EVerest: MQTT Switch-Phasesコマンドのデータ競合による充電器の状態の破損

Everest CoreのCVE-2026-33009脆弱性は、データレース条件を引き起こし、C++の未定義動作(UB)につながる可能性があります。その結果、メモリが破損する可能性があります。この脆弱性は、充電器がアクティブに充電している間に、everestexternal/nodered/{connector}/cmd/switchthreephaseswhilechargingへのMQTTメッセージによってトリガーされます。Charger::sharedcontextおよびinternal_contextへの同時アクセスを保護する適切なロックメカニズムがないため、複数のスレッドがこれらのリソースに同時にアクセスして変更することができ、データの一貫性の喪失やシステムの予測不能な動作につながる可能性があります。この脆弱性の重大度は、EV充電インフラストラクチャの整合性とセキュリティを損なう可能性があることに由来します。

Organizations deploying everest-core for EV charging infrastructure are at risk, particularly those using versions prior to 2026.02.0. Systems relying on MQTT for control and monitoring of charging stations are especially vulnerable. Shared hosting environments or deployments with limited security controls may face a higher risk of exploitation.

1. 2026-03-26Disclosure

   disclosure

1. 予約済み2026-03-17
2. 公開日2026-03-26
3. 更新日2026-03-28
4. EPSS 更新日2026-04-03

CVE-2026-33009の軽減策として推奨されるのは、Everest Coreをバージョン2026.02.0以降にアップグレードすることです。このバージョンには、Charger::sharedcontextおよびinternalcontextへのアクセスに適切なロックを実装するパッチが含まれており、データレース条件を解消します。影響を受けるユーザーは、潜在的な攻撃からEV充電システムを保護するために、できるだけ早くこのアップデートを適用することを強くお勧めします。さらに、アップデートを適用する前に、指定されたパス上のMQTTメッセージに関連するシステムログに異常なアクティビティがないか監視することが推奨されます。