Pihole 认证用户具有 root 权限的任意文件读取漏洞

攻击者利用此漏洞可以读取 Pi-hole 服务器上的各种内部文件，包括配置文件、数据库文件以及其他包含敏感信息的文档。由于 Pi-hole 通常以 root 或其他特权用户身份运行，因此读取到的文件可能包含数据库密码、API 密钥和其他凭据。这些凭据可以被攻击者用于进一步的横向移动，例如访问同一网络上的其他系统，或者访问与 Pi-hole 集成的其他服务。该漏洞的潜在影响范围取决于 Pi-hole 服务器所存储的数据以及其在网络中的位置。如果 Pi-hole 服务器用于保护关键基础设施或敏感数据，则该漏洞的影响将更加严重。

Organizations and individuals relying on Pi-hole for DNS filtering are at risk, particularly those running older versions (≤5.17). Shared hosting environments where multiple users share a Pi-hole instance are especially vulnerable, as a compromised account on one user's site could potentially be used to exploit the vulnerability on others' sites. Those with custom adlists referencing local files are also at increased risk.

• linux / server:

journalctl -u pihole -g "file*"

• linux / server:

ps aux | grep -i 'file*'

• generic web: Use curl to test for file access via the adlist endpoint. Check for responses indicating successful file reads.

curl -v 'http://pihole_ip/admin/settings.php?tab=adlists&list=file:///etc/pihole/pihole-FTL.conf' 2>&1 | grep 'HTTP/1.1 200 OK'

1. 2024-03-27Disclosure

   disclosure

1. 已保留2024-03-07
2. 发布日期2024-03-27
3. 修改日期2024-08-13
4. EPSS 更新日期2026-04-02

最有效的缓解措施是升级到 Pi-hole 5.18 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以尝试以下临时缓解措施：首先，确保 Pi-hole 实例上的所有文件权限都已正确配置，并且只有授权用户才能访问敏感文件。其次，实施严格的身份验证和授权控制，以限制对 Pi-hole 管理界面的访问。第三，监控 Pi-hole 日志，以检测任何可疑活动。如果需要回滚，请备份当前配置，然后降级到先前版本。使用 WAF 或代理服务器可以过滤掉包含“file*”前缀的 URL 请求，从而阻止攻击者利用此漏洞。建议使用 Sigma 或 YARA 规则来检测恶意文件访问尝试。