Heap overflow USB su caricabatterie Autel EV: esecuzione codice senza

Nota metodologica: Questo articolo si basa esclusivamente sull'advisory ZDI-26-436, fonte primaria strutturata pubblicata il 15 luglio 2026. Il record CVE-2026-13307 risulta in stato "reserved" su CVE.org con dettagli non ancora popolati dalla CNA.

Il 15 luglio 2026, Zero Day Initiative ha pubblicato l'advisory ZDI-26-436 su una vulnerabilità nel caricabatterie domestico Autel MaxiCharger AC Elite Home. Il difetto, tracciato come CVE-2026-13307 con punteggio CVSS 7.8, consente a un attaccante fisicamente presente di eseguire codice arbitrario sul dispositivo tramite pacchetti USB personalizzati, senza alcuna richiesta di autenticazione. La scoperta rientra nel corpus di vulnerabilità Autel emerse durante Pwn2Own Automotive 2026.

Il difetto: fatti documentati dall'advisory

Secondo l'advisory ZDI-26-436, "la falla specifica esiste nella gestione di pacchetti USB personalizzati. Il problema deriva dalla mancata validazione adeguata della lunghezza dei dati forniti dall'utente prima di copiarli in un buffer heap a lunghezza fissa".

L'advisory specifica inoltre che "un attaccante può sfruttare questa vulnerabilità per eseguire codice nel contesto del dispositivo". Il requisito di presenza fisica è esplicito: l'attaccante deve essere fisicamente presente per interagire via USB con il caricabatterie.

"This vulnerability allows physically present attackers to execute arbitrary code on affected installations of Autel MaxiCharger AC Elite Home EV chargers. Authentication is not required to exploit this vulnerability." — ZDI Advisory ZDI-26-436

Analisi: il vettore USB e il contesto del dispositivo

Il caricabatterie EV domestico è installato tipicamente in box auto, cortili o aree residenziali con accesso controllato. Un attaccante con accesso fisico può interagire via USB senza superare alcun controllo di autenticazione.

L'advisory non documenta catene di propagazione verso altri segmenti di rete né conseguenze fisiche specifiche oltre all'esecuzione di codice nel contesto del dispositivo. Il MaxiCharger AC Elite Home è un nodo di gestione energetica connesso alla rete elettrica domestica e, via WiFi o Ethernet, alla rete dati dell'abitazione.

L'advisory ZDI non specifica se il controllo del dispositivo compromesso possa tradursi in manipolazione dei parametri di ricarica o in propagazione verso segmenti di rete domestica. Queste estensioni di impatto non sono documentate nella fonte primaria.

Il contesto Pwn2Own Automotive 2026

La vulnerabilità rientra nel corpus di Pwn2Own Automotive 2026, come indicato dal prefisso "(Pwn2Own)" nell'advisory e nell'elenco pubblicazioni ZDI. Nello stesso elenco compaiono altre quattro vulnerabilità per il medesimo prodotto: WebSockets integer underflow, NFC stack overflow, USB authentication bypass, e software update signature bypass.

Questo cluster di 5 vulnerabilità documenta superfici d'attacco distinte nel firmware dello stesso dispositivo. L'advisory non stabilisce correlazione tecnica tra questi vettori. Il dato disponibile indica una superficie estesa nel software del caricabatterie, ma non consente inferenze sullo stato generale della sicurezza del prodotto o del settore EV charging.

Cosa fare adesso

L'advisory ZDI-26-436 non contiene raccomandazioni operative per utenti o amministratori. Le azioni deducibili dai fatti documentati sono le seguenti:

• Verificare l'accesso fisico: controllare chi ha accesso all'area di installazione del caricabatterie. Box auto, cortili e aree residenzili devono essere accessibili solo a utenti autorizzati.
• Contattare Autel per lo stato patch: l'advisory non dichiara disponibilità di patch né versioni firmware specifiche affette. La verifica dello stato di un dispositivo specifico richiede contatto diretto con il vendor.
• Monitorare CVE-2026-13307: il record su CVE.org è in stato "reserved". Il popolamento da parte della CNA fornirà dettagli aggiuntivi quando disponibile.
• Ispezionare porte USB esposte: verificare se il connettore USB del dispositivo sia fisicamente accessibile e se esistano barriere meccaniche non documentate nell'advisory.

Queste azioni sono vincolate dai limiti del dossier: nessuna patch è confermata disponibile, nessuna versione firmware è indicata come immune, nessun tool di verifica è pubblicato.

Limiti del dossier e punti aperti

Il dossier presenta limiti significativi che condizionano la lettura operativa. Non risulta documentata l'identità del ricercatore che ha scoperto la vulnerabilità: il campo credit dell'advisory è vuoto.

L'advisory stesso non specifica versioni firmware affette, rendendo impossibile determinare se un determinato dispositivo sia vulnerabile senza contatto diretto con il vendor. Il record CVE-2026-13307 su CVE.org è in stato "reserved", con dettagli in attesa di popolamento.

Lo stato effettivo della patch rilasciata da Autel non è dichiarato esplicitamente nell'advisory, che menziona solo "coordinated disclosure". Non risulta disponibile conferma indipendente della vulnerabilità al di fuori del contesto Pwn2Own. I dettagli tecnici del payload USB esatto o delle dimensioni del buffer coinvolte non sono pubblicati.

Le informazioni sono state estratte dall'advisory ZDI-26-436 come unica fonte primaria strutturata disponibile. Eventuali aggiornamenti richiederanno verifica su fonti aggiuntive non ancora pubblicate.