Notas para defenderse de este exploit

• Parcheo
  • Simplemente hazlo... ahora.
  • Suscríbete o sigue el repositorio de Pi-hole para nuevas versiones (y Issues y Pull requests si eres serio).
• Red
  • No expongas Pi-hole a internet.
  • Solo expón el puerto DNS 53 de Pi-hole a clientes DNS, no otros puertos como la interfaz de gestión.
• Gestión
  • Usa contraseñas únicas y complejas (que signifiquen muchos caracteres) para la cuenta de administrador.

CVE-2020-8816

El PoC completo está disponible en el documento PDF

Esta es una variación de un PoC para RCE en Pi-hole 4.3.2: https://natedotred.wordpress.com/2020/03/28/cve-2020-8816-pi-hole-remote-code-execution/

El PoC original requiere que la variable $PATH sea 'opt/pihole:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin'. Este no es el caso para una instalación de Pi-hole en Ubuntu Server con configuración predeterminada.

Por lo tanto, mi PoC requiere que la variable $PWD para www-data sea '/var/www/html/admin'. Esto debería ser el caso para más tipos de instalaciones de Pi-hole. Mi PoC también resuelve un problema: esta nueva cadena de $PWD no contiene la letra 'p' requerida para una ejecución 'php -r' como se usa en el PoC original.