CVE-2020-8816
Pi-Hole AdminLTE Remote Code Execution Vulnerability
Beschreibung
CVE-2020-8816 ist eine schwerwiegende OS Command Injection-Schwachstelle in Pi-hole Web v4.3.2 (auch bekannt als AdminLTE). Die Schwachstelle ermöglicht es privilegierten Dashboard-Benutzern, über eine manipulierte statische DHCP-Lease-Konfiguration beliebigen Code auf dem Server auszuführen. Ein authentifizierter Angreifer kann durch das Einschleusen von Shell-Metazeichen in das MAC-Adressfeld eine Remote Code Execution erreichen. CISA hat CVE-2020-8816 in den Known Exploited Vulnerabilities-Katalog aufgenommen, was die aktive Ausnutzung in der Praxis bestätigt. Mit einem EPSS-Score von 90,78 % (99,6. Perzentile) besteht eine extrem hohe Wahrscheinlichkeit der Ausnutzung dieser Pi-hole-Schwachstelle.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| pi-hole | pi-hole | <= 4.3.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/157861/Pi-Hole-4.3.2-DHCP-MAC-OS-Command-Execution.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/158737/Pi-hole-4.3.2-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- https://github.com/pi-hole/AdminLTE/commits/master(Patch, Third Party Advisory)
- https://github.com/pi-hole/AdminLTE/pull/1165(Patch, Third Party Advisory)
- https://github.com/pi-hole/AdminLTE/releases/tag/v4.3.3(Release Notes, Third Party Advisory)
- https://natedotred.wordpress.com/2020/03/28/cve-2020-8816-pi-hole-remote-code-execution/(Broken Link, Exploit, Third Party Advisory)
- https://twitter.com/Nate_Kappa/status/1243900213665902592?s=20(Broken Link, Press/Media Coverage)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-8816(US Government Resource)
Schwachstellentyp
CWE-78: Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')
OS Command Injection tritt auf, wenn Software Shell-Befehle unter Verwendung extern beeinflusster Eingaben konstruiert, ohne Spezialelemente korrekt zu neutralisieren. Im Fall von Pi-hole AdminLTE werden Benutzereingaben im DHCP-Lease-Formular (MAC-Adressfeld) nicht ausreichend sanitisiert, bevor sie an Betriebssystembefehle übergeben werden. Angreifer können Shell-Metazeichen einschleusen, um beliebige Befehle mit den Privilegien des Pi-hole-Prozesses auszuführen.
Weitere Informationen: CWE-78 — Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')
Auswirkungsanalyse
CVE-2020-8816 hat einen CVSS 3.1-Score von 7.2 (HIGH) und stellt eine erhebliche Bedrohung für Pi-hole-Installationen dar. Die Schwachstelle ist über das Netzwerk ausnutzbar (Attack Vector: NETWORK) bei geringer Angriffskomplexität (Attack Complexity: LOW), erfordert jedoch hohe Privilegien (Privileges Required: HIGH), was bedeutet, dass ein Angreifer Zugang zum Pi-hole-Dashboard benötigt. Es ist keine Benutzerinteraktion erforderlich (User Interaction: NONE). Vertraulichkeit (High): Ein Angreifer kann alle auf dem System gespeicherten Daten auslesen, einschließlich DNS-Konfigurationen und Netzwerkinformationen. Integrität (High): Beliebige Systemänderungen sind möglich, wie das Modifizieren von DNS-Einträgen oder das Installieren von Malware. Verfügbarkeit (High): Der Pi-hole-Dienst und das gesamte Hostsystem können vollständig kompromittiert werden. Der EPSS-Score von 90,78 % signalisiert eine nahezu sichere aktive Ausnutzung.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2020-8816 über Packet Storm Security sowie ein weiterer Remote Code Execution-Exploit. Zusätzlich existiert ein detaillierter Exploit-Writeup, der die Ausnutzung Schritt für Schritt dokumentiert. CISA hat die aktive Ausnutzung von CVE-2020-8816 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2022-06-10. Der EPSS-Score von 90,78 % (99,6. Perzentile) zeigt eine extrem hohe Ausnutzungswahrscheinlichkeit und unterstreicht die Dringlichkeit sofortiger Maßnahmen.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Aktualisieren Sie Pi-hole AdminLTE umgehend auf Version 4.3.3 oder höher.
