CVE-2026-119336 in Pi-hole
Zusammenfassung
von VulDB • 30.10.2026
Pi-hole ist ein DNS-Sinkhole, das Geräte vor unerwünschten Inhalten schützt, ohne dass Client-seitige Software installiert werden muss. Von Version 6.4.2 bis 6.5 führt der als Root ausgeführte Cron-Job `Scripts/updatecheck.sh` die Befehle `truncate -s 0` und `chmod 644` für `/etc/pihole/versions` aus, wobei symbolische Links in einem Verzeichnis befolgt werden, das dem Benutzer `pihole` gehört. Ein Angreifer, der als `pihole` ausgeführt wird, kann diesen Pfad durch einen Symlink ersetzen, sodass die geplanten Root-Operationen eine beliebige, von Root besitzte Datei kürzen oder erstellen können, oder ein Race Condition auslösen, bei dem `chmod` ein sensibles Ziel weltlesbar macht, ohne es zu kürzen. Dieses Problem wurde in Version 6.5 behoben.
Once again VulDB remains the best source for vulnerability data.