V Transmission aj ďalších BitTorrent klientoch vážne bezpečnostné chyby

Značky: bezpečnosťBitTorrentGoogle

DSL.sk, 16.1.2018

V populárnom BitTorrent kliente Transmission sa nachádza vážna bezpečnostná chyba, ktorá umožňuje útočníkovi spustiť na počítači užívateľa ním zvolený kód a získať tak cez tento softvér kontrolu nad počítačom užívateľa.

Chybu identifikoval známy bezpečnostný expert Tavis Ormandy z bezpečnostného tímu Google Project Zero.

Chyba sa nenachádza v implementácii vlastnej sieťovej komunikácie BitTorrent protokolom ale v implementácii webového rozhrania klienta respektíve jeho JSON API, v štandardnej konfigurácii s vypnutým rozhraním sa tak nedá zneužiť. Keďže Transmission sa často používa cez webové rozhranie, zraniteľný môže byť ale relatívne veľký počet užívateľov.

Konkrétne proti Transmission existuje efektívny útok v prípade ak užívateľ oproti štandardnej konfigurácii len zapne webové rozhranie a nenastaví heslo. Takáto konfigurácii je na prvý pohľad bezpečná, keď klient počúva len na lokálnej adrese 127.0.0.1 prístupnej len z rovnakého počítača a navyše zvyčajne dnes býva prichádzajúca komunikácia z Internetu štandardne blokovaná.

Pomerne kreatívny útok ale ukazuje celú triedu možných útokov na rozličný softvér. Zaútočiť na klienta môže škodlivý kód na ľubovoľnej webovej stránke, ktorú z rovnakého PC užívateľ navštívi, cez webový prehliadač. Transmission je štandardne proti CSRF útokom chránený, keď vo vlastnej HTTP hlavičke posiela identifikačné ID a bezpečnostný model prehliadačov nedovoľuje iným stránkam získať prístup k tomuto potrebnému ID pre uskutočňovanie akcií.

Použiť je možné ale útok označovaný ako DNS rebinding. Doména útočníkovej stránky sa najskôr prekladá na IP pod jeho kontrolou a útočník do prehliadača tak dostane potrebný kód útoku. Následne sa doména začne prekladať už na IP adresu 127.0.0.1, kód tak pri komunikácii s vlastnou doménou ale v skutočnosti s IP nasmerovanou na webový server zahrnutý v Transmission má plné oprávnenia a môže meniť nastavenia klienta a uskutočňovať akcie.

Takýto prístup je možné využiť rozličnými spôsobmi aj na spustenie útočníkom zvoleného kódu, napríklad je možné nadefinovať skript aký sa spustí po stiahnutí torrentu.

Hoci útok potrebuje obísť niektoré problémy ako cachovanie IP, podľa Ormandyho ho úspešne otestoval napríklad v Chrome a Firefoxe na Windows aj Linuxe.

Problém je v Transmission vyriešený kontrolou posielanej hlavičky Host, keď štandardne povoľuje iba localhost. Útočiaci kód bude mať pre schému útoku ale nastavenú doménu používanú k útoku.

Ormandy chybu autorom softvéru nahlásil už 30. novembra, v zdrojových kódoch open source softvéru bola jeho tvorcami opravená až včera a Ormandy sa ešte 9. januára sťažoval, že tvorcovia nereagujú. Na stránke sú zatiaľ ale k dispozícii stále len inštalačné súbory doterajšej verzie 2.92. Napríklad viaceré linuxové distribúcie už ale chybu opravili a distribujú aktualizovanú verziu.

Ormandy zvyčajne analyzuje naraz viacero softvérov rovnakého typu. Teraz sa podobne pozrel na viacero BitTorrent klientov a avizuje vážne chyby vo viacerých. V prípade ostatných ešte ale neuplynul termín 90 dní na opravenie a nebola zároveň ani vydaná oprava, informácie o týchto zraniteľnostiach tak zatiaľ nezverejnil.




Najnovšie články:



Diskusia:

K-torrent Od reg.: Prof. Ing. 3losh DrSc. | Pridané: 16.1.2018 9:30 Akurat vcera som odinstaloval transmission a nainstaloval Ktorrent. Neurobim chybu, ked si budem myslet ze som mimo ohrozenia. Odpovedať Známka: -5.0 Hodnotiť:

Re: K-torrent Od: KDE | Pridané: 16.1.2018 9:45 Hej a ked nemas KDE tak stahujes so zavislostami snad aj cele DE. Odpovedať Známka: 3.3 Hodnotiť:

Re: K-torrent Od: .em | Pridané: 16.1.2018 11:22 "cele DE" urcite nestahuje, maximalne tak KF5, ked ide s dobou... Odpovedať Hodnotiť:

