identity, and CSMS WebSocket connection details, enabling unauthorized administrative control of the charging station.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web etrel.atlassian.net
- web disclosure@vulncheck.com
- web vulncheck.com
- web nvd.nist.gov
- web etrel.com
- web github.com