Bezpečnostná zraniteľnosť aj v najpoužívanejšom uTorrente, objaviteľ má odporúčanie na klienta

Značky: bezpečnosťBitTorrentGoogle

DSL.sk, 17.1.2018

Bezpečnostná zatiaľ zrejme stále neopravená zraniteľnosť sa evidentne nachádza aj v najpopulárnejšom BitTorrent klientovi uTorrent.

Jasne to naznačuje komentár bezpečnostného experta Tavisa Ormandyho z bezpečnostného tímu Google Project Zero, ktorý na konci uplynulého roka identifikoval bezpečnostné zraniteľnosti vo viacerých BitTorrent klientoch a informoval ich tvorcov.

Prítomnosť zraniteľnosti Ormandy prezradil verejným zháňaním kontaktu po tom, ako nefungoval štandardný kontakt pre hlásenie bezpečnostných incidentov. "Prosím urgentne ma kontaktujte," uviedol.

Ormandy zvyčajne identifuje vážne zraniteľnosti a tón tejto správy aj jeho nedávny komentár o type zraniteľností identifikovaných vo viacerých klientoch v poukazuje na potenciálne vážnu zraniteľnosť. Posledná nová verzia uTorrentu bola vydaná v decembri a hlásenie o chybe v databáze zraniteľností Google zatiaľ nebolo sprístupnené verejnosti, chyba tak zrejme buď nebola ešte opravená alebo mohla byť napríklad tak závažná že aj mesiac po opravení sa radšej nezverejňuje.

.@utorrent @utorrentHelp your security address bounces, because you have no MX record. Please contact me urgently. pic.twitter.com/lkBaQDP4ZZ

— Tavis Ormandy (@taviso) November 29, 2017

Informácia vyšla najavo po tom, ako boli zverejnené informácie o zraniteľnosti v ďalšom BitTorrent klientovi Transmission. O chybe vo verzii 2.92 sme informovali spolu s detailami vo tomto článku, je typu DNS rebinding a prítomná je pri zapnutom webovom rozhraní bez nastaveného hesla a útočník na klienta môže zaútočiť cez prehliadač užívateľa z ľubovoľnej webovej stránky.

Viaceré linuxové distribúcie už vydali opravu, pre ostatné operačné systémy je na stránke zatiaľ k dispozícii len doterajšia verzia. Zneužitiu zraniteľnosti sa dá zabrániť napríklad vypnutím webového rozhrania.

So far, qbittorrent seems the most reasonable. Some of their default settings are questionable, but at least they thought about the problems.

— Tavis Ormandy (@taviso) December 5, 2017

Chyby Ormandy identifikoval na konci novembra, v Transmission 30. novembra a kontakt na uTorrent zháňal 28. novembra. Že objavil viacero vážnych zraniteľností v populárnych BitTorrent klientoch avizoval pri zverejnení informácií o chybe v Transmission pred niekoľkými dňami, chyby sú podľa neho tohto najvážnejšieho typu, vzdialeného spustenia útočníkom zvoleného kódu.

5. decembra reagoval na otázku akého BitTorrent klienta vo svetle jeho zistení zvoliť. "Zatiaľ vyzerá najrozumnejšie qbittorrent. Niektoré ich štandardné nastavenia sú otázne, ale aspoň rozmýšlali o problémoch," avizoval stav k 5. decembru.




Najnovšie články:



Diskusia:

Oldschool Od: huanggg | Pridané: 17.1.2018 8:23 Takze stara verzia 1.8.2 ktora este nema integrovany prehliadac je safe ? Odpovedať Známka: 5.7 Hodnotiť:

Re: Oldschool Od reg.: K-NinetyNine | Pridané: 17.1.2018 10:33 voci tejto zranitelnosti zneuzivajucej webove rozhranie ano. voci inym zranitelnostiam, ktore odvtedy boli opravene nie. Odpovedať Známka: 10.0 Hodnotiť:

Re: Oldschool Od: xyz. | Pridané: 18.1.2018 15:55 Voči iným zraniteľnostiam implementovaným po vydaní tejto verzie áno. Odpovedať Hodnotiť:

a co rtorrent? Od: vrve | Pridané: 17.1.2018 8:25 Je niekde zoznam sw, ktory kontroloval? Ja by som rad vedel, ako to vypada s rTorrent aplikaciou. Ak sa nemylim, autor ju spravil ako dusevne cvicenie, aby pochopil samotny bittorent protokol a teda nepouziva nijaku knizncicu, ktora by implementovala protokol a bola spolocna pri inych projektoch. V kazdom pripade je tento sw najrychlejsi (pocitovo), aky som kedy pouzival. Odpovedať Známka: 3.3 Hodnotiť:

