Root-Access: Pi-hole-Update stopft sechs Sicherheitslücken
KI-generiert mit ChatGPT
Der DNS-basierte Werbeblocker Pi-hole schließt mit einem Update sechs Sicherheitslücken. Vier davon gelten als schwerwiegend. Die gefährlichste erlaubt die Ausweitung der eigenen Rechte bis auf Root-Ebene.
Welche Angriffe die Schwachstellen ermöglichen
Pi-hole filtert Werbung und Tracker auf DNS-Ebene. DNS ist das Adressbuch des Internets, das Domains in IP-Adressen übersetzt. Pi-hole läuft häufig auf einem Raspberry Pi im Heimnetz. Solche dauerhaft erreichbaren Geräte rücken zunehmend in den Fokus von Angreifern.
Der Hersteller stuft vier der sechs Lücken als kritisch ein. Am schwersten wiegt eine Rechteausweitung unter der Kennung CVE-2026-50130. CVE ist ein öffentliches Verzeichnis, das dokumentierte Schwachstellen mit einer eindeutigen Nummer erfasst. Besagte Sicherheitslücke erreicht einen CVSS-Wert von 8.8. Ein Angreifer mit Zugriff auf das eingeschränkte Konto pihole kann die Datei /etc/pihole/logrotate ersetzen und dadurch Root-Rechte erlangen.
Eine zweite Schwachstelle betrifft ein wirkungsloses Sitzungs-Timeout, durch das sich eine gültige Admin-Sitzung dauerhaft übernehmen lässt. Für besagte Sicherheitslücke vergibt Pi-hole keine CVE-Nummer, der Schweregrad liegt aber ebenfalls bei 8.8. Hinzu kommt eine Schwachstelle, über die Angreifer den Dienst durch eine große Zahl von Anfragen lahmlegen können. Diese ist unter der Kennung CVE-2025-62165 mit einem Wert von 7.5 dokumentiert.
Die vierte schwerwiegende Lücke ermöglicht einem angemeldeten Administrator, eigenen Code auszuführen. Ursache ist eine ungefilterte CivetWeb-Option, über die sich der Pfad zu einer selbst abgelegten Datei eintragen lässt. Beim nächsten Neustart des Dienstes führt Pi-hole diese Datei als Skript aus. Die Teleporter-Funktion ist dabei lediglich eine Möglichkeit, die Datei auf dem System abzulegen.
AnzeigeRisiko und Update
Im eigenen Heimnetz lässt sich das Ganze nur von jemandem ausnutzen, der bereits Zugriff auf die Weboberfläche oder das pihole-Konto hat. Dies entschärft die Lage. Im schlimmsten Fall kann ein Angreifer im selben Netz den Raspberry Pi aber vollständig übernehmen.
Behoben sind die genannten Sicherheitslücken in den Versionen FTL 6.7, Web 6.6 sowie Core 6.4.3. Das Update läuft über den gewohnten Befehl pihole -up im Terminal. Ein Neustart des Dienstes wird empfohlen. Grundsätzlich sollte die Weboberfläche niemals öffentlich aus dem Internet erreichbar sein. Wie wichtig eine saubere Firewall-Konfiguration ist, zeigt unsere Anleitung zur Installation mit Firewall und Loopback.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
