O popular cliente de torrent qBittorrent corrigiu uma vulnerabilidade de execução remota de código, resultado da falha em validar certificados SSL/TLS no componente DownloadManager. Essa falha crítica, presente desde 2010, foi finalmente corrigida na versão 5.0.1 lançada em 28 de outubro de 2024, após mais de 14 anos de exposição.
qBittorrent corrige falha crítica que expôs usuários a ataques MitM por 14 anos
Introduzida em uma atualização de 6 de abril de 2010, a falha permitia que o qBittorrent aceitasse qualquer certificado, inclusive aqueles forjados, o que possibilitava ataques man-in-the-middle (MitM) e comprometia a segurança da conexão. O DownloadManager, responsável pelo gerenciamento de downloads, ignorava todas as validações de erro de certificado, permitindo que um invasor interceptasse e manipulasse o tráfego de rede sem obstáculos.
Apesar da gravidade, a correção foi aplicada sem a notificação adequada dos usuários e sem a atribuição de um CVE (Common Vulnerabilities and Exposures), segundo a empresa de pesquisa Sharp Security.
Principais riscos do problema de validação de certificados
Com a ausência de validação SSL/TLS, o qBittorrent ficou vulnerável a diversas formas de exploração. A Sharp Security identificou quatro riscos principais derivados da falha:
Notícias Relacionadas
- Instalação de Python comprometida: O aplicativo solicita a instalação do Python via URL fixa quando não detecta o software no Windows. Um invasor interceptando essa requisição poderia redirecionar o link para um instalador malicioso, executando código remoto no dispositivo.
- Atualizações comprometidas: O qBittorrent verifica novas versões através de um feed XML de um URL fixo. Sem a validação SSL, um invasor poderia manipular o link de atualização, levando o usuário a baixar e instalar cargas maliciosas.
- Alteração de conteúdo de feeds RSS: O DownloadManager também lida com feeds RSS, abrindo a possibilidade de ataques onde invasores manipulam o conteúdo do feed e inserem links maliciosos que se passam por torrents legítimos.
- Download de banco de dados GeoIP: O qBittorrent baixa automaticamente um banco de dados GeoIP para fins de localização. Um atacante poderia substituir esse arquivo, potencialmente explorando bugs de memória no sistema.
A atualização 5.0.1 do qBittorrent altera o comportamento padrão para validar certificados, tornando as conexões mais seguras. A correção é especialmente relevante para usuários em regiões com intensa vigilância, onde ataques MitM podem ser mais frequentes.
Recomendação aos usuários
É altamente recomendável que todos os usuários atualizem para a versão 5.0.1 o quanto antes para evitar possíveis explorações dessa vulnerabilidade, que já apresenta um histórico extenso de exposição.
