CVE-2026-35517 — Scripts de détection pour la RCE Pi-hole FTLDNS (CVE-2026-35517) via injection de saut de ligne, incluant un scanner Python et un script Nmap NSE pour l'évaluation de la vulnérabilité basée sur la version. | Kitploit

Champ	Détail
ID CVE	CVE-2026-35517
Fournisseur	Projet Pi-hole
Produit	FTLDNS (pihole-FTL)
Versions affectées	6.0 à < 6.6
CVSS v3.1	8.8 (Élevé)
CWE	CWE-93 — Neutralisation incorrecte des séquences CRLF
Vecteur d'attaque	Réseau
Authentification	Requise (accès admin/API Pi-hole)
Interaction utilisateur	Aucune
Publié	7 avril 2026
Corrigé dans	FTL v6.6 (publié le 3 avril 2026)
Découvert par	T0X1Cx
Avis associés	GHSA-23w8-7333-p9fj, GHSA-wxhv-w77q-6qwp, GHSA-28g5-gg88-wh5m, GHSA-fqv2-qhfh-ghcj, GHSA-vfmq-jrx3-wv3c

+------------------+            +------------------+               +------------------+
|   Panneau admin  |  API/Web   |  Moteur FTLDNS   | Écriture config|    dnsmasq       |
|    (Interface)   | ---------> |  (pihole-FTL)    | ------------> |   (DNS/DHCP)     |
+------------------+            +------------------+               +------------------+
                                        |                                   |
                                  Lit les paramètres,                 Lit la config,
                                  écrit dans les fichiers             sert DNS/DHCP
                                  de configuration sur disque        au réseau

Étape 1 : L'attaquant s'authentifie sur Pi-hole
        (identifiants par défaut, mot de passe faible, CSRF, session compromise)

Étape 2 : L'attaquant envoie une requête API pour mettre à jour dns.upstreams :

        POST /api/dns/upstream
        {
          "upstreams": ["8.8.8.8\n<directive dnsmasq malveillante>"]
        }

Étape 3 : FTLDNS écrit la valeur dans le fichier de configuration dnsmasq
        sans neutraliser le saut de ligne

Étape 4 : La directive dnsmasq injectée est analysée comme une
        option de configuration légitime

Étape 5 : Selon la directive injectée, l'attaquant obtient :
        - Détournement DNS (redirection de toutes les requêtes DNS)
        - Empoisonnement DHCP (envoi de configurations malveillantes aux clients)
        - Exécution de commandes via les capacités de script de dnsmasq
        - Écriture de fichiers vers des chemins arbitraires

Avis	Paramètre	Ce qu'il contrôle
GHSA-23w8-7333-p9fj	`dns.upstreams`	Serveurs DNS amont
GHSA-wxhv-w77q-6qwp	`dns.hostRecord`	Enregistrements DNS hôtes personnalisés
GHSA-28g5-gg88-wh5m	`dns.cnameRecords`	Mappages d'enregistrements CNAME
GHSA-fqv2-qhfh-ghcj	`dhcp.leaseTime`	Durée des baux DHCP
GHSA-vfmq-jrx3-wv3c	`dhcp.hosts`	Attributions DHCP statiques d'hôtes

# Installer les dépendances
pip install -r requirements.txt

# Cible unique (HTTP, port par défaut 80)
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t 192.168.1.1

# Port personnalisé
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t pi.hole -p 8080

# Mode HTTPS (bascule automatique vers le port 443)
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t 10.0.0.1 --https

# Analyse groupée depuis un fichier
python CVE-2026-35517_PiHole_FTLDNS_detector.py -f targets.txt

# Sortie JSON enregistrée dans un fichier
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t 192.168.1.1 --json -o results.json

# Délai d'attente augmenté
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t 192.168.1.1 --timeout 20

Option	Description	Défaut
`-t`, `--target`	IP ou nom d'hôte cible	—
`-f`, `--file`	Fichier avec les cibles, une par ligne (commentaires `#` pris en charge)	—
`-p`, `--port`	Port cible	`80`
`--https`	Utiliser HTTPS (bascule automatique du port vers `443` si le port est `80`)	Désactivé
`--timeout`	Délai d'attente de connexion en secondes	`10`
`--json`	Sortie au format JSON	Désactivé
`-o`, `--output`	Enregistrer les résultats dans un fichier	—

╔══════════════════════════════════════════════════════════════╗
║  CVE-2026-35517 - Détecteur RCE Pi-hole FTLDNS               ║
║  Injection de saut de ligne dans dns.upstreams → Exécution   ║
║  de commandes                                                ║
║  CVSS : 8.8 (Élevé) | Affecte : FTLDNS 6.0 - 6.5             ║
╚══════════════════════════════════════════════════════════════╝

[*] Analyse de 192.168.1.1:80...

