Pi-hole schließt zahlreiche Sicherheitslücken

Das Entwicklerteam von Pi-hole hat mit FTL 6.8, Web 6.6.1 und Core 6.5 ein umfangreiches Update veröffentlicht. Im Mittelpunkt stehen zahlreiche Sicherheitskorrekturen, aber auch Verbesserungen bei der Leistung und Fehlerbehebungen.

Mit den am 17. Oktober veröffentlichten Versionen beseitigt das Pi-hole-Team gleich eine ganze Reihe von Sicherheitslücken in dem beliebten Werbe- und Trackingblocker. Fünf Schwachstellen sind mit einem CVSS-Wert zwischen 7,3 und 7,8 als hoch eingestuft. Sie betreffen unter anderem die Ausführung von Befehlen über manipulierte Prozess-IDs, unsichere Schreibzugriffe mit Root-Rechten und den Umgang mit symbolischen Links.

Für die fünf als hoch eingestuften Schwachstellen liegen bislang keine eigenen CVE-Kennungen vor. Pi-hole dokumentiert die Sicherheitslücken stattdessen in GitHub Security Advisories (GHSA), die detaillierte Beschreibungen, CVSS-Bewertungen und Informationen zu den betroffenen Versionen enthalten. Die fünf GHSA-Kennungen sind als Quellen am Ende der News aufgeführt.

Eine weitere Sicherheitslücke ermöglichte es angemeldeten Benutzern, über den Import einer Teleporter-Konfiguration das Dokumentenverzeichnis des integrierten Webservers zu verändern. Unter bestimmten Voraussetzungen konnten dadurch Dateien ohne Authentifizierung zugänglich werden.

Weitere Korrekturen verhindern unter anderem das Auslesen von Passwort-Hashes und TOTP-Geheimnissen über API-Sitzungen mit eingeschränkten Rechten. Auch mehrere Cross-Site-Scripting-Schwachstellen (XSS) in der Weboberfläche wurden behoben.

Verbesserte Leistung

Abseits der Sicherheitskorrekturen bringt FTL 6.8 mehrere Optimierungen. Das Live-Protokoll verwendet nun einen Ringpuffer, der den CPU-Aufwand bei der Verarbeitung zwischengespeicherter Antworten reduziert. Langzeitstatistiken werden effizienter aufbereitet. Zudem spart der Wegfall zweier nicht mehr benötigter Datenbankindizes rund 22 MByte Arbeitsspeicher pro Million DNS-Anfragen.

Die integrierten Komponenten dnsmasq und SQLite wurden auf die Versionen 2.93+30 beziehungsweise 3.53.3 aktualisiert. Zu den behobenen Fehlern gehört ein Problem, bei dem das Löschen der Protokolle versehentlich die gesamte Langzeitstatistik entfernte statt lediglich der letzten 24 Stunden. Auch Abstürze, Verzögerungen bei DNS-Anfragen und Fehler bei der Gruppenzuordnung von Clients wurden korrigiert. Core 6.5 verbessert darüber hinaus das Datenbankschema von Gravity, das die Blocklisten verwaltet. Web 6.6.1 konzentriert sich dagegen auf Fehlerkorrekturen in der Verwaltungsoberfläche.

Update zeitnah empfohlen

Aufgrund der zahlreichen Sicherheitskorrekturen empfiehlt sich eine zeitnahe Aktualisierung. Diese erfolgt bei klassischen Installationen mit dem Befehl pihole -up. Für Docker steht das Image mit dem Tag 2026.10.0 bereit. Vor dem Update empfiehlt das Entwicklerteam eine Sicherung der Konfiguration über die Teleporter-Funktion.