CVE-2019-13640

Command injection w qBittorrent przez metaznaki powłoki w nazwie torrenta

CVSS 9.8v3.0pub. 2019-07-17upd. 2024-11-21

qBittorrent przed wersją 4.1.7 zawiera podatność typu command injection w funkcji Application::runExternalProgram(), która umożliwia zdalne wykonanie poleceń systemowych. Atakujący może wywołać atak poprzez spreparowaną nazwę torrenta w kanale RSS, bez jakiegokolwiek uwierzytelnienia.

▸ Pokaż oryginał (EN)

In qBittorrent before 4.1.7, the function Application::runExternalProgram() located in app/application.cpp allows command injection via shell metacharacters in the torrent name parameter or current tracker parameter, as demonstrated by remote command execution via a crafted name within an RSS feed.

🤖 Analiza AI

Jak działa

Funkcja Application::runExternalProgram() zlokalizowana w pliku app/application.cpp nieprawidłowo przetwarza dane wejściowe przekazywane jako parametr nazwy torrenta lub parametr bieżącego trackera. Metaznaki powłoki systemowej (shell metacharacters) zawarte w tych parametrach nie są odpowiednio filtrowane ani eskejpowane przed przekazaniem do wywołania systemowego. W rezultacie atakujący może osadzić złośliwe polecenia w nazwie torrenta wewnątrz kanału RSS, które zostaną wykonane w kontekście aplikacji qBittorrent na maszynie ofiary.

Skutki

Atakujący zdalnie i bez uwierzytelnienia może wykonać dowolne polecenia systemowe (RCE) na maszynie ofiary, uzyskując pełną kontrolę nad poufnością, integralnością danych oraz dostępnością systemu.

Mitygacja

Należy zaktualizować qBittorrent do wersji 4.1.7 lub nowszej. Dostępne są również aktualizacje w repozytoriach dystrybucji openSUSE oraz Fedora — należy zastosować patche zgodnie z odpowiednimi komunikatami bezpieczeństwa tych dystrybucji.

Kogo dotyczy

qBittorrent we wszystkich wersjach przed 4.1.7

Uwagi

Podatność jest możliwa do wykorzystania zdalnie poprzez spreparowany kanał RSS — scenariusz ataku nie wymaga żadnej interakcji użytkownika poza faktem subskrybowania złośliwego kanału RSS w aplikacji.