Repositori ini berisi eksploitasi untuk CVE-2024-34361, kerentanan kritis (CVSS 8.6) yang ditemukan di Pi-hole, lubang pembuangan DNS yang banyak digunakan untuk memblokir iklan dan melacak domain di tingkat jaringan.
Kerentanan muncul dari validasi URL yang tidak tepat, yang dapat dieksploitasi melalui SSRF (Server-Side Request Forgery). Dalam kondisi tertentu, SSRF ini dapat dieskalasi menjadi RCE (Remote Code Execution) menggunakan protokol Gopherus.
Memanfaatkan kerentanan ini memungkinkan penyerang mengirim permintaan sewenang-wenang dari server Pi-hole, yang berpotensi menyebabkan eksekusi perintah yang tidak sah pada sistem.
Kelemahan keamanan ini tidak hanya membahayakan kerahasiaan dan integritas sistem tetapi juga menimbulkan ancaman signifikan terhadap ketersediaannya dengan membiarkan penyerang menjalankan perintah sewenang-wenang.
Versi yang Terkena Dampak:
Pastikan Python diinstal pada sistem Anda untuk memanfaatkan eksploitasi ini. Kloning repositori dan atur lingkungan yang diperlukan sebagai berikut:
git clone https://github.com/T0X1Cx/CVE-2024-34361-Pi-hole-SSRF-to-RCE.git
cd CVE-2024-34361-Pi-hole-SSRF-to-RCE
pip install -r requirements.txtJalankan eksploitasi menggunakan perintah di bawah ini:
python3 exploit.py [Pi-Hole URL] [Admin password]Untuk menggunakan eksploitasi ini, Anda perlu menginstal dan mengkonfigurasi Redis pada sistem target. Ikuti langkah-langkah berikut untuk menginstal Redis:
Unduh dan ekstrak Redis:
wget https://download.redis.io/releases/redis-6.0.3.tar.gz
tar -xvf redis-6.0.3.tar.gz
cd redis-6.0.3Kompilasi dan mulai Redis:
make
cd src/
sudo ./redis-server
Eksploitasi ini hanya untuk tujuan pengujian keamanan pendidikan dan etika. Penggunaan eksploitasi ini terhadap target tanpa persetujuan bersama sebelumnya adalah ilegal, dan pengembang tidak bertanggung jawab atas penyalahgunaan atau kerusakan yang disebabkan oleh eksploitasi ini.
Eksploitasi dikembangkan oleh Julio Ángel Ferrari (Aka. T0X1Cx)
