Connexion

Catégories

Droit Économie Flock Hardware IA Internet Logiciel Sciences Sécurité Société

Nous Suivre

Contact rédaction Contact site Forum
Flux RSS GitHub Discord

À propos

Abonnez-vous

Failles DNS rebinding dans les clients Torrent : uTorrent aussi était vulnérable

Failles DNS rebinding dans les clients Torrent : uTorrent aussi était vulnérable

Le 21 février 2018 à 09h13

Il y a un peu plus d'un mois, le chercheur Tavis Ormandy, de chez Google, indiquait avoir trouvé un lot de failles dans Transmission, très probablement applicable à d'autres clients Torrent.

C'était bien le cas d'uTorrent, qui n'est autre que le client officiel de BitTorrent, et d'uTorrent Web. Comme le rapporte Ars Technica, deux nouvelles versions sont donc disponibles, et seront poussées automatiquement chez les utilisateurs dans les jours à venir.

Le 21 février 2018 à 09h13

Commentaires (10)

Vous devez être abonné pour pouvoir commenter.

Abonnez-vous
votre avatar

Quelqu’un a des infos sur cette version web de uTorrent ? Ce qu’elle fait, si elle fonctionne bien, etc.



J’ai eu beau googler, j’ai absolument RIEN trouvé, même pas son annonce !

votre avatar

Bon apparemment Web uTorrent a été fait de façon&nbsp; grotesque. Une fois installé, ce service ouvre une porte béante sur la machine puisque tous les fichiers auxquels le service peut accéder (c’est à dire tout, sauf configuration spécial du système) peut être extrait par du JS tournant sur un navigateur local. Tranquille <img data-src=" /> 




 Les versions récentes de uTorrent Classic sont également attaquables, mais il s'agit pas d'accéder à tous les fichiers de la machine hôte, seulement ceux déjà ouvert (ce qui est en seed et ce qui est en téléchargement). Et éventuellement la liste des .Torrent qui trainerait, mais là dessus le rapport est pas clair.       







 Oh, et ces mises à jours ne servent à rien. Elles ne bouchent pas la faille, sur aucun des deux clients, une modification mineure de l'attaque lui permet de refonctionner :)       







 Par contre, qu'on soit d'accord, tout ça on s'en fout car toutes les versions de uTorrent après la 2.2.1 n'existent pas. C'est une illusion, uTorrent ayant disparu corps et âme le jour de la sortie de 3.x. Et bonne nouvelle, les 2.X ne semblent pas vraiment sensible au hack, car même si le DNS Rebinding fonctionne bien, ces vielles versions n'offre quasi aucun pouvoir à la WebUI en dehors de&nbsp; la liste des fichiers courants et leur progression. Pas de Remote et autre connerie intégré, donc l'effet du détournement est bien faible.       







 Ouf !
votre avatar

Pourquoi écrivez-vous uTorrent alors que son nom est µTorrent ?&nbsp;<img data-src=" />&nbsp;(“micro” torrent quoi, Alt étoile)

Ne me dites pas que c’est difficile à taper sur Mac ? Si ?

votre avatar

alt + m <img data-src=" />

votre avatar

Je pense que les gens évitent les caractères spéciaux, de peur de faire exploser les smartphones des inpactiens mobiles <img data-src=" />

votre avatar







grsbdl a écrit :



Pourquoi écrivez-vous uTorrent alors que son nom est µTorrent ? <img data-src=" /> (“micro” torrent quoi, Alt étoile)

Ne me dites pas que c’est difficile à taper sur Mac ? Si ?









melchizedech a écrit :



alt + m <img data-src=" />



MAJ+* sur un vrai clavier (ISO FR, donc) <img data-src=" />


votre avatar

Avec le vrai clavier branché sur le mac ça marche pas très bien (et c’est très trompeur) <img data-src=" />

votre avatar







melchizedech a écrit :



Avec le vrai clavier branché sur le mac ça marche pas très bien (et c’est très trompeur) <img data-src=" />



En même temps quelle idée d’utiliser une configuration clavier bâtarde qui ne fonctionne que sur cet OS, quand tous les autres utilisent les ISO/ANSI/JIS… <img data-src=" />


votre avatar

µ c’est “COMPOSE” + / + u sur ma distribution

(et j’ai un clavier QWERTY parce que je veux les méta-caractères shell. C, et autres à portée de main)

votre avatar







Bejarid a écrit :



Bon apparemment Web uTorrent a été fait de façon  grotesque. Une fois installé, ce service ouvre une porte béante sur la machine puisque tous les fichiers auxquels le service peut accéder (c’est à dire tout, sauf configuration spécial du système) peut être extrait par du JS tournant sur un navigateur local. Tranquille <img data-src=" /> 




 Les versions récentes de uTorrent Classic sont également attaquables, mais il s'agit pas d'accéder à tous les fichiers de la machine hôte, seulement ceux déjà ouvert (ce qui est en seed et ce qui est en téléchargement). Et éventuellement la liste des .Torrent qui trainerait, mais là dessus le rapport est pas clair.       







 Oh, et ces mises à jours ne servent à rien. Elles ne bouchent pas la faille, sur aucun des deux clients, une modification mineure de l'attaque lui permet de refonctionner :)       







 Par contre, qu'on soit d'accord, tout ça on s'en fout car toutes les versions de uTorrent après la 2.2.1 n'existent pas. C'est une illusion, uTorrent ayant disparu corps et âme le jour de la sortie de 3.x. Et bonne nouvelle, les 2.X ne semblent pas vraiment sensible au hack, car même si le DNS Rebinding fonctionne bien, ces vielles versions n'offre quasi aucun pouvoir à la WebUI en dehors de  la liste des fichiers courants et leur progression. Pas de Remote et autre connerie intégré, donc l'effet du détournement est bien faible.       







 Ouf !








Merci pour ton commentaire, qui m’a incité à creuser le sujet (2.2.1 inside). <img data-src=" />



En ce qui concerne cette version, une parade apparemment efficace est, dans « Options » —&gt; « Avancé », de passer la valeur de « net.discoverable » à false, ce qui empêche l’ouverture du port 10000.



Il y a une looongue discussion, ponctuellement fort intéressante, sur le sujet sur reddit.com/r/trackers.


Failles DNS rebinding dans les clients Torrent : uTorrent aussi était vulnérable

Fermer