【ITBEAR】知名BT下载客户端qBittorrent近日修复了一项存在长达14年的安全漏洞。据科技媒体bleepingcomputer于10月31日的报道，该漏洞涉及中间人劫持和远程代码执行，对用户的数据安全构成了严重威胁。
此漏洞最早可追溯到2010年4月6日，但直到最近，qBittorrent官方在2024年10月28日发布的5.0.1版本中才将其修复。漏洞的存在主要是由于应用程序的DownloadManager组件未能有效验证SSL/TLS证书，该组件负责应用程序内的所有下载管理。
尽管漏洞已经得到修复，但安全研究公司Sharp Security指出，qBittorrent团队在通报此问题方面做得并不充分，可能导致部分用户仍未意识到升级的重要性。
未验证的SSL证书可能引发的安全风险包括：恶意Python安装程序的替换、通过篡改硬编码URL诱导用户下载恶意软件、RSS订阅内容的劫持与篡改，以及利用qBittorrent自动下载的GeoIP数据库导致的内存溢出漏洞。
Sharp Security的研究员特别强调，在某些地区，中间人攻击可能更为频发。因此，他们敦促所有qBittorrent用户尽快升级到最新版本5.0.1，以确保个人数据和网络安全。
