Software-update: AdGuard Home 0.107.73

AdGuard Home versie 0.107.73 is uitgekomen. Met deze software kan er thuis een DNS-server worden opgezet om zo onder meer advertenties en malware te blokkeren op het hele netwerk, waardoor dat niet langer op elk individueel apparaat nodig is. Het is daarmee dus vergelijkbaar met Pi-hole. AdGuard Home werkt op een machine met Windows, macOS, Linux of FreeBSD, is ook in staat om tegen phishing te beschermen en heeft parental control. Op ons eigen forum kan over het programma worden gediscussieerd. In deze uitgave is het volgende beveiligingsprobleem verholpen:

AdGuard Home v0.107.73

We are releasing this hotfix to address a recently discovered critical vulnerability that could allow users to bypass authentication and gain full access to AdGuard Home without valid credentials. We strongly recommend updating your AdGuard Home clients immediately.

Security

• Authentication is now applied to requests that have been upgraded from HTTP/2 Cleartext (H2C) requests to public resources.

Versienummer	0.107.73
Releasestatus	Final
Besturingssystemen	Linux, BSD, macOS, Windows 10, Windows 11
Website	AdGuard Team
Download	https://github.com/AdguardTeam/AdGuardHome/releases/tag/v0.107.73
Licentietype	Freeware

Reacties (16)

[webside007]

Ik draai al heel lang Pihole in docker op 2 Synology NAS systemen, werkt perfect.

Is AdGuard beter? Zo ja, waarom?

Of blijf ik beter op Pihole?

[lenwar]

Ben je blij met wat je hebt? Dan moet je het houden. (mijn basisregel voor veel zaken )

Maar goed. Zaken waar AGH 'beter' in is:

Functioneel: AGH heeft als voordeel dat het native DoH/DoT/DoQ spreekt aan zowel de voorkant als de achterkant. (je kunt met je browser DoH naar AGH praten, om vervolgens met DoH naar andere nameserver laat praten.)

Wat je puur vanuit een technisch oogpunt fijner kunt vinden:

Op Linux-systemen kan AGH ook zonder root-rechten draaien.

AGH is één binary met één configuratiebestand is. Niet een suite aan verschillende software packages met een complete PHP-installatie e.d.

(Maar aangezien je het nu in containers draait, zijn die zaken niet echt van belang voor jou.)

Je zou ook kunnen kijken naar Technitium. Dat is een meer 'low-level' DNS-server, die hetzelfde kan als AGH (native DoH enz.), maar is veel verder low-level te configureren. Als pi-hole nu voor jou doet wat het moet doen, is het voornamelijk meer nerdy (en dat kan ook wat waard zijn )

[Reactie gewijzigd door lenwar op 11 maart 2026 17:53]

[Toet3r]

Pi-hole heeft vanaf versie 6.0 al geen php en lighttpd meer nodig. Zit sindsdien ingebakken.

[lenwar]

Daar was ik niet van op de hoogte. Dan is dat dus niet meer van toepassing. Thanks

[rbr320]

Op Linux-systemen kan AGH ook zonder root-rechten draaien.

Ik hoor dit argument vaker gebruikt worden en ik snap niet helemaal waar dit vandaan komt. Ook Pi-Hole draait zonder root rechten op een Linux systeem, het installatie script maakt namelijk een eigen gebruiker "pihole" aan. Ja, het update script vraagt om uitgevoerd te worden met "sudo" en heeft dus root rechten, in theorie zou het met de pihole gebruiker kunnen werken maar dat is niet zo gebruikelijk.

Om de service te starten en stoppen via SystemD heb je verhoogde rechten nodig en om een poort te kunnen gebruiken onder de 1024 (de standaard poort voor DNS verzoeken is 53/UDP) moet je deze rechten toegewezen krijgen door de "root" gebruiker. Dat is op alle Linux systemen zo en geldt dus ook voor AGH.

