Transmission: Permissive CORS legt RPC-Anti-CSRF-Token offen

Zusammenfassung

Transmission 4.0.0 vor 4.1.3 enthält im RPC-Server eine permissive CORS-Richtlinie, die das Anti-CSRF-Token X-Transmission-Session-Id für jede Web-Herkunft offenlegt. Eine von einem Benutzer besuchte bösartige Webseite kann das Token auslesen und RPC-Aufrufe ausführen, sofern der Browser des Benutzers den RPC-Dienst erreichen kann. Mögliche Folgen sind die Ausführung eines Skripts bei Abschluss eines Torrents, die Änderung des Download-Verzeichnisses sowie das Löschen von Torrents und Daten.

Betroffen

• Transmission 4.0.0 vor 4.1.3
• Distributionspakete: Changelog des Pakets prüfen, da der Status variiert (Ubuntu-Tracker zeigt 'Needs evaluation')

Behoben in

• Transmission 4.1.3 (Upstream-Release)
• Distributionspakete: für alle Plattformen unbekannt

Umgehung

• Auf 4.1.3 oder neuer aktualisieren; für gepatchte Systeme ist kein Workaround nötig
• Bis zum Update den Fernzugriff auf die Web-UI/RPC deaktivieren oder auf localhost bzw. ein vertrauenswürdiges LAN beschränken und RPC-Authentifizierung aktivieren

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA KEV gelistet
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Ein Scanner-Aggregator listet eine Erkennung für diese Schwachstelle; dies ist nicht verifiziert
• Ein Write-up eines Drittanbieters existiert; dessen Inhalt wurde nicht geprüft

Unsere Empfehlung

• Alle Transmission-Instanzen inventarisieren, einschliesslich Paket- und Container-Versionen
• Auf Transmission 4.1.3 oder neuer aktualisieren und Distributionspakete separat prüfen
• Bis zum Update den RPC-Zugriff auf localhost oder ein vertrauenswürdiges LAN beschränken und RPC-Authentifizierung aktivieren
• Systeme priorisieren, auf denen ein NAS oder gemeinsam genutzter Arbeitsplatz Transmission mit aktivierter Web-Oberfläche betreibt

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record / VulnCheck advisory www.vulncheck.com
• Transmission 4.1.3 release github.com
• Fix commit github.com
• Fix pull request #8938 github.com
• Affected code rpc-server.cc (4.1.2) github.com
• Ubuntu security tracker ubuntu.com
• SUSE CVE aggregator (Vulners) vulners.com
• Write-up (joshua.hu) joshua.hu

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:04.