Pi-hole FTL 远程代码执行漏洞 (RCE) 总结 漏洞概述 安全研究员 Julio Ángel Ferrari (aka TOX1CX) 发现 Pi-hole FTL 引擎中存在远程代码执行 (RCE) 漏洞。该漏洞位于 DHCP 租约时间配置参数 ( ) 中。攻击者可以通过注入换行符 ( ) 来向 配置文件注入任意配置指令,从而在底层系统上执行命令。 漏洞类型: 远程代码执行 (RCE) / 换行符注入 (Newline Injection) CVSS 评分: 8.8 / 10 (High) 利用条件: 需要已认证的攻击者 (Authenticated Attacker) 访问 Pi-hole 管理界面。 影响范围 受影响版本: Pi-hole FTL >= 6.0 修复版本: 6.6 修复方案 升级 Pi-hole FTL 至版本 6.6 或更高版本。 利用代码 (PoC) 以下是页面中提供的利用代码片段: 1. 获取认证 Token (登录) 2. 发送恶意 Payload (注入) 3. 重启 DNS 服务以触发漏洞 4. Python 自动化利用脚本**