Tavis Ormandy, du Project Zero chez Google, a publié récemment les détails d'une faille dans Transmission permettant à un utilisateur distant de prendre le contrôle du client BitTorrent.

En dépit de la politique habituelle des 90 jours, le chercheur n'a attendu que 40 jours pour révéler les détails de la brèche Pourquoi ? Parce qu'il fournissait cette fois la solution complète, avec le patch à appliquer au code. Plusieurs semaines après son envoi à l'équipe de Transmission, il n'avait aucune réponse, regrettant le manque de réaction.

La publication des détails permet au patch associé d'être récupéré notamment par toutes les distributions GNU/Linux, Transmission étant très utilisé sur ces dernières (et sous macOS). Chez Ars Technica, l'équipe de Transmission répond cependant qu'une mise à jour sera publiée aussi rapidement que possible, mais que la faille nécessite que l'accès distant ait été activé (inactif par défaut) et qu'aucun mot de passe n'ait été défini.

Dans un tweet, Ormandy ajoute qu'il ne s'agit que de la première d'un lot de failles de type DNS rebinding, exploitables dans plusieurs clients BitTorrent, car l'exploitation dans Transmission peut être reproduite ailleurs. Les noms des autres programmes n'ont toutefois pas été dévoilés, les 90 jours n'étant cette fois pas écoulés.