Hinweise zur Verteidigung gegen diesen Exploit

• Patchen
  • Mach es einfach... jetzt.
  • Abonniere/beobachte das Pi-hole-Repository für neue Versionen (und Issues und Pull Requests, wenn du es ernst meinst).
• Netzwerk
  • Setze Pi-hole nicht dem Internet aus.
  • Setze nur den Pi-hole-DNS-Port 53 für DNS-Clients frei, nicht andere Ports wie die Verwaltungsoberfläche.
• Verwaltung
  • Verwende eindeutige und komplexe (d. h. aus vielen Zeichen bestehende) Passphrasen für das Admin-Konto.

CVE-2020-8816

Der vollständige PoC ist im PDF-Dokument verfügbar

Dies ist eine Variation eines PoC für RCE auf Pi-hole 4.3.2: https://natedotred.wordpress.com/2020/03/28/cve-2020-8816-pi-hole-remote-code-execution/

Das ursprüngliche PoC erfordert die Variable $PATH als 'opt/pihole:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin'. Das ist bei einer Pi-hole-Installation auf Ubuntu Server mit Standardeinstellungen nicht der Fall.

Daher erfordert mein PoC die Variable $PWD für www-data als '/var/www/html/admin'. Dies sollte bei mehr Arten von Pi-hole-Installationen der Fall sein. Mein PoC löst auch ein Problem: Diese neue Zeichenkette aus $PWD enthält nicht den Buchstaben ‚p‘, der für eine ‚php -r‘-Ausführung wie im ursprünglichen PoC benötigt wird.