Notes pour se défendre contre cet exploit

• Correctifs
  • Faites-le... maintenant.
  • Abonnez-vous au dépôt Pi-hole ou suivez-le pour les nouvelles versions (et les Issues et Pull requests si vous êtes sérieux).
• Réseau
  • N'exposez pas Pi-hole à Internet.
  • N'exposez que le port DNS 53 de Pi-hole aux clients DNS, pas les autres ports comme l'interface de gestion.
• Gestion
  • Utilisez des phrases de passe uniques et complexes (c'est-à-dire comportant de nombreux caractères) pour le compte administrateur.

CVE-2020-8816

Le PoC complet est disponible dans le document PDF

Il s'agit d'une variante d'un PoC pour RCE sur Pi-hole 4.3.2 : https://natedotred.wordpress.com/2020/03/28/cve-2020-8816-pi-hole-remote-code-execution/

Le PoC d'origine nécessite que la variable $PATH soit 'opt/pihole:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin'. Ce n'est pas le cas pour une installation de Pi-hole sur Ubuntu Server avec les paramètres par défaut.

Par conséquent, mon PoC exige que la variable $PWD de www-data soit '/var/www/html/admin'. Cela devrait être le cas pour davantage de types d'installations de Pi-hole. Mon PoC résout également un problème : cette nouvelle chaîne issue de $PWD ne contient pas la lettre « p » requise pour une exécution « php -r » telle qu'utilisée dans le PoC d'origine.