BitTorrent викачає сумнівний патч безпеки uTorrent в останню хвилину

Популярний торент-клієнт, відомий як uTorrent, колись був дуже мінімальною та легкою програмою, але BitTorrent Inc. завантажив його з більш і більше функцій протягом багатьох років. Відповідно до Googler Travis Ormandy, один із функцій uTorrent відключив користувачів від серйозної атаки. Ормандія сповістила компанію про недоліки і висловила занепокоєння, що вона буде виправлена вчасно до 90-денного строку розкриття інформації. Патч випущений зараз, але неясно, наскільки ефективним буде виправлення.

Ормандія є частиною Google Project Zero, команди, яка займається пошуком помилок у програмному забезпеченні, перш ніж погані хлопці роблять це. У рамках своєї роботи з торрент-клієнтами Ормандія звернулася до BitTorrent Inc в листопаді минулого року з детальною інформацією про серйозну уразливість у роботі віддаленого коду в своєму програмному забезпеченні uTorrent. Вразливість до віддаленого коду - це погана новина, оскільки це може дозволити зловмисникові повністю перебрати вашу систему. Незважаючи на велику справу, BitTorrent чекав до останньої хвилини, щоб видати патч.

На підставі демонстрації, наданої Орманді, uTorrent, як видається, використовує декілька експериментальних зображень DNS у Windows. Це пов'язано з функцією дистанційного керування програмою, яка дозволяє власникові системи керувати торрентів з веб-браузера в іншому місці. Проте токен автентифікації для цієї функції смішно легко піддавати компроміс. При цьому зловмисник може встановити що-небудь на комп'ютері.

BitTorrent Inc розгорнув патч до бета-версії клієнта і стверджує, що стабільна версія буде виправлена протягом тижня. Виправлення передбачає додавання другого токена до веб-інтерфейсу. Ормандія зазначає, що це зламає його подвиги, але він вважає, що цей токен також вразливий. Якщо це так, це може бути простою проблемою для когось іншого, щоб оновити експлойт. Він описує uTorrent як "багато непотрібної віддаленої атаки".

Я просто виправив експлойт і підтвердив, що він все ще працює. Я б рекомендував просити BitTorrent вирішити цю проблему, якщо вас зачеплять, і вона працює в налаштуваннях за замовчуванням, тому ви, ймовірно, є. Зітхає
- Тавіс Ормандія (@ataviso) 20 лютого 2018 року

Інженерна компанія VP Dave Rees повідомляє, що патч виправляє проблему, і кожен повинен оновити. Це здорова порада, але це звучить так, як Орманді не був переконаний в ефективності патча. Якщо ви збираєтеся продовжувати користуватись uTorrent, можливо, буде розумно відключити функції віддаленого доступу повністю, доки ми не будемо впевнені, що виправлені дескриптори DNS були виправлені.

Ормандія пообіцяла випустити серію вразливостей у клієнтах Torrent. Він уже виявив подібний недолік у популярному клієнті Torrent для передачі.

Читати далі

Intel поділяє нові дані про 10-хвилинну затримку, майбутні 14-нм продукти

Нещодавно компанія Intel запропонувала додаткову інформацію про свої плани щодо нових 14-нм продуктів, а також про свої 10-нм труднощі. Який загальний прогноз?

Подарунки до дня батьків в останній хвилині: Bose QC35 $ 299, миттєвий горщик DUO60 $ 59, сороконіжка і астероїдні шафи аркади

З Днем батька прямо за рогом, багато хто з нас все ще намагається вирішити, що це ідеальний подарунок для людини, яка допомогла підняти нас від новонародженої дитини до людей, якими ми є сьогодні.

Подарунки на день батька останньої хвилини: Bose QC35 $ 299, миттєвий горщик DUO60 $ 59, сороконіжка і астероїди Аркадні шафи $ 175

Ця програма допомагає читачам закінчити книги всього за 12 хвилин

Бібліотека підсумків книг за 12 хв робить, як ніколи, простішим шляхом подання важливих книг на широкий спектр цікавих тем, а довічна підписка на преміум-клас доступна за понад 85 відсотків знижки всього за 39 доларів.