El pasado mes de enero os contábamos cómo los investigadores de Google Project Zero hacían pública una vulnerabilidad en Transmission, el conocido cliente de descargas torrent, que podía poner muy fácilmente en peligro a los usuarios. Además, os contamos que, según el grupo de investigadores de Google, este no era el único cliente de descargas vulnerable, sino que había otras más con la misma vulnerabilidad, y uno de ellos, tal como se acaba de dar a conocer, es el conocido uTorrent.

Hace algunas horas, el investigador de seguridad de Google Project Zero, Tavis Ormandy, acaba de anunciar la existencia de una vulnerabilidad bastante grave en uTorrent, el conocido cliente de descargas torrent que cuenta con docenas de millones de usuarios en todo el mundo.

Por motivos de seguridad, el investigador no reveló la información técnica sobre este fallo para dar tiempo a BitTorrent a solucionar el fallo. Dado que, finalmente, la desarrolladora no hablaba al respecto, Tavis, finalmente, optó por hacerla pública, junto con un exploit totalmente funcional que lo demuestra. Esta vulnerabilidad en cuestión se forma por una serie de fallos JSON-RPC que, de explotarse correctamente utilizando DNS Rebinding, pueden dar lugar a la posibilidad de ejecutar código remoto en el sistema o revelar información sensible sobre el mismo.

uTorrent lanza un parche contra esta vulnerabilidad, aunque, según Google, no es precisamente efectivo

Una vez que el código se hizo público, BitTorrent lanzó una nueva versión beta de su cliente de descargas uTorrent para solucionar este fallo de seguridad. Sin embargo, un estudio del parche introducido para protegernos de este fallo demuestra que, en realidad, no protege del fallo de seguridad, sino que simplemente introduce un segundo token en uTorrent Web para romper el exploit de Tavis, exploit que ya ha sido actualizado y que, como era de esperar, sigue funcionando a la perfección.

I just fixed the exploit and verified it still works. I would recommend asking BitTorrent to resolve this issue if you're affected, and it works in the default configuration so you probably are. Sigh.

— Tavis Ormandy (@taviso) February 20, 2018

Por el momento solo queda esperar a que BitTorrent asuma el fallo de seguridad en uTorrent y se digne a solucionarlo como es debido, algo de lo que, por el momento, no se sabe nada.

Cómo protegernos de este fallo de seguridad en uTorrent

Como hemos dicho, aunque uTorrent ha lanzado un parche de seguridad, este realmente no sirve para nada. Por ello, si queremos estar seguros, lo mejor es borrar de nuestro ordenador uTorrent y optar por usar otro cliente de descargas, como Transmission 2.93 (versión que ha solucionado el mismo fallo de seguridad que ahora golpea a uTorrent), o qBittorrent, entre otras muchas alternativas OpenSource.

Otro motivo para abandonar uTorrent es pensar en el pasado. Este cliente de descargas es el más conocido y utilizado, pero es uno de los peores, no solo por estar plagado de publicidad, sino porque la compañía no se caracteriza por ser precisamente fiable, y es que no es la primera vez que ha escondido malware (software de minado de criptomonedas, ahora que están de moda) dentro del cliente, aprovechándose de los usuarios.

¿Eres usuario de uTorrent? ¿Vas a seguir utilizando este cliente de descargas o buscarás otra alternativa?