È stata individuata una falla in Transmission, una vulnerabilità nel client BitTorrent che potrebbe teoricamente essere utilizzata da un cybercriminale per prendere controllo dei computer in remoto. Tavis Ormandy, ricercatore specializzato in sicurezza informatica, ha diffuso una prova concettuale e dettagli che rendono più facili eventuali attacchi ma anche predisposto una patch che gli sviluppatori dei client BitTorrent possono integrare nelle loro applicazioni.
Il ricercatore è membro del Project Zero, il team di Google composto da analisti di sicurezza informatica, che si occupa di individuare e segnalare le vulnerabilità zero-day, quelle più gravi e potenzialmente pericolose. I bug trovati da Project Zero vengono inizialmente segnalati privatamente agli sviluppatori dei software interessati e resi pubblicamente visibili solo dopo che la patch viene pubblicata o dopo 90 giorni senza risoluzione. A causa dell’inerzia degli sviluppatori di Transmission, ai quali è stata già indicata sia la vulnerabilità che la soluzione, Ormandy ha deciso di rendere pubblico il problema, affinché reagiscano il più presto possibile.
Uno dei responsabili di Transmission ha dichiarato ad Ars Technica che una patch sarà distribuita “prima possibile” e che il problema riguarda solo gli utenti che hanno attivato l’accesso remoto senza password (opzione che è possibile attivare dalle Preferenze del programma, nella sezione “Remoto”).
Semplificando, la vulnerabilità ha a che fare con la funzione che consente di controllare il client BitTorrent da un browser web. Utilizzando in sito web ad hoc, un cybercriminale può sfruttar una tecnica denominata “DNS rebinding”, scaricare il file voluto nella cartella target e prendere controllo del file. Ormandy ha spiegato che il problema riguarda anche altri client BitTorrent senza però aver specificato quali.
