PT-2024-25819 · Pi-Hole · Pi-Hole

T0X1Cx · Publicado 2024-07-05 · Atualizado 2025-10-02 · CVE-2024-34361

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Pi-hole anteriores à 5.18.3

Descrição

O Pi-hole é um sinkhole de DNS que protege dispositivos contra conteúdos indesejados sem a necessidade de instalar nenhum software no lado do cliente. Uma vulnerabilidade permite que um usuário autenticado faça solicitações internas ao servidor por meio da função gravity DownloadBlocklistFromUrl(). Dependendo de algumas circunstâncias, a vulnerabilidade pode levar à execução remota de comandos.

Recomendações

Para versões anteriores à 5.18.3, atualize para a versão 5.18.3 para resolver o problema. Como solução temporária, considere restringir o acesso à função gravity DownloadBlocklistFromUrl() até que o patch seja aplicado.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-34361

GHSA-JG6G-RRJ6-XFG6

Produtos afetados

Pi-Hole

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/34xxx/CVE-2024-34361.json · Exploit
• https://github.com/pi-hole/pi-hole/security/advisories/GHSA-jg6g-rrj6-xfg6 · Aviso do Fabricante
• https://github.com/pi-hole/pi-hole/commit/2c497a9a3ea099079bbcd1eb21725b0ed54b529d · Correção
• https://osv.dev/vulnerability/CVE-2024-34361 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-34361 · Nota de Segurança
• https://twitter.com/vuldb/status/1809633164433977798 · Publicação no Twitter
• https://t.me/cvenotify/85278 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1809302214948556857 · Publicação no Twitter
• https://twitter.com/cracbot/status/1810554578989142309 · Publicação no Twitter
• https://t.me/cveNotify/137163 · Publicação no Telegram
• https://t.me/cvedetector/135 · Publicação no Telegram
• https://twitter.com/cracbot/status/1810192194789396875 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1809330490144403867 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1809296175608082845 · Publicação no Twitter