qBittorrent长达14年的漏洞使数百万用户面临RCE攻击风险

mofeisi71

       概要：      
       近日，Sharp Security揭示了一个在流行的torrent客户端qBittorrent中存在超过14年的严重漏洞，导致无数用户面临潜在的网络攻击风险。该漏洞源于软件的DownloadManager类，自2010年4月6日起，未能验证SSL证书的有效性，允许任何SSL证书通过，给攻击者提供了可乘之机。
       主要内容：      
       该漏洞的影响深远，DownloadManager类涉及qBittorrent的多个核心功能，包括搜索、.torrent下载、RSS源和favicon下载等。由于未验证的SSL证书，攻击者能够实施中间人攻击（MITM），拦截并篡改流量，从而获取敏感数据或在合法下载的幌子下安装恶意代码。

       此外，qBittorrent在Windows系统中安装或更新Python的机制也存在安全隐患，因其从硬编码的URL下载可执行文件，历史上缺乏安全证书检查，攻击者可以替换Python安装程序为恶意可执行文件，导致远程代码执行（RCE）风险。qBittorrent的更新检查器利用来自硬编码URL的RSS源下载XML数据，用户被引导访问未验证的网站以获取更新软件，这种设置曾被利用进行浏览器劫持和下载伪装更新的文件。

       Sharp Security还指出，qBittorrent的默认功能会从固定URL下载并解压MaxMind GeoIP数据库，增加了零点击漏洞的风险。考虑到zlib压缩库中的已知缓冲区溢出漏洞，这一功能仍然是攻击者利用的关键风险。随着qBittorrent 5.0.1版本开始强制SSL证书验证，用户应立即升级到最新版本，或考虑使用不具备此漏洞行为的替代torrent客户端，如Deluge或Transmission。

https://ti.dbappsecurity.com.cn/info/8414

以下为技术探讨资料，请勿用于非法攻击：
https://sharpsec.run/rce-vulnerability-in-qbittorrent/

xfmc

认真学习了，谢谢！

cfdiyr

解决方法呢？出问题解决呗。

mofeisi71

cfdiyr 发表于 2024-11-19 04:43
解决方法呢？出问题解决呗。

参考最后一段

con16

之前qBittorrent 5.0也說有修，不過該版本有bug會崩潰
目前不建議用舊版風險高。

如文章講的建議升級最新版，最新版本是5.0.2

minimini

bug很值钱 不能浪费在无效对象上

被屏蔽了吗

学习一下，现在监控的真的多。

SHXYZW

这么久了，是漏洞还是后门啊？

不喜抽烟

联网的软件或多或少都有漏洞吧，尤其那些有局域网分享，远程控制之类的，要的权限多了，难免有管不住的。就像淘宝微信，说开启内存读取是为了方便你上传，谁知道他还扫描你文件，扫描完还干了什么。windows权限不如别的系统，读取写入还是默认的。