Risolto bug di sicurezza in qBittorrent: gli utenti sono rimasti esposti per 14 anni
Una vulnerabilità nella gestione dei certificati SSL/TLS ha permesso potenziali attacchi man-in-the-middle dal 2010. La correzione arriva con l'ultimo aggiornamento del popolare client BitTorrent.
di Nino Grasso pubblicata il 04 Novembre 2024, alle 10:01 nel canale WebLa sicurezza degli utenti qBittorrent è stata potenzialmente compromessa per oltre 14 anni a causa di una vulnerabilità presente nel sistema integrato per la gestione dei download. L'applicazione, ampiamente utilizzata per la condivisione di file tramite protocollo BitTorrent, ha presentato dal 2010 una falla nella validazione dei certificati SSL/TLS che poteva esporre gli utenti ad attacchi man-in-the-middle.
A rivelare il rischio di sicurezza è stata una ricerca condotta da Sharp Security, che ha rivelato come il DownloadManager dell'applicazione accettasse indiscriminatamente qualsiasi certificato, compresi quelli contraffatti o non legittimi. La vulnerabilità, introdotta in un commit del 6 aprile 2010, ha persistito fino al rilascio della versione 5.0.1 del 28 ottobre 2024.
qBittorrent, corretta falla segnalata oltre 14 anni fa
La mancata convalida dei certificati SSL ha esposto gli utenti a molteplici rischi di sicurezza: ad esempio, eventuali aggressori avrebbero potuto intercettare le comunicazioni e sostituire contenuti legittimi con payload malevoli contenenti qualsiasi tipo di exploit. Le vulnerabilità identificate includevano la possibile distribuzione di un installer Python malevolo su Windows e l'intercettazione dei feed di aggiornamento dell'applicazione.
Gli scenari di attacco comprendevano anche la manipolazione dei feed RSS integrati nell'applicazione e la potenziale compromissione del database GeoIP, utilizzato per funzionalità di geolocalizzazione. L'assenza di una corretta validazione dei certificati permetteva a malintenzionati di presentarsi come server legittimi, compromettendo l'integrità dei dati trasmessi. Come già scritto, per proteggersi dalla vulnerabilità è necessario installare la versione versione 5.0.1, rilasciata di recente, che modifica il comportamento predefinito del sistema di validazione dei certificati.
La risoluzione è avvenuta senza l'assegnazione di un identificativo CVE e con una limitata comunicazione verso gli utenti finali, un fatto curioso considerando la potenziale criticità degli attacchi segnalati dai ricercatori. Gli attacchi man-in-the-middle, sebbene spesso considerati poco probabili, possono rappresentare una minaccia concreta, particolarmente in aree geografiche caratterizzate da elevati livelli di sorveglianza digitale. Chi utilizza qBittorrent, insomma, dovrebbe aggiornare al più presto l'app all'ultima versione disponibile per mitigare i rischi evidenziati.
Lenovo ThinkPad X9-14 Aura Edition: leggero e sottile per i professionisti
REDMAGIC 10 Air: potenza da gaming in un corpo leggero e moderno. Recensione
Insta360 X5: è sempre la regina delle action cam a 360 gradi. Recensione
FBC: Firebreak, lo spin-off co-op di Control, uscirà a giugno
Intel: il nuovo CEO annuncia azioni forti, ma per ora nessun licenziamento di massa
La missione Shenzhou-20 ha effettuato il docking con la stazione spaziale cinese Tiangong
Xbox Cloud Gaming arriva sulle TV LG: verifica se il tuo televisore è compatibile
Stellantis: batterie allo stato solido in arrivo il prossimo anno, ricarica in 18 minuti
Effetto dazi, Logitech alza i prezzi fino al 25% negli USA: non è la sola tra aumenti e fuga
Fondazione Carisbo entra in BI-REX. Obiettivo: accelerare e incubare startup
Dal 20 giugno 2025 arriva l'eco-label UE su smartphone e tablet: cosa cambia per i consumatori e venditori
Ionity installerà le prime colonnine Megawatt dell'italiana Alpitronic
Realme GT7 ufficiale: specifiche da top di gamma a un prezzo super competitivo
Firefly arriva in Europa: si parte da 23.500 euro
GeForce RTX 50: se avete acquistato una Gigabyte, controllate che il gel termico non stia colando
11 bit studios ha annunciato Frostpunk 1886: un remake in UE5 che andrà oltre la grafica
Con NUS Enterprise Volume Agreement Nutanix semplifica la gestione di grandi volumi di dati 
11 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - infoLe vulnerabilità identificate includevano la possibile distribuzione di un installer Python malevolo su Windows ..
