CVE-2024-45416

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2024-45416
The HTTPD binary in multiple ZTE routers has a local file inclusion vulnerability in session_init function. The session -LUA- files are stored in the directory /var/lua_session, the function iterates on all files in this directory and executes them using the function dofile without any validation if it is a valid session file or not. An attacker who is able to write a malicious file in the sessions directory can get RCE as root.

8.1 /10

CVSS v3 : HIGH

V3 Legend

Vector :

Exploitability : 2.2 / Impact : 5.9

Attack Vector NETWORK

Attack Complexity HIGH

Privileges Required NONE

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact HIGH

Availability Impact HIGH

Scope UNCHANGED

References
Link Resource
https://wr3nchsr.github.io/zte-multiple-routers-httpd-vulnerabilities-advisory/
Configurations

No configuration.

History

15 Apr 2026, 00:35

Type Values Removed Values Added
Summary (es) El binario HTTPD en varios enrutadores ZTE tiene una vulnerabilidad de inclusión de archivos locales en la función session_init. Los archivos de sesión -LUA- se almacenan en el directorio /var/lua_session, la función itera sobre todos los archivos de este directorio y los ejecuta utilizando la función dofile sin ninguna validación si es un archivo de sesión válido o no. Un atacante que pueda escribir un archivo malicioso en el directorio sessions puede obtener RCE como superusuario. (es) El binario HTTPD en varios ZTE routers tiene una vulnerabilidad de inclusión de archivos locales en la función session_init. Los archivos de sesión -LUA- se almacenan en el directorio /var/lua_session, la función itera sobre todos los archivos de este directorio y los ejecuta utilizando la función dofile sin ninguna validación si es un archivo de sesión válido o no. Un atacante que pueda escribir un archivo malicioso en el directorio sessions puede obtener RCE como superusuario.

18 Sep 2024, 16:35

Type Values Removed Values Added
CWE CWE-829
CVSS v2 : unknown
v3 : unknown 		v2 : unknown
v3 : 8.1
Summary
  • (es) El binario HTTPD en varios enrutadores ZTE tiene una vulnerabilidad de inclusión de archivos locales en la función session_init. Los archivos de sesión -LUA- se almacenan en el directorio /var/lua_session, la función itera sobre todos los archivos de este directorio y los ejecuta utilizando la función dofile sin ninguna validación si es un archivo de sesión válido o no. Un atacante que pueda escribir un archivo malicioso en el directorio sessions puede obtener RCE como superusuario.

16 Sep 2024, 21:15

Type Values Removed Values Added
New CVE
Information

Published : 2024-09-16 21:15

Updated : 2026-04-15 00:35

NVD link : CVE-2024-45416

Mitre link : CVE-2024-45416

CVE.ORG link : CVE-2024-45416

JSON object : View

Products Affected

No product.

CWE
CWE-829

Inclusion of Functionality from Untrusted Control Sphere