+------------------+            +------------------+               +------------------+
|   관리 패널      |  API/Web   |   FTLDNS 엔진    | 구성 쓰기      |    dnsmasq       |
|    (Web UI)      | ---------> |  (pihole-FTL)    | ------------> |   (DNS/DHCP)     |
+------------------+            +------------------+               +------------------+
                                        |                                   |
                                  설정을 읽고,                        구성을 읽고,
                                  디스크의 구성                     네트워크에 DNS/DHCP
                                  파일에 씀                           서비스 제공

# 정상 입력: "8.8.8.8"
# 생성 결과:
server=8.8.8.8

# 악성 입력: "8.8.8.8\ndhcp-option=6,evil.dns.server"
# 생성 결과:
server=8.8.8.8
dhcp-option=6,evil.dns.server

1단계: 공격자가 Pi-hole에 인증합니다
        (기본 자격 증명, 약한 비밀번호, CSRF, 세션 탈취)

2단계: 공격자가 dns.upstreams를 업데이트하는 API 요청을 보냅니다:
        
        POST /api/dns/upstream
        {
          "upstreams": ["8.8.8.8\n<악성 dnsmasq 지시문>"]
        }

3단계: FTLDNS가 개행 문자를 살균하지 않고 
        값을 dnsmasq 구성 파일에 씁니다

4단계: 주입된 dnsmasq 지시문이 
        합법적인 구성 옵션으로 파싱됩니다

5단계: 주입된 지시문에 따라 공격자는 다음을 달성합니다:
        - DNS 하이재킹 (모든 DNS 쿼리 리디렉션)
        - DHCP 중독 (클라이언트에 악성 구성 푸시)
        - dnsmasq의 스크립팅 기능을 통한 명령 실행
        - 임의 경로에 파일 쓰기

pihole -v
# 또는
pihole-FTL --version

# 의존성 설치
pip install -r requirements.txt

# 단일 대상 (HTTP, 기본 포트 80)
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t 192.168.1.1

# 사용자 지정 포트
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t pi.hole -p 8080

# HTTPS 모드 (포트 443으로 자동 전환)
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t 10.0.0.1 --https

# 파일에서 대량 스캔
python CVE-2026-35517_PiHole_FTLDNS_detector.py -f targets.txt

# 파일로 저장되는 JSON 출력
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t 192.168.1.1 --json -o results.json

# 증가된 타임아웃
python CVE-2026-35517_PiHole_FTLDNS_detector.py -t 192.168.1.1 --timeout 20

╔══════════════════════════════════════════════════════════════╗
║  CVE-2026-35517 - Pi-hole FTLDNS RCE 탐지기                  ║
║  dns.upstreams의 개행 문자 주입 → 명령 실행                  ║
║  CVSS: 8.8 (높음) | 영향: FTLDNS 6.0 - 6.5                   ║
╚══════════════════════════════════════════════════════════════╝

[*] 192.168.1.1:80 스캔 중...

대상: 192.168.1.1:80
============================================================
  [*] Pi-hole 탐지됨
      관리 인터페이스: 접근 가능
      API 접근 가능:  예
      FTL 버전:     v6.4
      Core 버전:    v6.3
      Web 버전:     v6.4

  CVE-2026-35517 평가:
    [취약] FTLDNS 6.4는 취약 범위(6.0 - 6.5) 내에 있습니다.
    즉시 FTL v6.6 이상으로 업그레이드하십시오.

  관련 취약점 (FTL v6.6에서도 패치됨):
    [-] GHSA-wxhv-w77q-6qwp: dns.hostRecord 개행 문자 주입을 통한 RCE
    [-] GHSA-28g5-gg88-wh5m: dns.cnameRecords 개행 문자 주입을 통한 RCE
    [-] GHSA-fqv2-qhfh-ghcj: dhcp.leaseTime 개행 문자 주입을 통한 RCE
    [-] GHSA-vfmq-jrx3-wv3c: dhcp.hosts 개행 문자 주입을 통한 RCE

  수정 조치:
    1. Pi-hole FTL을 버전 6.6 이상으로 업그레이드
    2. 실행: pihole -up
    3. 확인: pihole -v
    4. API 접근 제어 및 인증 설정 검토
    5. 악용 징후(비정상적인 DNS 구성 변경)에 대한 로그 확인

# NSE 스크립트 설치
sudo cp CVE-2026-35517_PiHole_FTLDNS.nse /usr/share/nmap/scripts/
sudo nmap --script-updatedb

# 기본 스캔
nmap -p 80 --script CVE-2026-35517_PiHole_FTLDNS <target>

# 일반적인 Pi-hole 포트 스캔
nmap -p 80,443,8080,4711 --script CVE-2026-35517_PiHole_FTLDNS <target>

# 서브넷 스캔 — 네트워크의 모든 Pi-hole 인스턴스 찾기
nmap -p 80 --script CVE-2026-35517_PiHole_FTLDNS 192.168.1.0/24

# 버전 탐지와 결합
nmap -sV -p 80,443 --script CVE-2026-35517_PiHole_FTLDNS <target>

# 파일에서 대상 스캔
nmap -p 80 --script CVE-2026-35517_PiHole_FTLDNS -iL targets.txt

PORT   STATE SERVICE
80/tcp open  http
| CVE-2026-35517_PiHole_FTLDNS:
|   취약:
|   업스트림 DNS 구성을 통한 Pi-hole FTLDNS RCE
|     상태: 취약
|     ID:  CVE:CVE-2026-35517
|     위험 요소: 높음 (CVSS: 8.8)
|     공개일: 2026-04-07
|     추가 정보:
|       FTL 버전: v6.4
|       Core 버전: v6.3
|       Web 버전: v6.4
|       FTL v6.6에서도 수정된 관련 권고:
|         GHSA-wxhv-w77q-6qwp (dns.hostRecord 주입)
|         GHSA-28g5-gg88-wh5m (dns.cnameRecords 주입)
|         GHSA-fqv2-qhfh-ghcj (dhcp.leaseTime 주입)
|         GHSA-vfmq-jrx3-wv3c (dhcp.hosts 주입)
|       수정 조치: Pi-hole FTL v6.6+로 업그레이드 (pihole -up)
|     참고 자료:
|       https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-35517
|_      https://github.com/pi-hole/FTL/security/advisories/GHSA-23w8-7333-p9fj

# FTL 버전 확인
pihole-FTL --version

# 또는 Pi-hole CLI를 통해
pihole -v

# API를 통해 확인 (v6)
curl -s http://pi.hole/api/info/version | python3 -m json.tool

# API를 통해 확인 (v5)
curl -s http://pi.hole/admin/api.php?versions | python3 -m json.tool

# 주입된 줄에 대한 dnsmasq 구성 확인
grep -r "dhcp-option\|addn-hosts\|conf-file\|log-facility" /etc/dnsmasq.d/

# 최근 구성 수정 확인
find /etc/pihole /etc/dnsmasq.d -mtime -7 -ls

# Pi-hole의 디버그 로그 검토
pihole -d

# 이상 징후에 대한 실행 중인 프로세스 확인
ps aux | grep -E "dnsmasq|pihole"

# 지속성을 위한 crontab 검토
crontab -l
cat /etc/crontab
ls -la /etc/cron.d/

# Pi-hole 업데이트 (FTL, Web, Core 포함)
pihole -up

# 업데이트 확인
pihole -v
# FTL 버전은 >= 6.6이어야 합니다