V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
zli
V2EX  ›  信息安全

qBittorrent <= 5.0.0 版本出现安全漏洞(影响自 2010 年以来, 14 年间发布的所有版本)

  •  
  •   zli · 41 天前 · 1522 次点击
    这是一个创建于 41 天前的主题,其中的信息可能已经有所发展或是发生改变。
    qBittorrent <= 5.0.0 版本出现安全漏洞(影响自 2010 年以来,14 年间发布的所有版本)。攻击者可以通过 RSS 订阅源,或者通过中间人劫持攻击 Python 下载、GeoIP 库更新和检查更新等模块进行远程代码执行( RCE )从而获取权限并控制整台计算机。请考虑升级到 5.0.1 或者更高版本。

    建议的操作: 更新 qBittorrent 下载器到 5.0.1 或者更新版本
    注:当前 5.0.1 版本可能存在内存泄漏。

    临时缓解措施:
    1) 不要添加不可信的 RSS 订阅源,或者暂时禁用 RSS 订阅功能;
    2) 确保上网环境安全,避免被中间人劫持攻击
    3) 不要使用高权限账户(如:管理员或 root )运行 qBittorrent ,对于 Linux 用户,考虑在 Docker 的非特权容器中运行 qBittorrent

    如果您的 qBittorrent 运行在高价值设备上(如存储重要数据的 NAS ): 建议您使用 Docker 部署 qBittorrent ,考虑到 qBittorrent 在过去多个版本的安全方面的表现来说,不能说很差,只能说几乎完全没有安全性可言。对 qBittorrent 做隔离是相当必要的操作。如果您的 NAS 主机系统被提权控制,快照保护和定期备份程序都可能面临失效的风险。你设置的文件系统快照在系统本身被拿下的情况下,很可能无法发挥作用。

    原文: https://cyberinsider.com/rce-vulnerability-in-qbittorrents-ssl-handling-patched-after-14-years/

    PeerBanHelper:
    https://github.com/PBH-BTN/PeerBanHelper/releases/tag/v7.0.1
    2 条回复
    tjiaming99
        1
    tjiaming99  
       41 天前
    安全性做的确实比较差,我都是 docker 里面跑
    user100saysth
        2
    user100saysth  
       16 天前
    之前没改默认密码,被人添加了下载任务。。。。
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   2772 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 20ms · UTC 13:19 · PVG 21:19 · LAX 05:19 · JFK 08:19
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.