Pi-hole FTL 受 Remote Code Execution (RCE) 影响，通过 dhcp.leaseTime 新行注入

攻击者可以利用此 RCE 漏洞在 Pi-hole 服务器上执行任意命令。这可能导致服务器完全被控制，攻击者可以读取敏感数据、修改系统配置、安装恶意软件，甚至利用 Pi-hole 服务器作为跳板攻击内部网络。由于 Pi-hole 通常用于家庭和小型企业网络，因此该漏洞的潜在影响范围可能很大，可能导致数据泄露、服务中断和声誉损害。如果攻击者能够控制 DNS 服务器，他们可以进行 DNS 劫持，将用户重定向到恶意网站，从而窃取凭据或传播恶意软件。类似于其他 DNS 服务器配置漏洞，此漏洞的利用可能导致严重的后果。

Organizations running Pi-hole with versions 6.0.0 through 6.5 are at risk. This includes home users, small businesses, and larger organizations utilizing Pi-hole for ad blocking and DNS filtering. Shared hosting environments where Pi-hole is installed are particularly vulnerable due to the potential for compromised user accounts to be leveraged for exploitation.

• linux / server:

journalctl -u pihole-FTL | grep dhcp.leaseTime

• linux / server:

ps aux | grep -i dnsmasq

• linux / server:

cat /etc/dnsmasq.conf | grep -i dhcp.leaseTime

1. 2026-04-07Disclosure

   disclosure

1. 已保留2026-04-03
2. 发布日期2026-04-07
3. 修改日期2026-04-09
4. EPSS 更新日期2026-04-15

最有效的缓解措施是立即升级到 Pi-hole FTL 6.6.0 或更高版本。如果由于兼容性问题无法立即升级，可以考虑以下临时缓解措施：首先，限制对 Pi-hole Web 界面 API 的访问，仅允许受信任的 IP 地址访问。其次，审查 Pi-hole 的 DHCP 配置，确保没有可疑的配置指令。第三，实施严格的网络监控，检测任何异常的 DNS 查询或配置更改。如果可能，使用 Web 应用防火墙 (WAF) 或反向代理来过滤恶意请求，阻止包含换行符的 DHCP 租约时间配置参数。升级后，请验证新版本是否已成功安装，并确认 DHCP 配置是否正常工作。