Abo
  • Services:
Anzeige
Das Login der Plex-Server
Das Login der Plex-Server (Bild: SEC/Screenshot: Golem.de)

SSRF: Sicherheitslücke in Mediensoftware Plex

Die Medienserver des Projekts Plex weisen eine Lücke auf, die sich auch über das Internet ausnutzen lässt. Der Fehler ist bereits bereinigt, die Nutzer sollten auf die aktuelle Version umsteigen - auch wenn die Software auf einem NAS läuft.

Anzeige

Der österreichische Sicherheitsforscher Stefan Viehböck von SEC hat eine Lücke in den Medienservern von Plex entdeckt. Die Programme sind über eine "Server Side Request Forgery" (SSRF) angreifbar. Dabei werden Fehler in Webservern ausgenutzt, indem durch manipulierte Aufrufe Systeme auch hinter einer Firewall zugänglich werden.

Das ist auch bei Plex der Fall, denn die Medienserver sind darauf ausgelegt, auch aus einem Heimnetz Inhalte beispielsweise auf ein Smartphone über das Internet zu streamen. Dazu ist eigentlich ein Login erforderlich, das sich aber durch den Fehler umgehen lässt. Dadurch werden auch auf dem Medienserver gelagerte Dateien zugänglich, zudem können die Accounts der Plex-Nutzer abgefragt werden. Weiterer Zugriff mit den korrekten Logindaten auf die Medieninhalte ist dann möglich. Wie das abläuft, ist auf einem Youtube-Video zu sehen.

Bei Plex handelt es sich um eine Abspaltung des bekannten Projekts XBMC. Die Anwendungen von Plex werden kommerziell vertrieben. Die Software ist recht beliebt, weil es sie für Windows, OS X, Linux sowie zahlreiche NAS-Systeme und auch für Android, iOS und Windows Phone 8 gibt. Auf allen Geräten bietet Plex eine ähnliche Benutzeroberfläche, welche die Nutzung und Verwaltung von Medien recht einfach macht.

Von dem Fehler betroffen sind aber nur die Serverversionen von Plex, nicht etwa die Apps für mobile Geräte. Der Bug steckt laut einem Advisory seines Entdeckers in allen bisherigen Versionen der Server, die eine Nummer kleiner als 0.9.9.3 tragen. Damit sind nicht nur die PCs und Macs betroffen, sondern auch die zahlreichen NAS-Geräte, auf denen der Plex-Server laufen kann. Die seit wenigen Tagen verfügbare Version 0.9.9.3 weist den Fehler nicht mehr auf.

Plex hat nach Entdeckung der Lücke laut der Beschreibung des Fehlers recht fix reagiert: Am 9. Februar 2014 kontaktierte Stefan Viehböck Plex, und bereits am 21. Februar gab es eine erste reparierte Version.


eye home zur Startseite
Anonymer Nutzer 28. Feb 2014

Klassischer 10 Finger Drive-by. Sieht fast immer eklig aus und ist nichts für schwache...



Anzeige

Stellenmarkt
  1. Imago Design GmbH, Gilching
  2. über Ratbacher GmbH, Raum Frankfurt
  3. ORBIT Gesellschaft für Applikations- und Informationssysteme mbH, Bonn, Darmstadt
  4. Deutsche Post DHL Group, Bonn


Anzeige
Hardware-Angebote
  1. 649,90€
  2. (Core i7-6700HQ + GeForce GTX 1070)
  3. und 19 % Cashback bekommen

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitskonzeption für das App-getriebene Geschäft
  2. Mit digitalen Workflows Geschäftsprozesse agiler machen
  3. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie


  1. Apple

    Aktivierungssperre des iPads lässt sich umgehen

  2. Amazon

    Downloader-App aus dem Fire-TV-Store entfernt

  3. Autonomes Fahren

    Apple zeigt Interesse an selbstfahrenden Autos

  4. Sicherheit

    Geheimdienst warnt vor Cyberattacke auf russische Banken

  5. Super Mario Bros. (1985)

    Fahrt ab auf den Bruder!

  6. Canon EOS 5D Mark IV im Test

    Grundsolides Arbeitstier mit einer Portion Extravaganz

  7. PSX 2016

    Sony hat The Last of Us 2 angekündigt

  8. Raspberry Pi

    Schutz gegen Übernahme durch Hacker und Botnetze verbessert

  9. UHD-Blu-ray

    PowerDVD spielt 4K-Discs

  10. Raumfahrt

    Europa bleibt im All



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Named Data Networking: NDN soll das Internet revolutionieren
Named Data Networking
NDN soll das Internet revolutionieren
  1. Geheime Überwachung Der Kanarienvogel von Riseup singt nicht mehr
  2. Bundesförderung Bundesländer lassen beim Breitbandausbau Milliarden liegen
  3. Internet Protocol Der Adresskollaps von IPv4 kann verzögert werden

Quake (1996): Urknall für Mouselook, Mods und moderne 3D-Grafik
Quake (1996)
Urknall für Mouselook, Mods und moderne 3D-Grafik
  1. Künstliche Intelligenz Doom geht in Deckung

Final Fantasy 15 im Test: Weltenrettung mit der Boyband des Wahnsinns
Final Fantasy 15 im Test
Weltenrettung mit der Boyband des Wahnsinns
  1. Square Enix Koop-Modus von Final Fantasy 15 folgt kostenpflichtig

  1. Director of Product Integrity

    sskora | 17:01

  2. Re: Schon wieder eine Sicherheitslücke bei Apple...

    seizethecheesl | 16:57

  3. Re: 4000¤ - WTF?

    DetlevCM | 16:55

  4. Re: Pervers... .

    Kleine Schildkröte | 16:44

  5. Re: Einheiten richtig umrechnen du musst

    Gamma Ray Burst | 16:43


  1. 12:54

  2. 11:56

  3. 10:54

  4. 10:07

  5. 08:59

  6. 08:00

  7. 00:03

  8. 15:33


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel