Transmission 4.1.4 schließt Lücken in RPC und macOS-Client
Transmission 4.1.4 ist seit dem 24. Oktober 2026 verfügbar. Das Update behebt eine lokal ausnutzbare Lücke im macOS-Client, einen Schreibfehler hinter Puffergrenzen in der RPC-Methode torrent-add und einen Fehler aus 4.1.0 mit leeren Dateien. Was Betreiber von transmission-daemon jetzt prüfen sollten.
Das Transmission-Projekt hat in der Nacht zum 24. Oktober 2026 die Version 4.1.4 seines BitTorrent-Clients veröffentlicht. Das Wartungsrelease schließt eine als mögliche Remotecodeausführung eingestufte Lücke im macOS-Client, härtet die RPC-Methode torrent-add gegen fehlerhafte Anfragen und behebt einen Fehler aus Version 4.1.0, durch den Torrents mit leeren Dateien Downloadfortschritt verlieren konnten. Das Projekt empfiehlt allen Nutzern das Update.
Betroffen sind alle Installationen der Reihe 4.1.x, also Desktop-Clients unter macOS, Windows und Linux ebenso wie transmission-daemon auf Servern, NAS-Systemen und in Containern. Wer den Daemon mit erreichbarer RPC-Schnittstelle betreibt, sollte das Update zeitnah einplanen. Für Docker-Nutzer gilt: Das verbreitete Image von linuxserver.io stand zum Zeitpunkt der Recherche noch auf 4.1.3.
Was ist passiert?
Laut Release-Notes ist 4.1.4 ein Bugfix-Release mit einer Sicherheitskorrektur für den macOS-Client und weiteren kleineren Fehlerbehebungen. Die macOS-Lücke führt das Projekt unter der Kennung GHSA-v7mp-fpv3-jf5r. Für einen Angriff ist lokaler Schreibzugriff auf die Einstellungen des Benutzers nötig, aus der Ferne ist die Schwachstelle nach Angaben der Entwickler nicht ausnutzbar. Das zugehörige Advisory war zum Zeitpunkt der Recherche noch nicht öffentlich einsehbar, eine CVE-Nummer nennen die Release-Notes nicht.
Plattformübergreifend relevanter ist die Härtung von torrent-add. Laut Pull Request 9158 konnte ein präparierter Aufruf mit dem Parameter priority_high dazu führen, dass Transmission ein Byte hinter das Ende eines internen Speicherbereichs schreibt. Die Korrektur stammt aus dem Fork Retransmission und behebt Lese- und Schreibzugriffe außerhalb der Puffergrenzen. Zusätzlich korrigiert 4.1.4 einen Fehler, bei dem das Setzen von TR_CURL_PROXY_SSL_NO_VERIFY die SSL-Prüfung des eigentlichen Zielservers beeinträchtigte.
Weitere Korrekturen betreffen Webseeds, die nicht fertig wurden, ein seltenes Hängenbleiben beim Beenden und Geschwindigkeitsgrenzen pro Torrent, die nun für Download und Upload greifen. Windows-Builds erhalten zlib 1.3.2 mit Korrekturen aus einem Sicherheitsaudit sowie aktualisierte Qt-Versionen. Unter macOS steigt die Mindestversion auf macOS 12, Sparkle-Updates werden künftig mit EdDSA statt DSA signiert.
Wer ist betroffen?
Die macOS-Lücke betrifft nur den nativen Mac-Client. Der RPC-Fehler betrifft dagegen den gemeinsamen Kern und damit auch transmission-daemon, die Weboberfläche und Fernsteuerungen. Ausnutzen kann ihn, wer Anfragen an die RPC-Schnittstelle senden darf. Besonders exponiert sind Installationen, deren Port 9091 ohne Authentifizierung oder Zugriffsliste im Netz erreichbar ist. Den Fehler mit leeren Dateien brachte Version 4.1.0 mit, ältere Versionen sind davon nicht betroffen.
Wie kritisch ist das?
Die macOS-Lücke klingt durch die Einstufung als mögliche Codeausführung dramatischer, als sie ist: Wer bereits die Einstellungen des Benutzers verändern kann, hat das System ohnehin weitgehend unter Kontrolle. Den Schreibfehler über torrent-add beschreiben die Entwickler als Härtung gegen fehlerhafte Anfragen und nennen keine Ausnutzung. Ein Speicherfehler in einer Netzwerkschnittstelle ist dennoch ernst zu nehmen, vor allem bei offen erreichbarem RPC. Insgesamt ist das Update wichtig, aber kein Notfall.
Was sollten Admins jetzt tun?
- Inventar prüfen: Auf welchen Systemen, NAS-Geräten und in welchen Containern läuft Transmission, und in welcher Version?
transmission-daemon --versionliefert die Antwort. - Auf 4.1.4 aktualisieren, sobald das Paket der eigenen Distribution oder das genutzte Image verfügbar ist. Bei linuxserver/transmission waren
latestund4.1.3-r0-ls365vom 20. Oktober 2026 zum Recherchezeitpunkt der neueste Stand. - Bis zum Update die RPC-Schnittstelle absichern: Authentifizierung aktivieren,
rpc-whitelisteng setzen und Port 9091 nicht direkt ins Internet freigeben. - Vor dem Update laufende Torrents mit leeren Dateien im Blick behalten und den Fortschritt nach dem Neustart kontrollieren.
- Wer
TR_CURL_PROXY_SSL_NO_VERIFYnutzt, sollte nach dem Update prüfen, ob die Verbindungen über den Proxy weiterhin wie gewünscht funktionieren.
Einordnung für Unternehmen
In Unternehmensnetzen spielt Transmission meist eine kleine Rolle, etwa zum Verteilen großer Installationsabbilder oder auf Heimserver-ähnlichen Systemen in Außenstellen. Gerade solche Nebensysteme fallen bei Updates oft durch. Container sollten deshalb nicht blind auf latest laufen, sondern über einen festen Update-Prozess mit Benachrichtigung über neue Tags gepflegt werden. Nach dem qBittorrent-Fix vom Oktober zeigt das Release erneut, dass Weboberflächen und Fernsteuerschnittstellen von Torrent-Clients nicht ungeschützt im Netz stehen sollten.
Passende Anleitungen auf S-EDV
- Docker-Container aktuell halten: Watchtower-Nachfolger Diun und WUD
- qBittorrent auf Synology NAS installieren
- qBittorrent 5.3: Login-Umgehung hinter Reverse Proxy behoben
