PT-2024-7903 · Openwrt · Openwrt Luci Lts

Fabrizio Passerini + 1 · Publicado 2024-11-05 · Atualizado 2025-09-12 · CVE-2024-51240

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

OpenWRT Luci LTS (versões afetadas não especificadas)

Descrição

A vulnerabilidade está relacionada ao pacote luci-mod-rpc no OpenWRT Luci LTS, o que permite a escalada de privilégios de uma conta de administrador para root por meio da API JSON-RPC. Isso se deve à proteção insuficiente dos dados de registro na interface web LuCI. Um invasor pode explorar essa vulnerabilidade para obter privilégios de root remotamente.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

BDU:2024-09407

CVE-2024-51240

Produtos afetados

Openwrt Luci Lts

Referências · 10

• 🔥 https://github.com/VitoCrl/vulnerability_research/tree/main/CVE-2024-51240 · Exploit
• https://github.com/openwrt/luci/wiki/JsonRpcHowTo · Nota
• https://twitter.com/gzobraJn/status/1966502720375836854 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-51240 · Nota de Segurança
• https://elvescore.jp/vuldb/cve-2024-51240-openwrt-luci-lts-json-rpc-api-privilege-escalation-vulnerability · Nota
• https://cvefeed.io/vuln/detail/CVE-2024-51240 · Nota
• https://twitter.com/M_haggis/status/1965384950217089258 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1853870984614355207 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2024-09407 · Nota de Segurança
• https://t.me/cvedetector/9936 · Publicação no Telegram