Pi-hole schließt kritische DNS-Lücken in dnsmasq
Heap Buffer Overflow, Cache Poisoning und Privilege Escalation – Millionen Heimnetze und KMU-Resolver potenziell gefährdet
Auf einen Blick
Pi-hole hat ein wichtiges Update veröffentlicht, das mehrere Schwachstellen in der integrierten DNS-/DHCP-Komponente dnsmasq beseitigt. Betroffen sind Raspberry-Pi-, Home-Server- und Docker-Installationen. Die Lücken reichen von Heap Buffer Overflow über DNS Cache Poisoning bis hin zu Remote Code Execution. Empfohlen: Pi-hole FTL 6.6.2 sowie dnsmasq 2.92rel2 / 2.93.
Wer Pi-hole zur Werbe- und Tracking-Blockierung im Heimnetz nutzt, sollte jetzt handeln. Die Entwickler haben ein wichtiges Sicherheitsupdate veröffentlicht, das mehrere Schwachstellen in der integrierten DNS-/DHCP-Komponente dnsmasq beseitigt. Besonders im Fokus: Systeme auf Basis von Raspberry Pi, Home-Servern und Docker-Installationen.
Laut CERT und den Pi-hole-Entwicklern können manipulierte DNS-Antworten unter bestimmten Umständen sogar zu Remote Code Execution, Cache Poisoning oder Root-Rechte-Eskalation führen – nicht nur zu klassischen Denial-of-Service-Angriffen.
Diese Schwachstellen wurden geschlossen
Heap Buffer Overflow
Manipulierte DNS-Antworten überschreiben Heap-Speicher – potentiell Remote Code Execution.
DHCP-Helper Buffer Overflow
Speicherfehler in der DHCP-Komponente erlauben Eskalation im lokalen Netz.
Out-of-Bounds Reads
Speicherzugriffe außerhalb erlaubter Bereiche führen zu Crashes oder Info-Leaks.
DNSSEC-DoS
Speziell präparierte DNSSEC-Antworten legen den Resolver lahm.
EDNS-Client-Bypass
Sicherheitsprüfungen im EDNS-Client lassen sich umgehen – Tor zur Cache-Manipulation.
Besonders kritisch: Mehrere der Lücken könnten Angreifern ermöglichen, DNS-Caches zu manipulieren oder Schadcode mit erhöhten Rechten auszuführen.
Warum Pi-hole für Angreifer so interessant ist
Pi-hole ist längst mehr als ein Werbeblocker. Viele Nutzer und Unternehmen setzen das System als zentralen DNS-Server für komplette Heim- oder Firmennetze ein. Dadurch sitzt Pi-hole an einer extrem sensiblen Stelle der Infrastruktur:
Gerade weil Pi-hole oft „einfach läuft", werden Updates in vielen Umgebungen vergessen – ideale Bedingungen für automatisierte Massenscans.
Folgen einer Kompromittierung
Wird ein Pi-hole-System übernommen, können Angreifer das gesamte Netz manipulieren:
DNS-Anfragen werden manipuliert
Nutzer landen auf Phishing- und Fake-Webseiten
Geräte im Netzwerk werden überwacht
Schadsoftware wird gezielt verteilt
Komplette Netzwerkkommunikation gerät unter Kontrolle
DNS-Cache lässt sich vergiften (Cache Poisoning)
Update sofort empfohlen
Empfohlen sind Pi-hole FTL 6.6.2 oder neuer sowie dnsmasq 2.92rel2 / 2.93. Das Update läuft direkt über das Terminal des Pi-hole-Hosts:
# Aktuelle Version prüfen pihole -v # Update einspielen sudo pihole -up # Docker docker compose pull && docker compose up -d
Nach dem Update: Logs prüfen, DNS-Auflösung testen und sicherstellen, dass keine Clients wegen einer veränderten DHCP-Konfiguration ausfallen.
Hardening-Checkliste für Pi-hole
- 1Pi-hole-Weboberfläche niemals direkt aus dem Internet erreichbar machen
- 2Sichere, einzigartige Admin-Passwörter setzen
- 3Ungenutzte DHCP-Funktionen deaktivieren
- 4Automatische Update-Routine etablieren
- 5DNS-over-HTTPS / DoT-Upstream konfigurieren
- 6Regelmäßige Backups der Pi-hole-Konfiguration
Die Sicherheitsserie reißt nicht ab
Bereits in den vergangenen Wochen mussten die Pi-hole-Entwickler mehrfach kritische Sicherheitsupdates veröffentlichen. Geschlossen wurden unter anderem:
- Privilege-Escalation-Lücken in der Web-UI
- Code-Injection-Schwachstellen
- Cross-Site-Scripting (XSS) im Admin-Interface
- Root-Exploit-Möglichkeiten über manipulierte API-Aufrufe
Selbst kleine Heimserver oder Werbeblocker werden heute aktiv zum Angriffsziel – besonders wenn sie zentrale Netzwerkfunktionen übernehmen.
Fazit: Pi-hole ist Infrastruktur, kein Spielzeug
Viele Nutzer sehen Pi-hole lediglich als „Werbeblocker". Tatsächlich handelt es sich um einen zentralen Netzwerkdienst mit tiefem Zugriff auf die gesamte Kommunikation im Heim- oder Firmennetz.
Wer Updates ignoriert, riskiert nicht nur Werbung im Netzwerk – sondern potenziell die vollständige Kontrolle über DNS, Geräte und Datenverkehr. Administratoren sollten das Sicherheitsupdate daher schnellstmöglich installieren.
Quelle: heise online – „Pi-hole schließt kritische DNS-Lücken in dnsmasq".
Verwandte Begriffe
Wasacon in deiner Region
Härtung von DNS-Diensten, Pi-hole, dnsmasq, Firewalls, EDR/XDR und Incident Response für Mittelstand und Praxis-IT:
Häufige Fragen
DNS-Sicherheit prüfen, bevor Angreifer es tun
Wasacon analysiert Pi-hole, dnsmasq, Resolver, Firewalls und Monitoring – und zeigt klar, wo im Netzwerk die echten Risiken liegen.
Mehr zu DNS, Patch-Management & Open-Source-Sicherheit
Wie Angreifer kleine, übersehene Netzwerkdienste zum Angriffsziel machen – und wie Unternehmen sich wappnen:
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