Re: K-torrent Od: pracovné Pc offline | Pridané: 16.1.2018 14:36 Načo by niekto spúšťal na mojom počítači škodlivý kód, keď sťahujem pochybný obsah a sám ho ja spustím. Odpovedať Známka: 10.0 Hodnotiť:

Re: K-torrent Od reg.: quix_ | Pridané: 16.1.2018 12:37 Depends: ktorrent-data (= 5.1.0+p16.04+git20180108.0023-0), libktorrent-l10n, libc6 (>= 2.14), libgcc1 (>= 1:3.0), libgeoip1, libkf5archive5, libkf5completion5, libkf5configcore5, libkf5configgui5, libkf5configwidgets5, libkf5coreaddons5, libkf5crash5, libkf5dbusaddons5, libkf5dnssd5, libkf5i18n5, libkf5iconthemes5, libkf5itemviews5, libkf5kcmutils5, libkf5kiocore5, libkf5kiofilewidgets5, libkf5kiowidgets5, libkf5krosscore5, libkf5notifications5, libkf5notifyconfig5, libkf5parts5, libkf5plotting5, libkf5service5, libkf5syndication5, libkf5textwidgets5, libkf5webkit5, libkf5widgetsaddons5, libkf5windowsystem5, libkf5xmlgui5, libktorrent6, libkworkspace5-5, libphonon4qt5-4 (>= 4:4.9.1+p16.04+git20171208.2241), libqt5core5a (>= 5.9.3+dfsg), libqt5dbus5 (>= 5.9.3+dfsg), libqt5gui5 (>= 5.9.3+dfsg), libqt5network5 (>= 5.9.3+dfsg), libqt5webkit5, libqt5widgets5 (>= 5.9.3+dfsg), libqt5xml5 (>= 5.9.3+dfsg), libstdc++6 (>= 5.2), libtag1v5-vanilla, phonon4qt5 ani nahodou to nie je cele DE Odpovedať Známka: 10.0 Hodnotiť:

Re: K-torrent Od reg.: quix_ | Pridané: 16.1.2018 12:48 a ked to tak od oka pocitam tak tieto priame dependencies maju +- 29MB Odpovedať Známka: 10.0 Hodnotiť:

Re: K-torrent Od: sensei-san | Pridané: 16.1.2018 12:41 No hej. Ale konečne bude mať DE. Odpovedať Hodnotiť:

Deluge Od: burrrrrrrrrrrrrrrrrrr | Pridané: 16.1.2018 10:19 Ja ma Deluge. Odpovedať Známka: 7.5 Hodnotiť:

Re: Deluge Od: Hvcdycbj | Pridané: 16.1.2018 10:49 Aj ja. Odpovedať Známka: 6.0 Hodnotiť:

Re: Deluge Od: sak ja ne? | Pridané: 16.1.2018 12:19 Ja nie. Odpovedať Známka: 10.0 Hodnotiť:

rtorrent Od: mink0 | Pridané: 16.1.2018 10:28 rTorrent :) Odpovedať Známka: 10.0 Hodnotiť:

Re: rtorrent Od: iuoo | Pridané: 16.1.2018 17:34 rtorrent je top. Odpovedať Hodnotiť:

drogy jsou spatnyy, aaaaano Od: Jerry19 | Pridané: 16.1.2018 11:13 qBittorrent Odpovedať Známka: 9.1 Hodnotiť:

Diskusia k článku: V Transmission aj ďalších Od reg.: smurf | Pridané: 16.1.2018 11:28 viete niekto o dobre alternative s web ui a demonom na debian ?? Odpovedať Hodnotiť:

Re: Diskusia k článku: V Transmission aj ďalších Od reg.: quix_ | Pridané: 16.1.2018 12:55 ktorrent som ti chcel poradit ale volako nevidim ze by plugin pre web interface este zil :D Odpovedať Hodnotiť:

Re: Diskusia k článku: V Transmission aj ďalších Od: _xxx | Pridané: 16.1.2018 14:06 naco hladat alternativu? ostatne bittorrent klienty budu tiez derave. Odpovedať Hodnotiť:

5 Znakov Od reg.: Lukáš Raynor Majer | Pridané: 16.1.2018 14:55 A čo Transmission pre macOS? Odpovedať Známka: 3.3 Hodnotiť:

Re: 5 Znakov Od: marvin | Pridané: 16.1.2018 18:52 Akykolvek soft v tom momente ako je spusteny na Apple, tak je by default bezpecny. Odpovedať Známka: 7.5 Hodnotiť:

Pridať komentár