Una vulnerabilità nella gestione dei certificati SSL/TLS ha permesso potenziali attacchi man-in-the-middle dal 2010. La correzione arriva con l'ultimo aggiornamento del popolare client BitTorrent.
Click sul link per visualizzare la notizia.
Come?
Cosa?
Da BEN QUATTORDICI ANNI?
E ci se ne accorge ora?
Penso che per l'esposizione al MAN-IN-THE-MIDDLE, gli utenti possono allora essere stati definiti quali:
MEN-IN-THE-QUAGMIRE*
[SIZE="1"] (* QUAGMIRE=PANTANO)[/SIZE]
: D
(trad. cit. UOMINI NEL PANTANO )
Ed infatti, a parità di condizioni, lo è.
Per me i client interessanti sono:
1) BiglyBT
2) Deluge
Non vedo perché andarsi a impantanare quando con questi due sostanzialmente si coprono tutte le necessità.
Eppure l'articolo di Sharp Security ci dice che il maggiore pericolo deriva proprio dalla natura os:
Because this software is open source, it is trivial to add a backdoor to it and recompile, and therefore give a victim fully functional software, avoiding the victim’s suspicion.
Per quanto dal basso della mia ignoranza non ho mai creduto molto nella "sicurezza tramite segretezza"
Comunque se ho capito bene questa falla, che probabilmente non è nemmeno stata concretamente mai usata era inerente l'update automatico, chi aveva disattivato questa funzione o usato una versione "portable" era quindi fuori pericolo
De gutibus, anche se sono anni che non scarico un solo file torrent, anni fa dopo aver abbandonato utorrent ero passato proprio a qbittorent che fra i tanti client che ho provato era quello più leggero e con l'interfaccia simile a utorrent... avevo provato anche Deluge ma a memoria non mi era piaciuto molto, BiglyBT invece non l'avevo mai sentito.
De gutibus, anche se sono anni che non scarico un solo file torrent, anni fa dopo aver abbandonato utorrent ero passato proprio a qbittorent che fra i tanti client che ho provato era quello più leggero e con l'interfaccia simile a utorrent... avevo provato anche Deluge ma a memoria non mi era piaciuto molto, BiglyBT invece non l'avevo mai sentito.
Delunge diciamo che è per chi ha esigenze particolari e specifiche. Non è esattamente "amichevole" come client. Ad esempio è interessante per chi ha necessità di una interfaccia remota via web.
Bigly invece è super funzionale per l'utente in generale. Si basa su quello che era ai tempi Azureus ed è stato riscritto senza ads, bloat ware e simili rendendolo forse il client più funzionale per chi vuole prendere un torrent e scaricarlo senza saper configurare una ceppa fermo restando che ha tantissime funzioni avanzate per chi si vuole sbizzarrire.
Because this software is open source, it is trivial to add a backdoor to it and recompile, and therefore give a victim fully functional software, avoiding the victim’s suspicion.
Per quanto dal basso della mia ignoranza non ho mai creduto molto nella "sicurezza tramite segretezza"
Ma lì parla del carico malevolo, che può essere inserito nel programma, compilato, e diffuso.
Al posto della versione modificata di quel programma, avrebbero potuto far installare qualsiasi malware...
La falla, invece, sta nel "non" controllo dei certificati dei server di download.
E la differenza tra open e closed source sta solo nel fatto che, se fosse stato closed, magari ancora non saremmo a conoscenza della falla...
Because this software is open source, it is trivial to add a backdoor to it and recompile, and therefore give a victim fully functional software, avoiding the victim’s suspicion.
per usare un francesismo: bella troiata.
è esattamente l'opposto.
anzi, qualcuno si ricorda di Interbase? alla sharp security hanno la memoria corta, vedo.
Because this software is open source, it is trivial to add a backdoor to it and recompile, and therefore give a victim fully functional software, avoiding the victim’s suspicion.
Comunque se ho capito bene questa falla, che probabilmente non è nemmeno stata concretamente mai usata era inerente l'update automatico, chi aveva disattivato questa funzione o usato una versione "portable" era quindi fuori pericolo
a parte che quel fraseggio di Sharp Sec. è palesemente pilotato da pregiudizi: è chiaro che chiunque puo ricompilare e immettere nel network roba edulcorata: è successo e succederà ancora, sia nell'open che nel closed.
- ma di sicuro se succede c'è una speranza in piu che qualcuno ci metta becco e scopra gli altarini rispetto una situazione closed, poco ma sicuro -
sull'update automatico, di quelli non mi son mai fidato veramente al 100%
PS: comunque ci sono bug anche nel closed che sono li da decenni e nessuno li ha mai tappati, sorpresa!
Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".