CVE-2024-45414

El binario HTTPD en una gama de routers ZTE desborda un búfer de pila en su función webPrivateDecrypt: decodifica en base64 el texto cifrado suministrado por el atacante, lo descifra y copia el resultado en la pila sin verificar la longitud. Un atacante no autenticado que pueda alcanzar la interfaz web obtiene ejecución remota de código como root: control total del router, desde afuera, sin credenciales.

Este es el peor perfil posible para equipos de red de borde: sin autenticación, ejecución a nivel root y un binario ampliamente compartido entre múltiples modelos de router, lo que significa que un exploit funcional se generaliza a través de una gran población de dispositivos. Eso es precisamente con lo que los actores de escaneo masivo construyen botnets de routers, y un desbordamiento de pila no autenticado en un HTTPD expuesto es una toma de control confiable y automatizable una vez que los detalles son públicos.

Nuestra respuesta se centra en la exposición y el inventario a nivel de modelo. Identificamos cuáles modelos ZTE operamos y si alguno expone su interfaz de administración web a redes no confiables, porque esa accesibilidad es todo el riesgo. También vale la pena emparejarla con su hermana en el mismo binario —un atacante que sondee uno de estos fallos de router probablemente esté probando los otros— así que tratamos el HTTPD afectado como una única superficie que sacar del lado público y parchear en conjunto.