Mjkim610

يتم تنفيذ نصين برمجيين من نوع shell، وهما `pihole-FTL-prestart.sh` و`pihole-FTL-poststop.sh`، بواسطة systemd بصفة الجذر (root)، ويقومان بقراءة مسار ملف `files.pid` من ملف التكوين دون التحقق من صحته، ثم يستخدمانه في عمليات ملفات ذات امتيازات خاصة. يمكن للمهاجم الذي يتمتع بامتيازات pihole كتابة مسار تعسفي في ملف `files.pid` لحمل المستخدم الجذر على حذف وإعادة إنشاء أي ملف على النظام خارج الدلائل التي تخضع لـ ProtectSystem=full-restricted، مما يمنحه حق الوصول للكتابة إلى تلك الملفات. في التثبيتات الافتراضية، يتيح هذا تصعيد الامتيازات المحلية إلى الجذر من خلال التلاعب بمفاتيح SSH المصرح بها.

يمكن تجاوز عملية التحقق من صحة سطر الطلب عند إنشاء كائن `DefaultHttpRequest` أو `DefaultFullHttpRequest` ثم تعديل عنوان URI الخاص به لاحقًا باستخدام الدالة `setUri()`. في حين أن منشئات الكائنات ترفض أحرف CRLF (Carriage Return Line Feed) وأحرف المسافات البيضاء لمنع تلف بداية السطر، فإن `setUri()` لا تقوم بهذا التحقق. ونتيجة لذلك، يقوم كل من `HttpRequestEncoder` و`RtspEncoder` بكتابة عنوان URI في سطر الطلب حرفياً. إذا تم تمرير مدخلات يسيطر عليها المهاجم إلى `setUri()`، فإن ذلك يتيح حقن أحرف CRLF وإدراج طلبات HTTP أو RTSP إضافية. قد يؤدي ذلك إلى تهريب طلبات HTTP، وفقدان التزامن على جانب HTTP، وحقن الطلبات على جانب RTSP.