CVE-2024-28247

Résumé

Le Pi-hole est un puits DNS (DNS sinkhole) qui protège vos appareils des contenus indésirables sans nécessiter l’installation d’un logiciel côté client. Une vulnérabilité a été découverte dans Pihole qui permet à un utilisateur authentifié sur la plateforme de lire arbitrairement des fichiers internes du serveur, et comme l’application s’exécute en arrière-plan, la lecture des fichiers se fait avec un utilisateur privilégié. Si l’URL qui figure dans la liste des « Adslists » commence par « file* », il est compris qu’elle est mise à jour à partir d’un fichier local ; en revanche, si elle ne commence pas par « file* », selon l’état de la réponse, une action ou une autre est effectuée. Le problème réside dans la mise à jour via les fichiers locaux. Lors de la mise à jour à partir d’un fichier contenant des lignes qui ne sont pas des noms de domaine, 5 de ces lignes sont affichées à l’écran, donc si vous lui fournissez un fichier quelconque du serveur contenant des lignes qui ne sont pas des noms de domaine, elles seront affichées à l’écran. Cette vulnérabilité est corrigée par la version 5.18.

• CVE-2024-28247-Pi-hole-Arbitrary-File-ReadExploit

  Ce dépôt fournit un exploit pour CVE-2024-28247, mettant en évidence une vulnérabilité qui permet à un attaquant distant de lire des fichiers arbitraires sur le système.