CVE-2026-35517 — Script di rilevamento per Pi-hole FTLDNS RCE (CVE-2026-35517) tramite iniezione di newline, inclusi scanner Python e script Nmap NSE per la valutazione della vulnerabilità basata sulla versione. | Kitploit

Campo	Dettaglio
ID CVE	CVE-2026-35517
Venditore	Pi-hole Project
Prodotto	FTLDNS (pihole-FTL)
Versioni interessate	6.0 a < 6.6
CVSS v3.1	8.8 (Alto)
CWE	CWE-93 — Neutralizzazione impropria delle sequenze CRLF
Vettore di attacco	Rete
Autenticazione	Richiesta (accesso admin/API Pi-hole)
Interazione utente	Nessuna
Pubblicata	7 aprile 2026
Corretta in	FTL v6.6 (rilasciata il 3 aprile 2026)
Scoperta da	T0X1Cx
Avvisi correlati	GHSA-23w8-7333-p9fj, GHSA-wxhv-w77q-6qwp, GHSA-28g5-gg88-wh5m, GHSA-fqv2-qhfh-ghcj, GHSA-vfmq-jrx3-wv3c

+------------------+            +------------------+               +------------------+
|   Pannello di    |  API/Web   |   Motore FTLDNS  | Scrittura cfg |    dnsmasq       |
|   amministrazione| ---------> |  (pihole-FTL)    | ------------> |   (DNS/DHCP)     |
|    (Web UI)      |            |                  |               |                  |
+------------------+            +------------------+               +------------------+
                                        |                                   |
                                  Legge le impostazioni,               Legge la config,
                                  scrive i file di config             serve DNS/DHCP
                                  su disco                            alla rete

Passo 1: L'attaccante si autentica su Pi-hole 
        (credenziali predefinite, password debole, CSRF, sessione compromessa)

Passo 2: L'attaccante invia una richiesta API per aggiornare dns.upstreams:
        
        POST /api/dns/upstream
        {
          "upstreams": ["8.8.8.8\n<direttiva dnsmasq malevola>"]
        }

Passo 3: FTLDNS scrive il valore nel file di configurazione dnsmasq 
        senza sanificare la nuova riga

Passo 4: La direttiva dnsmasq iniettata viene interpretata come 
        opzione di configurazione legittima

Passo 5: A seconda della direttiva iniettata, l'attaccante ottiene:
        - Dirottamento DNS (reindirizza tutte le query DNS)
        - Avvelenamento DHCP (spinge configurazioni malevole ai client)
        - Esecuzione di comandi tramite le capacità di scripting di dnsmasq
        - Scrittura di file in percorsi arbitrari

Avviso	Parametro	Cosa controlla
GHSA-23w8-7333-p9fj	`dns.upstreams`	Server DNS upstream
GHSA-wxhv-w77q-6qwp	`dns.hostRecord`	Record host DNS personalizzati
GHSA-28g5-gg88-wh5m	`dns.cnameRecords`	Mappature record CNAME
GHSA-fqv2-qhfh-ghcj	`dhcp.leaseTime`	Durata lease DHCP
GHSA-vfmq-jrx3-wv3c	`dhcp.hosts`	Assegnazioni host DHCP statiche

# Installa le dipendenze
pip install -r requirements.txt

# Singolo target (HTTP, porta predefinita 80)
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t 192.168.1.1

# Porta personalizzata
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t pi.hole -p 8080

# Modalità HTTPS (passa automaticamente alla porta 443)
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t 10.0.0.1 --https

# Scansione di massa da file
python CVE-2026-35517_PiHole_FTLDNS_detector.py -f targets.txt

# Output JSON salvato su file
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t 192.168.1.1 --json -o results.json

# Timeout aumentato
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t 192.168.1.1 --timeout 20

Flag	Descrizione	Predefinito
`-t`, `--target`	IP o hostname del target	—
`-f`, `--file`	File con i target, uno per riga (commenti `#` supportati)	—
`-p`, `--port`	Porta del target	`80`
`--https`	Usa HTTPS (passa automaticamente alla porta `443` se la porta è `80`)	Off
`--timeout`	Timeout di connessione in secondi	`10`
`--json`	Output in formato JSON	Off
`-o`, `--output`	Salva i risultati su un file	—

╔══════════════════════════════════════════════════════════════╗
║  CVE-2026-35517 - Pi-hole FTLDNS RCE Detector                ║
║  Newline Injection in dns.upstreams → Command Execution      ║
║  CVSS: 8.8 (High) | Affects: FTLDNS 6.0 - 6.5                ║
╚══════════════════════════════════════════════════════════════╝

[*] Scanning 192.168.1.1:80...