Re: a co rtorrent? Od: xtdhfjfj | Pridané: 17.1.2018 8:30 Tixati je tiež dobry Odpovedať Známka: 6.0 Hodnotiť:

Re: a co rtorrent? Od reg.: poldinko | Pridané: 17.1.2018 8:54 akým sposobom merias rýchlosť sw ?? rýchlosť sťahovania ? cas spustenia ? rekcnu dobu ? a aky vyznam to ma pri torrent sw, ktorého ulohou je bezat v pozadi ? pri porovnavani torrent klintov by som tak mozno prihlaidal na prívetivost, funkcie a prinajhorsom zataz systemu, ale rýchlosť - načo Odpovedať Známka: 10.0 Hodnotiť:

bzano Od reg.: poldinko | Pridané: 17.1.2018 8:50 vie niekto ktora verzi transmission je uz bezpecna ? debian ma v repo 2.92-2 (to uz by mohla byt opravená verzia) Odpovedať Hodnotiť:

uTorrent 2.2.1 Od: samajamado | Pridané: 17.1.2018 9:18 A ako je to s najpouzivanejsiou verziou 2.2.1? Ta je bezpecna? Odpovedať Známka: 10.0 Hodnotiť:

Re: uTorrent 2.2.1 Od: syntaxterrorX XX | Pridané: 17.1.2018 9:27 https://youtu.be/VFNRh26TPmM?t=0m11s Odpovedať Známka: -4.0 Hodnotiť:

Re: uTorrent 2.2.1 Od: drobcek123 | Pridané: 17.1.2018 13:10 je to priekazne? Odpovedať Známka: 5.6 Hodnotiť:

Bezpečnostná zraniteľnosť Od reg.: kamaradzkosicrobihiphopcijeho | Pridané: 17.1.2018 10:27 pouzivam seedbox s rutorrentom, za 5$ mesacne mam na serveri 150GB SFTP a 10GBit linku. Odpovedať Známka: -1.1 Hodnotiť:

Re: Bezpečnostná zraniteľnosť Od: Adolf Kernel | Pridané: 17.1.2018 12:26 waw ju ar sou kul! Odpovedať Známka: 8.0 Hodnotiť:

Re: Bezpečnostná zraniteľnosť Od: _xxx | Pridané: 17.1.2018 13:44 a teraz ta mame akoze pochvalit? Odpovedať Známka: 10.0 Hodnotiť:

Re: Bezpečnostná zraniteľnosť Od reg.: kamaradzkosicrobihiphopcijeho | Pridané: 17.1.2018 14:25 ano, inac by som to sem nepisal :P Odpovedať Známka: 10.0 Hodnotiť:

Re: Bezpečnostná zraniteľnosť Od: dat_fat_nigga | Pridané: 18.1.2018 7:13 Link, or didn't happened. Odpovedať Známka: 10.0 Hodnotiť:

DDDDDDD Od: testerovac | Pridané: 17.1.2018 11:19 kto lubi Deluge? Odpovedať Známka: 5.6 Hodnotiť:

Re: DDDDDDD Od: asdsdf | Pridané: 17.1.2018 12:11 Deluge mi hrozne fragmentoval nove subory co boli stiahnute. Pouzivam qBittorrent. Odpovedať Známka: 10.0 Hodnotiť:

Re: DDDDDDD Od: koumak | Pridané: 17.1.2018 14:14 nexel si napisat Deluxe? ;) Odpovedať Hodnotiť:

nechápem... Od: Cpt. Obvious | Pridané: 17.1.2018 16:25 Nechápem načo uTorrent, keď je na trhu qBittorent a Transmission? Odpovedať Známka: 3.3 Hodnotiť:

Re: nechápem... Od: Muad'Dib | Pridané: 18.1.2018 1:53 A čo BiglyBT? Odpovedať Hodnotiť:

Re: nechápem... Od reg.: M.Miiicho | Pridané: 18.1.2018 17:41 qB je super :D Pouzivam denne. Urcite lepsie ako ten spyware utorrent. Odpovedať Hodnotiť:

Pridať komentár