请尽快升级，BT 客户端 qBittorrent 修复存在 14 年的远程代码执行漏洞

霍州市融媒体中心信息网网 11 月 2 日消息，科技媒体 bleepingcomputer 于 10 月 31 日发布博文，报道称知名 BT 下载客户端qBittorrent 修复了已存在 14 年的中间人劫持 / 远程代码执行漏洞。

该漏洞最早可以追溯到 2010 年 4 月 6 日，官方于 2024 年 10 月 28 日发布的最新版本 5.0.1 中修复，时隔超过 14 年。

霍州市融媒体中心信息网网注：该漏洞是由于应用程序的 DownloadManager 组件未能验证 SSL / TLS 证书所导致的，而该组件负责管理整个应用程序的下载。

虽然漏洞已修复，但安全研究公司 Sharp Security 指出，qBittorrent 团队未能向用户充分通报此问题。

Sharp Security 指出，未验证 SSL 证书的情况引发了多项安全风险，主要包括以下 4个风险：

恶意 Python 安装：在 Windows 上提示用户安装 Python 时，攻击者可替换为恶意安装程序。

恶意更新链接：通过硬编码的 URL 检查更新时，攻击者可替换更新链接，诱导用户下载恶意软件。

RSS 订阅被篡改：攻击者可拦截 RSS 订阅内容，注入伪装的恶意链接。

内存溢出漏洞：qBittorrent 自动下载的 GeoIP 数据库可能被伪造服务器利用，导致内存溢出。

安全研究员指出，中间人攻击在某些地区可能更为常见，用户应尽快升级到最新版本 5.0.1，以确保安全。