CVE-2026-119334 Pi-holeの権限不備脆弱性 6.5で修正
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Pi-holeのバージョン6.5以前において、gravity.shスクリプトが`file://`形式の広告フィルタリストを読み込む際の権限チェックに不備があり、`sudo`と`curl`の処理に悪用される可能性があります。管理者が広告フィルタリストを追加できる環境では、シンボリックリンクと偽ファイルを設置することで、本来アクセスできないファイルを読み取る攻撃が可能となるため、ファイルシステムの権限設定や`curl`の実行環境の確認が必要です。この脆弱性は6.5以降のバージョンで修正されており、利用中のバージョンが対象範囲に該当する場合は、アップデートや設定の見直しを検討してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について考えよ。権限チェックの欠如がもたらす問題は、単なる技術的欠陥に過ぎないのか？それとも、システム設計における信頼の原則に挑戦する倫理的問題ではないのか？
確かに技術的欠陥ではあるが、ソクラテス。管理者が「信頼できるファイル」を追加できる環境では、その信頼が悪用される可能性がある。まずは、運用中のPi-holeのバージョンを確認すべきだ。6.5以前か？それとも既に修正済みか？
なるほど。では、この脆弱性が発生する条件は何か？管理者の権限とファイルシステムの設定に依存するのか？
その通り。管理者が広告フィルタリストを追加できる環境では、シンボリックリンクや偽ファイルを設置することで攻撃が可能となる。つまり、sudoとcurlの実行環境が適切に制御されていないと、問題が生じる。
では、具体的な対応策は？
まず、Pi-holeのバージョンを確認し、6.5以降にアップグレードするか、設定を見直すことが必要だ。また、curlの実行環境やsudoの権限設定を再評価し、不要なアクセス権を削減すべきだ。
だが、このような問題は常に存在するのではないのか？
確かに、だが、ベンダーが提供する情報とパッチ適用を怠れば、リスクは増大する。NVDの情報も確認し、変更管理の文書化と監視体制を整えることが肝要だ。
ならば、この脆弱性は、運用者が「信頼」をどう定義するかにかかっているのだろう？
その通り。信頼は、常に再確認の必要がある。この機会に、自身のシステムの「信頼」を点検してみる価値はあるだろう。
関連キーワード: sudo, curl