CVEノート

最近の脆弱性 › CVE-2020-8816

Pi-hole AdminLTE のリモートコード実行の脆弱性（CVE-2020-8816）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2020-8816
製品Pi-hole AdminLTE
深刻度（CVSS）7.2 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-12-10
米国政府機関の対応期限2022-06-10
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-78

何が起きた

Pi-hole Web（AdminLTE とも呼ばれる管理画面）に、細工した DHCP の固定割り当て（static lease）の設定を通じて、サーバー上で命令を実行されてしまう弱点が見つかりました。CISA によると、実際に悪用が確認されています。NVD の評価では、ネットワーク経由で攻撃できますが、管理画面を使える高い権限を持つ利用者であることが必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が管理画面にログインする → 2. DHCP の固定割り当てに細工した値を入れる → 3. サーバー上で命令が実行される1攻撃者が管理画面にログインする2DHCP の固定割り当てに細工した値を入れる3サーバー上で命令が実行される攻撃の流れ: 1. 攻撃者が管理画面にログインする → 2. DHCP の固定割り当てに細工した値を入れる → 3. サーバー上で命令が実行される1攻撃者が管理画面にログインする2DHCP の固定割り当てに細工した値を入れる3サーバー上で命令が実行される

誰が影響を受ける

Pi-hole Web v4.3.2 を使っている人・組織が影響を受けます。修正は v4.3.3 で行われており、それより前の版を使っている場合は注意が必要です。

何をすればいい

Pi-hole Web を v4.3.3 以降に更新されているか確認してください。Pi-hole の公式の案内を確認し、古いバージョンが使われていないか確かめてください。Pi-hole の公式のリリースノートでは、v4.3.3 はこの弱点（MAC アドレスの入力を通じた攻撃）を直すための更新と説明されています。

やることチェックリスト

用語メモ

DHCP
ネットワークにつないだ機器に、IP アドレスなどの設定を自動で配る仕組みです。
管理画面
ソフトの設定をブラウザなどから変更するための画面です。
Pi-hole
家庭や会社のネットワークで、広告などの通信をまとめて遮断するためのソフトです。

元データ（英語・CISA KEV より）

Pi-Hole AdminLTE Remote Code Execution Vulnerability

概要

Pi-hole Web v4.3.2 (aka AdminLTE) allows Remote Code Execution by privileged dashboard users via a crafted DHCP static lease.

推奨対応

Apply updates per vendor instructions.

公式情報