• ひとことでPi-hole の管理画面で、細工した設定から命令を実行される弱点です。
  • 深刻度7.2 重要CVSS v3.1
  • まずやることPi-hole Web を v4.3.3 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2020-8816
製品Pi-hole AdminLTE
深刻度（CVSS）7.2 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-12-10
米国政府機関の対応期限2022-06-10
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-78（OSコマンドインジェクション）

何が起きた

Pi-hole Web（AdminLTE とも呼ばれる管理画面）に、細工した DHCP の固定割り当て（static lease）の設定を通じて、サーバー上で命令を実行されてしまう弱点が見つかりました。CISA によると、実際に悪用が確認されています。NVD の評価では、ネットワーク経由で攻撃できますが、管理画面を使える高い権限を持つ利用者であることが必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が管理画面にログインする → 2. DHCP の固定割り当てに細工した値を入れる → 3. サーバー上で命令が実行される1攻撃者が管理画面にログインする2DHCP の固定割り当てに細工した値を入れる3サーバー上で命令が実行される攻撃の流れ: 1. 攻撃者が管理画面にログインする → 2. DHCP の固定割り当てに細工した値を入れる → 3. サーバー上で命令が実行される1攻撃者が管理画面にログインする2DHCP の固定割り当てに細工した値を入れる3サーバー上で命令が実行される攻撃の流れ: 1. 攻撃者が管理画面にログインする → 2. DHCP の固定割り当てに細工した値を入れる → 3. サーバー上で命令が実行される1攻撃者が管理画面にログインする2DHCP の固定割り当てに細工した値を入れる3サーバー上で命令が実行される

誰が影響を受ける

Pi-hole Web v4.3.2 を使っている人・組織が影響を受けます。修正は v4.3.3 で行われており、それより前の版を使っている場合は注意が必要です。

何をすればいい

Pi-hole Web を v4.3.3 以降に更新されているか確認してください。Pi-hole の公式の案内を確認し、古いバージョンが使われていないか確かめてください。Pi-hole の公式のリリースノートでは、v4.3.3 はこの弱点（MAC アドレスの入力を通じた攻撃）を直すための更新と説明されています。

やることチェックリスト

  • Pi-hole Web を v4.3.3 以降に更新する
  • Pi-hole Web の今のバージョンを確かめる
  • Pi-hole Web が動いている機器を洗い出す

用語メモ

DHCP
ネットワークにつないだ機器に、IP アドレスなどの設定を自動で配る仕組みです。
管理画面 用語集で見る
ソフトの設定をブラウザなどから変更するための画面です。
Pi-hole
家庭や会社のネットワークで、広告などの通信をまとめて遮断するためのソフトです。

次に読む

基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Pi-Hole AdminLTE Remote Code Execution Vulnerability

概要

Pi-hole Web v4.3.2 (aka AdminLTE) allows Remote Code Execution by privileged dashboard users via a crafted DHCP static lease.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る