Target: 192.168.1.1:80
============================================================
  [*] Pi-hole detected
      Admin interface: Accessible
      API accessible:  Yes
      FTL version:     v6.4
      Core version:    v6.3
      Web version:     v6.4

  CVE-2026-35517 Assessment:
    [VULNERABLE] FTLDNS 6.4 is within the vulnerable range (6.0 - 6.5).
    Upgrade to FTL v6.6 or later immediately.

  Related Vulnerabilities (also patched in FTL v6.6):
    [-] GHSA-wxhv-w77q-6qwp: RCE via dns.hostRecord Newline Injection
    [-] GHSA-28g5-gg88-wh5m: RCE via dns.cnameRecords Newline Injection
    [-] GHSA-fqv2-qhfh-ghcj: RCE via dhcp.leaseTime Newline Injection
    [-] GHSA-vfmq-jrx3-wv3c: RCE via dhcp.hosts Newline Injection

  Remediation:
    1. Upgrade Pi-hole FTL to version 6.6 or later
    2. Run: pihole -up
    3. Verify with: pihole -v
    4. Review API access controls and authentication settings
    5. Check logs for signs of exploitation (unusual DNS config changes)

# Installa lo script NSE
sudo cp CVE-2026-35517_PiHole_FTLDNS.nse /usr/share/nmap/scripts/
sudo nmap --script-updatedb

# Scansione di base
nmap -p 80 --script CVE-2026-35517_PiHole_FTLDNS <target>

# Scansiona le porte comuni di Pi-hole
nmap -p 80,443,8080,4711 --script CVE-2026-35517_PiHole_FTLDNS <target>

# Scansione sottorete — trova tutte le istanze Pi-hole su una rete
nmap -p 80 --script CVE-2026-35517_PiHole_FTLDNS 192.168.1.0/24

# Combinato con rilevamento versione
nmap -sV -p 80,443 --script CVE-2026-35517_PiHole_FTLDNS <target>

# Scansiona i target da un file
nmap -p 80 --script CVE-2026-35517_PiHole_FTLDNS -iL targets.txt

PORT   STATE SERVICE
80/tcp open  http
| CVE-2026-35517_PiHole_FTLDNS:
|   VULNERABLE:
|   Pi-hole FTLDNS RCE via Upstream DNS Configuration
|     State: VULNERABLE
|     IDs:  CVE:CVE-2026-35517
|     Risk factor: High (CVSS: 8.8)
|     Disclosure date: 2026-04-07
|     Extra information:
|       FTL Version: v6.4
|       Core Version: v6.3
|       Web Version: v6.4
|       Related advisories also fixed in FTL v6.6:
|         GHSA-wxhv-w77q-6qwp (dns.hostRecord injection)
|         GHSA-28g5-gg88-wh5m (dns.cnameRecords injection)
|         GHSA-fqv2-qhfh-ghcj (dhcp.leaseTime injection)
|         GHSA-vfmq-jrx3-wv3c (dhcp.hosts injection)
|       Remediation: Upgrade to Pi-hole FTL v6.6+ (pihole -up)
|     References:
|       https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-35517
|_      https://github.com/pi-hole/FTL/security/advisories/GHSA-23w8-7333-p9fj

# Controlla la versione FTL
pihole-FTL --version

# Oppure tramite la CLI di Pi-hole
pihole -v

# Controlla tramite API (v6)
curl -s http://pi.hole/api/info/version | python3 -m json.tool

# Controlla tramite API (v5)
curl -s http://pi.hole/admin/api.php?versions | python3 -m json.tool

# Controlla le config dnsmasq per linee iniettate
grep -r "dhcp-option\|addn-hosts\|conf-file\|log-facility" /etc/dnsmasq.d/

# Controlla le modifiche recenti alla configurazione
find /etc/pihole /etc/dnsmasq.d -mtime -7 -ls

# Esamina il log di debug di Pi-hole
pihole -d

# Controlla i processi in esecuzione per anomalie
ps aux | grep -E "dnsmasq|pihole"

# Esamina il crontab per la persistenza
crontab -l
cat /etc/crontab
ls -la /etc/cron.d/

Versione	Stato
FTLDNS 6.6+	Corretta
FTLDNS 6.0 – 6.5	Vulnerabile
FTLDNS 5.x e precedenti	Non interessata (architettura API diversa)

CVE-2026-35517

Più Popolari

Indice

Fatti rapidi

Cos'è Pi-hole FTLDNS?

Analisi approfondita della vulnerabilità

Comprendere l'architettura

Il punto di iniezione

Dalla nuova riga alla shell — La kill chain

L'intera famiglia — Cinque vettori di iniezione

Analisi dell'impatto

Versioni interessate

Chi è a rischio?

Rilevamento

Scanner Python

Script Nmap NSE

Verifica manuale della versione

Indicatori di compromissione

Rimedi

Riferimenti

Autore