[lenwar]

Je kunt AGH met 'Kernel Capabilities' op lage poorten laten luisteren zonder dat root hier bij te pas is gekomen. (dus ook zonder sudo en dat het later z'n rechten weer afbouwt, of een willekeurige andere methode voor privilege escalation.) Je kunt AGH dus volledig 'unprivileged' opstarten en laten draaien. Effectief pak je de archive uit, als een gebruiker (het hele pakket is één binary met één configuratiebestand), je markeert de binary met CAP_NET_BIND_SERVICE (met setcap - Dit moet wel als root!) en daarna kun je het als een non-privileged user opstarten en laten luisteren op lage poorten.

https://man7.org/linux/man-pages/man7/capabilities.7.html
CAP_NET_BIND_SERVICE
Bind a socket to Internet domain privileged ports (port
numbers less than 1024).

In principe kan natuurlijk iedere applicatie dit, maar de applicatie moet er wel op ontworpen zijn.

Het voordeel hiervan is, is dat, mocht er een één of andere wazig bug in de software zitten, die op tijdens het opstarten uitgebuit kan worden, dat het dan toch nooit iets met de root-user te maken heeft gehad. (nou zal het in de praktijk met AGH wel loslopen, maar dat is het idee.)

[rbr320]

je markeert de binary met CAP_NET_BIND_SERVICE (met setcap - Dit moet wel als root!)

Emphasis mine, maar dat is dus precies wat ik bedoel. Pi-Hole doet precies hetzelfde, maar dan via de SystemD unit file. Een paar regels uit die file ter illustratie:

User=pihole
AmbientCapabilities=CAP_NET_BIND_SERVICE

[TheCeet]

Is het beter? De ene zegt ja, de andere nee.
Zolang Pi-hole perfect werkt voor jouw noden: zo laten.
Mocht je toch problemen hebben ofzo, test AdGuard Home eens uit zou ik aanraden.

[lenwar]

Ik heb dit jarenlang met volle tevredenheid gebruikt. Werkt simpel (uitpakken en opstarten. Geen installatie, en 600MB aan dependencies en zo) en zonder derdepartijsoftware werkt het ook als DoH server aan beide kanten.

Ik ben echter wel een half jaar geleden overgestapt op Technitium DNS. Dat is een wat meer low-level product als DNS-server. Dit kan ook zelf met de root name servers spreken voor wie dat interessant vindt. (dus niet een opzet als AGH/pi-hole in combinatie met derdepartijsoftware als Unbound)

[querex]

Ivm DoH, bedoel je dat een Chrome Browser op een client (die op OS netwerk niveau ook adguard DNS geconfigureerd heeft) nog steeds gebruik wil maken van Google hun DNS ipv uw geconfigureerde adguard?
Moet je voor Adguard Home iets speciaal instellen om deze DoH ook via Adguard Home te laten gaan?
Bedankt!

[Reactie gewijzigd door querex op 11 maart 2026 12:04]

[lenwar]

Ik gebruik zelf geen Chrome, maar ik heb hem even geïnstalleerd om te zien hoe het daar heet.

In Chrome heb je de instelling "Beveiligde DNS gebruiken". Daar kun je bijvoorbeeld https://mijndoh.thuis.local:443/dns-query instellen. Dan 'praat je browser' direct tegen je eigen DoH-server.

In AGH hoeft je het alleen maar 'aan te zetten' en in te stellen (dus je hostname bepalen enzo).
https://forum-static.gl-inet.com/original/2X/a/add2bc8165379419398f7d88350a8b756444c01a.png

[querex]

Wist ik nog niet, bedankt!

[CypherMK]

Aangezien Pihole me alleen maar gedoe gaf, deze nu draaiend in docker. Werkt prima en eenvoudiger.

[TheCeet]

Ik had er jaren terug ook miserie mee.
Op Pi4 ongeacht welk OS erop begon Pi-hole plots te freezen telkens. En bij AGH had ik dit niet, vandaar ik ook de switch van Pi-Hole > AdGuard Home gemaakt

[Timo002]

Ik heb hem in mijn router ingesteld als 1e DNS zodat al het verkeer via adguard gaat. De standaard adguard blocklist en tot nu toe klaagt er nog helemaal niemand in huis dat iets niet werkt. Ongeveer 10% van al het verkeer wordt gefiltered. Ik weet niet of ik nog meer moet gaan blokken, wil vooral dat alle diensten gewoon blijven werken.

[XanderNL]

Draait bij mij in Home Assistant en werkt goed