EVerest: MQTT स्विच-फेज़ कमांड डेटा रेस के कारण चार्जर की स्थिति में खराबी

Everest Core में CVE-2026-33009 भेद्यता एक डेटा रेस कंडीशन प्रस्तुत करती है, जिससे C++ अपरिभाषित व्यवहार (UB) हो सकता है, जिससे संभावित रूप से मेमोरी करप्शन हो सकता है। यह भेद्यता तब ट्रिगर होती है जब चार्जर सक्रिय रूप से चार्ज कर रहा हो तो everestexternal/nodered/{connector}/cmd/switchthreephaseswhilecharging पर एक MQTT संदेश भेजा जाता है। Charger::sharedcontext और internal_context तक समवर्ती पहुंच के लिए उचित लॉकिंग तंत्र की कमी के कारण, कई थ्रेड इन संसाधनों तक एक साथ पहुंच और संशोधित कर सकते हैं, जिससे डेटा असंगतता और सिस्टम के अप्रत्याशित व्यवहार हो सकता है। इस भेद्यता की गंभीरता इसके संभावित कारण से उत्पन्न होती है जिससे इलेक्ट्रिक वाहन चार्जिंग इंफ्रास्ट्रक्चर की अखंडता और सुरक्षा से समझौता हो सकता है।

Organizations deploying everest-core for EV charging infrastructure are at risk, particularly those using versions prior to 2026.02.0. Systems relying on MQTT for control and monitoring of charging stations are especially vulnerable. Shared hosting environments or deployments with limited security controls may face a higher risk of exploitation.

1. 2026-03-26Disclosure

   disclosure

1. आरक्षित2026-03-17
2. प्रकाशित2026-03-26
3. संशोधित2026-03-28
4. EPSS अद्यतन2026-04-03

CVE-2026-33009 के लिए अनुशंसित शमन Everest Core के संस्करण 2026.02.0 या बाद में अपग्रेड करना है। इस संस्करण में एक पैच शामिल है जो Charger::sharedcontext और internalcontext तक पहुंच के लिए उचित लॉकिंग लागू करता है, जिससे डेटा रेस कंडीशन समाप्त हो जाती है। प्रभावित उपयोगकर्ताओं को संभावित शोषण से अपने इलेक्ट्रिक वाहन चार्जिंग सिस्टम की रक्षा करने के लिए जल्द से जल्द इस अपडेट को लागू करने की दृढ़ता से सलाह दी जाती है। इसके अतिरिक्त, अपडेट लागू करने से पहले निर्दिष्ट पथ पर MQTT संदेशों से संबंधित सिस्टम लॉग में किसी भी असामान्य गतिविधि की निगरानी करने की सिफारिश की जाती है ताकि संभावित शोषण प्रयासों का पता लगाया जा सके।