Otkrivene RCE ranjivosti u uTorrent klijentu

Istraživači iz Google Project Zero otkrili su u uTorrent klijentu dvije kritične ranjivosti koje mogu dovesti do izvršenja proizvoljnog koda. Ranjivosti pogađaju veb klijent i klasični desktop klijent ovog popularnog P2P softvera.

Istraživači iz Project Zero objavili su detalje 90 dana nakon što su obavijestili tim koji stoji iz uTorrent-a. Project Zero radi na pronalaženju ranjivosti u popularnim softverskim rješenjima. Njihova politika je da obavijeste timove i kompanije ukoliko pronađu ranjivosti. Nakon isteka roka od 90 dana Project Zero objavljuje detalje o ranjivostima bez obzira da li su ranjivosti otklonjene ili ne.

Ranjivosti se odnose na više grešaka u načinu na koji uTorrent radi sa JSON objektima i RPC pozivima. Napadač može u veb stranicu ugraditi različite komande za uTorrent klijent. Komande mu mogu otkriti osjetljive informacije ili omogućiti da u proizvoljan direktorijum, uključujući i Windows-ov startup direktorijum, skine proizvoljnu datoteku.

Iz BitTorrent-a kompanije koja stoji iz uTorrent-a objavili su da su ranjivosti otklonjene u desktop verziji klijenta 3.5.3.44352 koji se trenutno nalazi u beta fazi i može se preuzeti ovdje.

Izvor:threatpost.com