🇰🇷 한글 설명
Pi-hole 6.0부터 6.5 미만 버전의 관리 인터페이스에서 /api/config 엔드포인트의 설정값이 HTML 속성에 이스케이프 없이 직접 삽입되는 HTML 속성 주입 취약점이 발견되었습니다. 공격자는 악성 텔레포터 백업 파일을 가져오는 방식으로 서버 측 검증을 우회하여 UI를 변조할 수 있습니다.
💡 쉬운 설명
Pi-hole 설정 화면에서 특정 값을 조작하여 웹사이트의 모양을 마음대로 바꿀 수 있는 보안 약점이 있습니다. 공격자가 만든 가짜 설정 파일을 불러오면 관리자 화면이 교묘하게 조작될 수 있습니다.
🇺🇸 원문 (English)
Pi-hole Admin Interface is a web interface for managing Pi-hole, a network-level ad and internet tracker blocking application. From 6.0 to before 6.5, configuration values from the /api/config endpoint are placed directly into HTML value="" attributes without escaping in settings-advanced.js, enabling HTML attribute injection. A double quote in any config value breaks out of the attribute context. JavaScript execution is blocked by the server's CSP (script-src 'self'), but injected attributes can alter element styling for UI redressing. The primary attack vector is importing a malicious teleporter backup, which bypasses per-field server-side validation. This vulnerability is fixed in 6.5.
📍 영향받는 시스템
Pi-hole Admin Interface version 6.0 to before 6.5
⚔️ 공격 벡터
악성 텔레포터(Teleporter) 백업 파일을 관리자 인터페이스를 통해 가져오기(Import)
🛡️ 대응 방법
Pi-hole를 6.5 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 6.0에서 6.4 사이의 버전 번호가 나타나면 취약한 버전이 설치된 상태입니다.
curl -s http://<PI-HOLE_IP>/api/version | grep -E '"version":"6\.[0-4]\.'