- Überprüfen Sie, dass alle Pi-hole-Instanzen (Versionen <= 4.3.2) auf die gepatchte Version aktualisiert wurden. Der Patch und die Release Notes v4.3.3 sind auf GitHub verfügbar.
- Beschränken Sie den Zugriff auf das Pi-hole-Dashboard auf vertrauenswürdige IP-Adressen mittels Firewall-Regeln. Setzen Sie ein starkes Passwort für das Admin-Interface und stellen Sie sicher, dass das Dashboard nicht über das Internet erreichbar ist.
- Überwachen Sie Systemlogs auf verdächtige Aktivitäten, insbesondere ungewöhnliche Prozesse oder Netzwerkverbindungen, die von dem Pi-hole-System ausgehen. Prüfen Sie die DHCP-Lease-Konfiguration auf manipulierte MAC-Adressen.
- Implementieren Sie als langfristige Maßnahme Eingabevalidierung auf Allowlist-Basis für alle Felder, die mit Betriebssystembefehlen interagieren, und führen Sie Anwendungen mit minimal notwendigen Privilegien aus.
Technische Details
CVE-2020-8816 betrifft die DHCP-Konfigurationsfunktion von Pi-hole AdminLTE bis Version 4.3.2. Die Schwachstelle entsteht durch unzureichende Neutralisierung von Shell-Metazeichen in der MAC-Adress-Eingabe des statischen DHCP-Lease-Formulars. Wenn ein privilegierter Benutzer eine manipulierte MAC-Adresse mit eingebetteten Shell-Befehlen (z.B. Semikolons, Pipes oder Backticks) eingibt, werden diese Befehle bei der Verarbeitung der Lease-Konfiguration mit den Privilegien des Pi-hole-Prozesses ausgeführt. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H bestätigt die netzwerkbasierte Ausnutzbarkeit bei geringer Komplexität, wobei hohe Privilegien (Dashboard-Zugang) als Voraussetzung die Hürde darstellen. Die Klassifizierung als CWE-78 (OS Command Injection) verdeutlicht, dass das Problem in der direkten Einbindung von Benutzereingaben in Systembefehle ohne parametrisierte Ausführung liegt.
Häufig gestellte Fragen
Wird CVE-2020-8816 aktiv ausgenutzt?
Ja. CVE-2020-8816 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung in der Praxis bestätigt. Der EPSS-Score von 90,78 % (99,6. Perzentile) zeigt eine extrem hohe Ausnutzungswahrscheinlichkeit. Mehrere öffentliche Exploits sind verfügbar, was die Einstiegshürde für Angreifer erheblich senkt.
Welche Produkte sind von CVE-2020-8816 betroffen?
CVE-2020-8816 betrifft Pi-hole Web (AdminLTE) in Versionen bis einschließlich 4.3.2. Das Pi-hole-Projekt ist eine weit verbreitete DNS-basierte Werbe- und Tracking-Blockierlösung, die häufig auf Raspberry Pi und anderen Linux-Systemen eingesetzt wird.
Wie behebe ich CVE-2020-8816?
Aktualisieren Sie Pi-hole AdminLTE auf Version 4.3.3 oder höher. Falls ein sofortiges Update nicht möglich ist, beschränken Sie den Zugriff auf das Pi-hole-Dashboard auf vertrauenswürdige IP-Adressen und stellen Sie sicher, dass das Interface nicht über das Internet erreichbar ist.
Wie schwerwiegend ist CVE-2020-8816?
CVE-2020-8816 hat einen CVSS 3.1-Score von 7.2 (HIGH). Obwohl hohe Privilegien (Dashboard-Zugang) erforderlich sind, ermöglicht die Schwachstelle vollständige Remote Code Execution. Der extrem hohe EPSS-Score von 90,78 % unterstreicht die akute Bedrohungslage.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.