Sicherheitslücke: Unsichere Standardpasswörter in Jitsi Meet

Die Installation der Videokonferenzsoftware Jitsi Meet mittels Docker nutzte ein Standardpasswort für eigentlich interne XMPP-Accounts.

Artikel veröffentlicht am ,
Kein sicheres Passwort: Mit dem Standardpasswort "passw0rd" kann man sich in interne XMPP-Accounts von Jitsi Meet einloggen.
Kein sicheres Passwort: Mit dem Standardpasswort "passw0rd" kann man sich in interne XMPP-Accounts von Jitsi Meet einloggen. (Bild: Screenshot / Hanno Böck)

In der freien Videokonferenzsoftware Jitsi Meet gibt es ein Sicherheitsproblem, wenn man die Installation mit Docker-Containern verwendet hat. Verschiedene Accounts, die intern für die Kommunikation mittels des Jabber-Protokolls XMPP genutzt werden, werden mit dem Standardpasswort "passw0rd" eingerichtet.

Stellenmarkt
  1. Payroll Technology Solution Lead (m/f/x)
    Autodoc AG, Berlin, Szczecin (Polen), Cheb (Tschechien)
  2. Servicemanagerin Finanzwesen (m/w/d)
    Hannoversche Informationstechnologien AöR (hannIT), Hannover (Home-Office möglich)
Detailsuche

Was dabei nicht vorgesehen war: Auf diese Accounts kann man auch von außen zugreifen. Der Webserver von Jitsi Meet ermöglicht das durch eine BOSH-Schnittstelle. Dabei handelt es sich um ein Protokoll, mit dem man XMPP über HTTP-Verbindungen nutzen kann. Somit kann man sich mit diesen Standardaccounts auf den von Jitsi Meet genutzten XMPP-Server Prosody einloggen. Entdeckt hat diese Lücke der IT-Sicherheitsexperte Joern Schneeweisz.

Login mit dem Passwort "passw0rd"

Die Entwickler haben inzwischen ihre Installationsanleitung angepasst. Um Jitsi Meet via Docker zu installieren, muss man nun ein Skript ausführen, das alle intern genutzten Passwörter auf Zufallswerte setzt. Wenn die Passwörter nicht gesetzt sind oder den alten Standardwert "passw0rd" verwenden, wird der Start verweigert.

Angesichts der Corona-Pandemie haben Videokonferenzsysteme in letzter Zeit einen großen Zulauf. Viele Nutzer haben sich dafür Jitsi Meet installiert, Golem.de hat vor kurzem auch eine entsprechende Anleitung veröffentlicht und betreibt selbst einen öffentlichen Server. Die Anleitung haben wir inzwischen angepasst. Alle Nutzer, die Jitsi Meet anhand unserer ursprünglichen Anleitung installiert haben, sind von dem Problem betroffen.

Golem Akademie
  1. Jira für Systemadministratoren: virtueller Zwei-Tage-Workshop
    24.–25. Januar 2022, virtuell
  2. Unreal Engine 4 Grundlagen: virtueller Drei-Tage-Workshop
    28. Februar–2. März 2022, Virtuell
Weitere IT-Trainings

Wer bereits eine bestehende Installation von Jitsi Meet mit Docker hat, sollte diese unbedingt absichern. Hierfür können folgende Befehle im entsprechenden Verzeichnis des Git-Checkouts ausgeführt werden:

  1. git pull
  2. ./gen-passwords.sh
  3. docker-compose down
  4. rm -r ~/.jitsi-meet-cfg/
  5. mkdir -p ~/.jitsi-meet-cfg/{web/letsencrypt,transcripts,prosody,jicofo,jvb,jigasi,jibri}
  6. docker-compose up -d

Dabei wird zunächst der Code des Git-Repositories aktualisiert, anschließend werden mit dem Skript gen-passwords.sh Zufallspasswörter in der Konfigurationsdatei gesetzt. Anschließend beendet man den Server, löscht die bestehende Konfiguration und legt neue, leere Konfigurationsverzeichnisse an. Zuletzt startet man den Server wieder.

Golem.de stellt Testskript bereit

Um zu testen, ob das Ganze erfolgreich war, haben wir ein Python-Skript bereitgestellt, mit dem man die Verwundbarkeit testen kann. Das Skript versucht, sich in einen der XMPP-Accounts einzuloggen.

Mithilfe der Sicherheitslücke kann man die Benutzerauthentifizierung auf Installationen umgehen, die eine solche aktiviert haben. Weitere Auswirkungen sind denkbar, da man als Angreifer einen Administrationsaccount auf dem internen XMPP-Server besitzt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


katze_sonne 18. Apr 2020

Na herzlichen Glückwunsch! Da wäre ich dann - von all den Leuten, die hier dank Jitsi...

garthako 15. Apr 2020

Ich schrieb, dass qualifizierte Leute gern Docker nutzen sollen. Die gucken sich dann...

\pub\bash0r 14. Apr 2020

Alternativ einen kleinen LDAP Server aufsetzen (ich empfehle für diesen Fall glauth) und...

Schnarchnase 13. Apr 2020

Ohne dir zu nahe treten zu wollen, aber so betreibt man doch keine Dienste öffentlich im...

hab (Golem.de) 13. Apr 2020

Das haben wir tatsächlich bisher ein bißchen unelegant gelöst. Wir passen da die...



Aktuell auf der Startseite von Golem.de
Krypto-Währung
El Salvador nutzt Talfahrt des Bitcoin für großen Ankauf

Die selbsternannte Bitcoin-Nation El Salvador hat die aktuelle Schwäche der Währung ausgenutzt und eingekauft - offenbar am Smartphone.

Krypto-Währung: El Salvador nutzt Talfahrt des Bitcoin für großen Ankauf
Artikel
  1. Radeon RX 6500 XT: Diese Karte hätte es früher(TM) nie gegeben
    Radeon RX 6500 XT
    Diese Karte hätte es früher(TM) nie gegeben

    In Zeiten irrer Grafikkarten-Preise wird ein winziger Laptop- als überteuerter Gaming-Desktop-Chip verkauft. Eine ebenso perfide wie geniale Idee.
    Eine Analyse von Marc Sauter

  2. Digitalisierung: 500-Euro-Laptops für Lehrer leistungsfähig und gut nutzbar
    Digitalisierung
    500-Euro-Laptops für Lehrer "leistungsfähig und gut nutzbar"

    Das Land NRW hat seine Lehrkräfte mit Dienst-Laptops ausgestattet. Doch diese äußern deutliche Kritik und verwenden wohl weiter private Geräte.

  3. Serielle Schnittstellen: Wie funktioniert PCI Express?
    Serielle Schnittstellen
    Wie funktioniert PCI Express?

    Serielle High-Speed-Links erscheinen irgendwie magisch. Wir erklären am Beispiel von PCI Express, welche Techniken sie ermöglichen - und warum.
    Von Johannes Hiltscher

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • RTX 3080 Ti 12GB 1.699€ • Intel i9-10900K 444,88€ • Huawei Curved Gaming-Monitor 27" 299€ • Hisense-TVs zu Bestpreisen (u. a. 55" OLED 739€) • RX 6900 1.449€ • MindStar (u.a. Intel i7-10700KF 279€) • 4 Blu-rays für 22€ • LG OLED (2021) 77 Zoll 120Hz 2.799€ [Werbung]
    •  /