CVE-2023-30801

qBittorrent — domyślne dane logowania w interfejsie Web UI umożliwiają RCE

CVSS 9.8v3.1pub. 2023-10-10upd. 2025-02-13

Wszystkie wersje klienta qBittorrent do 4.5.5 włącznie stosują domyślne dane uwierzytelniające w interfejsie Web UI, nie wymuszając ich zmiany przez administratora. Podatność umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przejęcie pełnej kontroli nad systemem.

▸ Pokaż oryginał (EN)

All versions of the qBittorrent client through 4.5.5 use default credentials when the web user interface is enabled. The administrator is not forced to change the default credentials. As of 4.5.5, this issue has not been fixed. A remote attacker can use the default credentials to authenticate and execute arbitrary operating system commands using the "external program" feature in the web user interface. This was reportedly exploited in the wild in March 2023.

🤖 Analiza AI

Jak działa

Gdy w qBittorrent zostanie włączony interfejs Web UI, aplikacja korzysta z predefiniowanych, domyślnych danych logowania, których zmiana nie jest wymuszana. Atakujący uzyskuje dostęp do panelu administracyjnego, korzystając z tych powszechnie znanych poświadczeń. Po zalogowaniu może wykorzystać wbudowaną funkcję 'external program' w Web UI do wykonania dowolnych poleceń systemu operacyjnego na maszynie, na której działa klient. Opisano, że podatność była aktywnie wykorzystywana w środowiskach produkcyjnych.

Skutki

Atakujący może zdalnie wykonać dowolne polecenia systemu operacyjnego (RCE) na hoście ofiary bez żadnego uwierzytelnienia, co może prowadzić do pełnego przejęcia systemu, kradzieży danych oraz dalszego lateral movement w sieci.

Mitygacja

Należy natychmiast wyłączyć interfejs Web UI, jeśli nie jest wymagany, oraz zmienić domyślne dane logowania na silne, unikalne hasło. Należy zastosować patche dostępne u producenta zgodnie z referencjami; stan na wersję 4.5.5 wskazuje, że problem nie był wówczas naprawiony — zaleca się śledzenie nowszych wydań qBittorrent oraz aktualizację do najnowszej dostępnej wersji.

Kogo dotyczy

Wszystkie wersje klienta qBittorrent do 4.5.5 włącznie z włączonym interfejsem Web UI

Uwagi

Według opisu podatność była aktywnie wykorzystywana w środowiskach produkcyjnych w marcu 2023 roku. Pomimo tego faktu, w momencie publikacji CVE (październik 2023) podatność nie była uwzględniona w katalogu CISA KEV.