Mobility46 mobility46.se Falta de Autenticación para Función Crítica

Un atacante puede aprovechar esta vulnerabilidad conectándose al endpoint WebSocket OCPP utilizando un identificador de estación de carga conocido o descubierto. Al no requerirse autenticación, el atacante puede emitir o recibir comandos OCPP como si fuera una estación de carga legítima. Esto permite la manipulación de datos de carga, la alteración de los precios de la energía, e incluso el control completo de la estación de carga. La falta de autenticación abre la puerta a ataques de denegación de servicio (DoS) al sobrecargar el sistema con comandos maliciosos, o a la exfiltración de información sensible almacenada en el backend. La severidad crítica de esta vulnerabilidad se debe a la facilidad de explotación y el potencial impacto en la integridad y disponibilidad de la infraestructura de carga.

Organizations deploying Mobility46 OCPP WebSocket Service in charging infrastructure are at risk. This includes electric vehicle charging station operators, energy providers, and businesses with private charging networks. Shared hosting environments where multiple organizations share the same server infrastructure are particularly vulnerable, as a compromise of one tenant could potentially impact others.

• nodejs / server:

  lsof -i :9000  # Check for connections to the OCPP WebSocket port (adjust port as needed)
  netstat -an | grep :9000 # Alternative to lsof

• generic web:

  curl -I https://<your_ocpp_server>/ocpp/v1.6/ws  # Check for WebSocket endpoint exposure
  grep -r "ocpp/v1.6/ws" /var/log/nginx/access.log # Look for requests to the WebSocket endpoint in access logs

1. 2026-02-27Disclosure

   disclosure

1. Reservado2026-02-24
2. Publicada2026-02-27
3. Modificada2026-04-08
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar a una versión corregida del Mobility46 OCPP WebSocket Service. Si la actualización no es posible de inmediato, se recomienda implementar medidas de seguridad adicionales. Se debe configurar un firewall para restringir el acceso al endpoint WebSocket solo a fuentes confiables. Implementar autenticación robusta en el endpoint WebSocket, como la validación de certificados o el uso de tokens de acceso, es crucial. Monitorear los logs del servicio OCPP en busca de conexiones no autorizadas o comandos sospechosos. Considerar el uso de un proxy inverso o WAF (Web Application Firewall) para inspeccionar el tráfico y bloquear solicitudes maliciosas. Después de la actualización, confirmar la correcta implementación de la autenticación revisando los logs del servicio OCPP y verificando que solo las estaciones de carga autorizadas puedan conectarse.