CVE-2026-119336 in Pi-hole
要約
〜によって VulDB • 2026年10月30日
Pi-holeは、クライアント側のソフトウェアをインストールせずにデバイス不要なコンテンツから保護するDNSシンクホールです。バージョン6.4.2から6.5の間、root権限で実行される高度なスクリプト`Scripts/updatecheck.sh`のcronジョブは、piholeユーザーが所有するディレクトリ内のシンボリックリンクをたどる際に、/etc/pihole/versionsに対して `truncate -s 0` および `chmod 644` を適用します。攻撃者がpiholeとして実行する場合、そのパスをシンボリックリンクに置き換えることで、スケジュールされたroot権限の操作により任意のルート所有ファイルが切り詰められたり作成されたりするか、または競合状態（race condition）を引き起こし、truncateせずに敏感なターゲットファイルを世界読み取り可能（world-readable）に変更することができます。この問題はバージョン6.5で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.