Pi-hole Core: Beliebiges Abschneiden und chmod von Root-Dateien über Symlink in updatecheck.sh
Zusammenfassung
Der vom Root-Benutzer ausgeführte Update-Prüfungs-Cronjob von Pi-hole Core (updatecheck.sh) kürzt /etc/pihole/versions und passt dessen Berechtigungen an, während er symbolischen Links im dem Benutzer pihole gehörenden Verzeichnis folgt. Ein lokaler Angreifer, der als Benutzer pihole läuft, kann diesen Pfad durch einen Symlink ersetzen, sodass Root eine beliebige, Root gehörende Datei kürzt oder erstellt oder durch einen Race-Condition-Angriff eine sensible Datei weltlesbar macht. Voraussetzung ist die lokale Codeausführung als Konto pihole.
Betroffen
- Pi-hole Core 6.4.2 bis vor 6.5 (Bereich laut CNA: >= 6.4.2, < 6.5)
Behoben in
- Pi-hole Core 6.5
Umgehung
- Unbekannt. Das Aktualisieren auf Pi-hole Core 6.5 ist die Abhilfe.
Ausnutzung
- CISA SSVC: Exploitation none, nicht automatisierbar, technische Auswirkung total.
- Keine Hinweise auf aktive Ausnutzung bekannt.
- Das GitHub-Advisory beschreibt die Schwachstelle so detailliert, dass eine Reproduktion öffentlich ist. EPSS: 0.25 %.
Unsere Empfehlung
- Pi-hole Core auf 6.5 oder neuer aktualisieren. Bei Docker vor dem Einsatz prüfen, ob der Image-Tag die Korrektur enthält.
- Prüfen, ob auf dem Pi-hole-Host keine nicht vertrauenswürdigen lokalen Konten oder Dienste laufen.
- Dateiberechtigungen in /etc/pihole überprüfen.
- Die Priorität erhöhen, wenn der Host mit anderen Benutzern oder Diensten geteilt wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-xch2-4qxw-g5vj github.com
- Pi-hole Core v6.5 release github.com
- Fix commit 85de82d (review feedback) github.com
- Fix commit c1062f4 (root must not write version file) github.com
- Pi-hole blog: FTL v6.8, Web v6.6.1 and Core v6.5 released pi-hole.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:38.
Referenzen der NVD (6)
- https://github.com/pi-hole/pi-hole/commit/85de82dd2b63bf71ecb936177dfb82421d9d2f25
- https://github.com/pi-hole/pi-hole/commit/c1062f43b0de1876321bafac58fba862406366cb
- https://github.com/pi-hole/pi-hole/commit/e05dc3f139206fd8d0e4a052dceefb9056533517
- https://github.com/pi-hole/pi-hole/pull/6719
- https://github.com/pi-hole/pi-hole/releases/tag/v6.5
- https://github.com/pi-hole/pi-hole/security/advisories/GHSA-xch2-4qxw-g5vj
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.