Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-78

CVE-2020-8816

Pi-hole AdminLTE'de DHCP statik kiralama üzerinden uzaktan kod çalıştırma

Pi-hole AdminLTE

Kritik 9,1 CVSS 3.0
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2343 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 10 Ara 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 10 Haz 2022.

Yönetici özeti

Pi-hole yönetim panelinde yetkili bir kullanıcı, sunucuda istediği komutları çalıştırabilir. Açığın aktif olarak istismar edildiği bilindiği için risk yüksektir. Güncellemenin gecikmeden uygulanması önerilir.

ÖzetTürkçe

Pi-hole Web (AdminLTE) 4.3.2 sürümünde, özel hazırlanmış bir DHCP statik kiralama kaydı aracılığıyla işletim sistemi komutu enjeksiyonu (CWE-78) yapılabilmektedir. Açığı yalnızca yönetim panelinde yetkili kullanıcılar istismar edebilir. Pi-hole AdminLTE arayüzünü kullanan sistemler etkilenir. Güvenlik açığı CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.

Saldırgan ne yapabilir?

Yetkili bir panel kullanıcısı, sunucu üzerinde kendi belirlediği komutları çalıştırabilir. Bu durum sistemin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Pi-hole Web v4.3.2 (aka AdminLTE) allows Remote Code Execution by privileged dashboard users via a crafted DHCP static lease.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Pi-hole AdminLTE bileşenini, satıcının talimatları doğrultusunda güncel ve düzeltilmiş sürüme yükseltin. Genel öneri
  2. CISA gereği: Güncellemeleri satıcı talimatlarına göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa yönetim paneline erişimi güvenilir ağlarla sınırlayın ve panel kullanıcılarını gözden geçirin. Genel öneri
  4. DHCP statik kiralama kayıtlarını inceleyin; olağan dışı veya şüpheli girdileri silin. Genel öneri

Ek önlemler

  • Pi-hole yönetim panelini internete açmayın; yalnızca yönetim ağından veya VPN üzerinden erişilebilir kılın. Genel öneri
  • Panel hesaplarında güçlü ve benzersiz parolalar kullanın, gereksiz yönetici hesaplarını kaldırın. Genel öneri
  • Sunucuda beklenmeyen süreçleri, yeni kullanıcıları ve olağan dışı giden bağlantıları izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Pi-hole AdminLTE Sürüm belirtilmemiş –

Kaynaklar9 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.