A mediados de enero conocíamos un nuevo fallo de seguridad que permitiría controlar el ordenador de los usuarios de la red torrent. Este fue descubierto por los investigadores de Google Project Zero, que aseguraron en ese momento que, además de Transmission, otros clientes para descargar torrent podrían estar afectados. Pese a lanzar una actualización, el grave fallo de seguridad está presente en uTorrent y pone en peligro a los usuarios.

El cliente uTorrent es uno de los más utilizados de este mundo con docenas de millones de clientes activos a diario. Además, se trata de uno de los veteranos que sigue en la picota después de muchos años y después de algunas polémicas que le han granjeado algunos detractores.

Grave fallo de seguridad en uTorrent

Google reportó un importante fallo de seguridad descubierto por el investigador Tavis Ormandy. Como sabemos, Google Project Zero da 90 días a los desarrolladores para solventar la vulnerabilidad antes de hacerla pública. Aunque tres meses parecen un plazo más que razonable y suficiente, hemos visto bastantes casos en que no se ha solucionado nada o se ha solucionado de forma incorrecta.

El mes pasado, este investigador se puso en contacto con BitTorrent, dueños de uTorrent, temiendo que no fueran capaces de solucionar a tiempo la vulnerabilidad. Por el momento, uTorrent no ha liberado una versión estable con la solución y el parche está aplicado únicamente en la versión beta.

Esta versión beta debería ver la luz esta semana, pero no parece que vaya a funcionar de la forma que esperamos. En este caso, estamos ante un problema de DNS rebinding que permite a terceros ejecutar código remoto a través de la función de control remoto de uTorrent y acceder a datos del usuario.

Hmm, it looks like BitTorrent just added a second token to uTorrent Web. That does not solve the DNS rebinding issue, it just broke my exploit. 😩

— Tavis Ormandy (@taviso) February 20, 2018

En un mensaje de Twitter, Tavis Ormandy destaca que la solución adoptada por uTorrent no es lo conveniente que él esperaba. Sin embargo, desde BitTorrent señalan que la versión corregida lanzada el 16 de febrero con el código 3.5.3.44352 es correcta y que empezarán esta semana a distribuirla por todos los usuarios.

Por el momento, parece que tendremos noticias al respecto y tendremos que actualizar la información. Si sois usuarios de uTorrent, os recomendamos que no os vayáis muy lejos por lo que pueda pasar.