SSRF: Sicherheitslücke in Mediensoftware Plex
Der österreichische Sicherheitsforscher Stefan Viehböck von SEC(öffnet im neuen Fenster) hat eine Lücke in den Medienservern von Plex entdeckt. Die Programme sind über eine "Server Side Request Forgery" ( SSRF(öffnet im neuen Fenster) ) angreifbar. Dabei werden Fehler in Webservern ausgenutzt, indem durch manipulierte Aufrufe Systeme auch hinter einer Firewall zugänglich werden.
Das ist auch bei Plex der Fall, denn die Medienserver sind darauf ausgelegt, auch aus einem Heimnetz Inhalte beispielsweise auf ein Smartphone über das Internet zu streamen. Dazu ist eigentlich ein Login erforderlich, das sich aber durch den Fehler umgehen lässt. Dadurch werden auch auf dem Medienserver gelagerte Dateien zugänglich, zudem können die Accounts der Plex-Nutzer abgefragt werden. Weiterer Zugriff mit den korrekten Logindaten auf die Medieninhalte ist dann möglich. Wie das abläuft, ist auf einem Youtube-Video(öffnet im neuen Fenster) zu sehen.
Bei Plex(öffnet im neuen Fenster) handelt es sich um eine Abspaltung des bekannten Projekts XBMC. Die Anwendungen von Plex werden kommerziell vertrieben. Die Software ist recht beliebt, weil es sie für Windows, OS X, Linux sowie zahlreiche NAS-Systeme(öffnet im neuen Fenster) und auch für Android, iOS und Windows Phone 8 gibt. Auf allen Geräten bietet Plex eine ähnliche Benutzeroberfläche, welche die Nutzung und Verwaltung von Medien recht einfach macht.
Von dem Fehler betroffen sind aber nur die Serverversionen von Plex, nicht etwa die Apps für mobile Geräte. Der Bug steckt laut einem Advisory(öffnet im neuen Fenster) seines Entdeckers in allen bisherigen Versionen der Server, die eine Nummer kleiner als 0.9.9.3 tragen. Damit sind nicht nur die PCs und Macs betroffen, sondern auch die zahlreichen NAS-Geräte, auf denen der Plex-Server laufen kann. Die seit wenigen Tagen verfügbare Version 0.9.9.3 weist den Fehler nicht mehr auf.
Plex hat nach Entdeckung der Lücke laut der Beschreibung des Fehlers recht fix reagiert: Am 9. Februar 2014 kontaktierte Stefan Viehböck Plex, und bereits am 21. Februar gab es eine erste reparierte Version.