Depois do Transmission, agora foi a vez do pesquisador de segurança Tavis Ormandy, que faz parte da equipe Project Zero do Google, alertar para múltiplas falhas de segurança no uTorrent.
As falhas afetam tanto a versão Web como a versão para desktop do popular cliente de BitTorrent.
Pesquisador alerta para múltiplas falhas de segurança no uTorrent
Ormandy diz que as duas versões do uTorrent expõem um servidor RPC nas portas 10000 para o cliente para desktop e 19575 para a versão Web.
O pesquisador diz que atacantes podem ocultar comandos em páginas da Web que podem interagir com este servidor RPC aberto. Para isso o atacante precisa apenas enganar o usuário com um cliente uTorrent vulnerável para que ele acesse uma página maliciosa.
As duas versões do uTorrent também são vulneráveis a DNS rebinding, que basicamente permite que o atacante possa legitimar suas requisições ao servidor RPC aberto nestes clientes.
A versão Web do uTorrent é a mais afetada pelas falhas de segurança reportadas por Ormandy. Atacantes podem usá-las para fazer o download de malwares no computador do usuário, alterar o diretório padrão onde os downloads são salvos e até mesmo assumir o controle completo da versão Web do uTorrent.
Sobre a versão para desktop, Ormandy foi capaz de explorar as falhas para obter uma lista com downloads feitos pelo usuário e até mesmo obter arquivos baixados*.
*Se ainda estiverem presentes no disco.
Ele publicou duas páginas na Web como provas-de-conceito para as falhas de segurança no uTorrent: uma para a versão para desktop e uma para a versão Web.
A versão 3.5.3 Beta do uTorrent já traz correções para as falhas. A versão v0.12.0.502 do uTorrent Web também inclui as correções.
Detalhes técnicos sobre as falhas podem ser encontrados aqui.
Artigo original:
www.baboo.com.br