Cible : 192.168.1.1:80
============================================================
  [*] Pi-hole détecté
      Interface d'administration : Accessible
      API accessible :  Oui
      Version FTL :     v6.4
      Version Core :    v6.3
      Version Web :     v6.4

  Évaluation CVE-2026-35517 :
    [VULNÉRABLE] FTLDNS 6.4 est dans la plage vulnérable (6.0 - 6.5).
    Mettez à niveau vers FTL v6.6 ou ultérieur immédiatement.

  Vulnérabilités associées (également corrigées dans FTL v6.6) :
    [-] GHSA-wxhv-w77q-6qwp : RCE via injection de saut de ligne dns.hostRecord
    [-] GHSA-28g5-gg88-wh5m : RCE via injection de saut de ligne dns.cnameRecords
    [-] GHSA-fqv2-qhfh-ghcj : RCE via injection de saut de ligne dhcp.leaseTime
    [-] GHSA-vfmq-jrx3-wv3c : RCE via injection de saut de ligne dhcp.hosts

  Remédiation :
    1. Mettez à niveau Pi-hole FTL vers la version 6.6 ou ultérieure
    2. Exécutez : pihole -up
    3. Vérifiez avec : pihole -v
    4. Examinez les contrôles d'accès API et les paramètres d'authentification
    5. Vérifiez les journaux pour détecter des signes d'exploitation (modifications DNS inhabituelles)

# Installer le script NSE
sudo cp CVE-2026-35517_PiHole_FTLDNS.nse /usr/share/nmap/scripts/
sudo nmap --script-updatedb

# Analyse de base
nmap -p 80 --script CVE-2026-35517_PiHole_FTLDNS <cible>

# Analyser les ports Pi-hole courants
nmap -p 80,443,8080,4711 --script CVE-2026-35517_PiHole_FTLDNS <cible>

# Analyse de sous-réseau — trouver toutes les instances Pi-hole sur un réseau
nmap -p 80 --script CVE-2026-35517_PiHole_FTLDNS 192.168.1.0/24

# Combiné avec la détection de version
nmap -sV -p 80,443 --script CVE-2026-35517_PiHole_FTLDNS <cible>

# Analyser les cibles depuis un fichier
nmap -p 80 --script CVE-2026-35517_PiHole_FTLDNS -iL targets.txt

PORT   STATE SERVICE
80/tcp open  http
| CVE-2026-35517_PiHole_FTLDNS:
|   VULNÉRABLE :
|   RCE Pi-hole FTLDNS via configuration DNS amont
|     État : VULNÉRABLE
|     ID :  CVE:CVE-2026-35517
|     Facteur de risque : Élevé (CVSS : 8.8)
|     Date de divulgation : 2026-04-07
|     Informations supplémentaires :
|       Version FTL : v6.4
|       Version Core : v6.3
|       Version Web : v6.4
|       Avis associés également corrigés dans FTL v6.6 :
|         GHSA-wxhv-w77q-6qwp (injection dns.hostRecord)
|         GHSA-28g5-gg88-wh5m (injection dns.cnameRecords)
|         GHSA-fqv2-qhfh-ghcj (injection dhcp.leaseTime)
|         GHSA-vfmq-jrx3-wv3c (injection dhcp.hosts)
|       Remédiation : Mettez à niveau vers Pi-hole FTL v6.6+ (pihole -up)
|     Références :
|       https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-35517
|_      https://github.com/pi-hole/FTL/security/advisories/GHSA-23w8-7333-p9fj

# Vérifier la version FTL
pihole-FTL --version

# Ou via l'interface CLI Pi-hole
pihole -v

# Vérifier via l'API (v6)
curl -s http://pi.hole/api/info/version | python3 -m json.tool

# Vérifier via l'API (v5)
curl -s http://pi.hole/admin/api.php?versions | python3 -m json.tool

# Vérifier les configurations dnsmasq pour des lignes injectées
grep -r "dhcp-option\|addn-hosts\|conf-file\|log-facility" /etc/dnsmasq.d/

# Vérifier les modifications récentes de configuration
find /etc/pihole /etc/dnsmasq.d -mtime -7 -ls

# Examiner le journal de débogage de Pi-hole
pihole -d

# Vérifier les processus en cours pour des anomalies
ps aux | grep -E "dnsmasq|pihole"

# Examiner le crontab pour la persistance
crontab -l
cat /etc/crontab
ls -la /etc/cron.d/

Version	Statut
FTLDNS 6.6+	Corrigé
FTLDNS 6.0 – 6.5	Vulnérable
FTLDNS 5.x et antérieures	Non affecté (architecture API différente)

CVE-2026-35517

Populaires

Table des matières

Faits rapides

Qu'est-ce que Pi-hole FTLDNS ?

Analyse approfondie de la vulnérabilité

Comprendre l'architecture

Le point d'injection

Du saut de ligne au shell — La chaîne d'attaque

La famille complète — Cinq vecteurs d'injection

Analyse d'impact

Versions affectées

Qui est à risque ?

Détection

Scanner Python

Script Nmap NSE

Vérification manuelle de la version

Indicateurs de compromission

Remédiation

Références

Auteur