BitTorrent-app bevat bug die hacker computer laat kapen
Onderzoeker Tavis Ormandy identificeerde een gevaarlijke zwakke plek in Transmission BitTorrent. Het gaat om een bug die websites de kans geeft om malware uit te voeren op je computer via de app. Ormandy, die deel uitmaakt van Googles Project Zero-team, kwam vroegtijdig met de onthulling naar buiten omdat de ontwikkelaars van Transmission BitTorrent zich niet leken te bekommeren over het veiligheidsgevaar.
DNS rebinding
Ormandy publiceerde een gedetailleerde proof-of-concept van een exploit die misbruik maakt van de bug. Het gaat om een zwakheid die zich voordoet in de functie die gebruikers toelaat om de BitTorrent-app te bedienen vanuit hun browser. Het is mogelijk om die functie af te schermen met een wachtwoord, maar volgens Ormandy gebruiken weinig mensen die veiligheidsmaatregel omdat ze ervan uitgaan dat enkel iemand met fysieke toegang tot de computer iets fout kan doen via de BitTorrent-interface. Ormandy weerlegt die assumptie: met behulp van een hacktechniek met de naam ‘Domain Name System rebinding’ wist hij vanop een afstand toegang te krijgen tot de interface van Transmission BitTorrent. Ormandy stelde vast dat de hack werkt op Chrome en Firefox voor Windows en Linux.
Te druk
Ormandy ontdekte de zwakke plek eind november 2017. Normaal gezien houdt de Project Zero een periode van 90 dagen in acht waarin het de ontwikkelaars de tijd geeft om een bug op te lossen voordat het de informatie openbaar maakt. Deze keer hadden de ontwikkelaars het zelfs makkelijk: Ormandy voorzag meteen een patch voor het probleem. De makers lieten Ormandy echter weten dat ze het te druk hadden om de patch fatsoenlijk na te kijken binnen afzienbare tijd. Dat zette de onderzoeker er toe aan om naar buiten te komen met zijn informatie, met de bedoeling dat andere distributies van de BitTorrent-app alvast de patch konden uitvoeren.
Ondertussen is Transmission BitTorrent wel in actie geschoten en werken de ontwikkelaars aan het integreren van de patch. Wanneer die precies uitgerold zal worden, is nog niet duidelijk.
