Google: Grave falla di sicurezza trovata nel famoso client per BitTorrent uTorrent

di

Un ricercatore di Google Project Zero, il team del motore di ricerca famoso per aver scovato le falle Meltdown e Spectre, ha scoperto alcuni bug critici in due versioni della popolare applicazione uTorrent, che vanta milioni di utenti a livello quotidiano. Ovviamente gli sviluppatori sono stati avvisati qualche mese fa, come da protocollo.

Nella giornata di oggi, il ricercatore di Google Tavis Ormandy ha parlato dei vari exploit scoperti nelle versioni Windows dell'applicazione, che consentirebbero agli aggressori di entrare nei computer degli utenti.

Poichè si tratta di un problema di rebinding dei DNS, gli hacker possono potenzialmente eseguire del codice malevole da remoto, scaricare malware nella cartella di avvio del computer, avviarli al riavvio ed accedere ai file scaricati, nonchè sbirciare nella cronologia dei download degli utenti. Sebbene l'exploit abbia effetto su tutte le versioni prive di patch, colpisce principalmente uTorrent Web, la versione più recente del famoso client BitTorrent, poichè presenta un grave bug per l'esecuzione di codice in modalità remota. Gli esempi degli exploit menzionati da Ormandy ne includono uno per uTorrent Web e due per uTorrent Desktop.

Un rapporto emerso su TorrentFreak però ha rivelato che BitTorrent ha lanciato una patch nell'ultima versione beta, ed ha promesso di fare lo stesso con il client stabile. Successivamente, in una dichiarazione ufficiale, la società ha dichiarato che "la nostra correzione è completa ed è disponibile nella beta più recente (la build 3.5.3.44352 rilasciata il 16 febbraio 2018). Questa settimana, inizieremo a distribuirla anche per gli utenti che hanno la versione stabile. Tutti gli utenti riceveranno l'aggiornamento in maniera automatica. La natura dell'exploit è tale che un utente malintenzionato potrebbe creare un URL che causerebbe l'attivazione di alcune funzioni nel client senza il consenso".

Ormandy ha immediatamente espresso il suo per la risposta di BitTorrent in quanto aveva aggiunto un secondo token ad uTorrent Web, segno che il problema non è stato risolto. Inoltre, il ricercatore ha scritto che "ho appena corretto l'exploit per verificare il suo funzionamento. Consiglierei di chiedere a BitTorrent di risolvere questo problema se interessati".

Non è ancora chiaro se l'exploit sia stato sfruttato o meno: il consiglio è di non usare il client, almeno al momento, o scaricare la versione beta.

FONTE: NDTV
Quanto è interessante?
8