Abo
  • Services:
Anzeige
Das Login der Plex-Server
Das Login der Plex-Server (Bild: SEC/Screenshot: Golem.de)

SSRF: Sicherheitslücke in Mediensoftware Plex

Die Medienserver des Projekts Plex weisen eine Lücke auf, die sich auch über das Internet ausnutzen lässt. Der Fehler ist bereits bereinigt, die Nutzer sollten auf die aktuelle Version umsteigen - auch wenn die Software auf einem NAS läuft.

Anzeige

Der österreichische Sicherheitsforscher Stefan Viehböck von SEC hat eine Lücke in den Medienservern von Plex entdeckt. Die Programme sind über eine "Server Side Request Forgery" (SSRF) angreifbar. Dabei werden Fehler in Webservern ausgenutzt, indem durch manipulierte Aufrufe Systeme auch hinter einer Firewall zugänglich werden.

Das ist auch bei Plex der Fall, denn die Medienserver sind darauf ausgelegt, auch aus einem Heimnetz Inhalte beispielsweise auf ein Smartphone über das Internet zu streamen. Dazu ist eigentlich ein Login erforderlich, das sich aber durch den Fehler umgehen lässt. Dadurch werden auch auf dem Medienserver gelagerte Dateien zugänglich, zudem können die Accounts der Plex-Nutzer abgefragt werden. Weiterer Zugriff mit den korrekten Logindaten auf die Medieninhalte ist dann möglich. Wie das abläuft, ist auf einem Youtube-Video zu sehen.

Bei Plex handelt es sich um eine Abspaltung des bekannten Projekts XBMC. Die Anwendungen von Plex werden kommerziell vertrieben. Die Software ist recht beliebt, weil es sie für Windows, OS X, Linux sowie zahlreiche NAS-Systeme und auch für Android, iOS und Windows Phone 8 gibt. Auf allen Geräten bietet Plex eine ähnliche Benutzeroberfläche, welche die Nutzung und Verwaltung von Medien recht einfach macht.

Von dem Fehler betroffen sind aber nur die Serverversionen von Plex, nicht etwa die Apps für mobile Geräte. Der Bug steckt laut einem Advisory seines Entdeckers in allen bisherigen Versionen der Server, die eine Nummer kleiner als 0.9.9.3 tragen. Damit sind nicht nur die PCs und Macs betroffen, sondern auch die zahlreichen NAS-Geräte, auf denen der Plex-Server laufen kann. Die seit wenigen Tagen verfügbare Version 0.9.9.3 weist den Fehler nicht mehr auf.

Plex hat nach Entdeckung der Lücke laut der Beschreibung des Fehlers recht fix reagiert: Am 9. Februar 2014 kontaktierte Stefan Viehböck Plex, und bereits am 21. Februar gab es eine erste reparierte Version.


eye home zur Startseite
Anonymer Nutzer 28. Feb 2014

Klassischer 10 Finger Drive-by. Sieht fast immer eklig aus und ist nichts für schwache...



Anzeige

Stellenmarkt
  1. Stadtwerke Heidelberg GmbH, Heidelberg
  2. State Street Global Exchange, Frankfurt
  3. über Hays AG, München
  4. ING-DiBa AG, Nürnberg


Anzeige
Hardware-Angebote
  1. 179,99€
  2. 49,90€ + 3,99€ Versand (Vergleichspreis ab 79€)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Denverton

    Intel plant Atom C3000 mit bis zu 16 Goldmont-CPU-Kernen

  2. Trotz Weiterbildung

    Arbeitslos als Fachinformatiker

  3. Klage gegen Steuernachzahlung

    Apple beruft sich auf europäische Grundrechte

  4. 3D Studio

    Nvidia spendiert Qt Hunderttausende Zeilen Code

  5. Horizon Zero Dawn im Test

    Abenteuer im Land der Maschinenmonster

  6. Qualcomm

    Snapdragon 210 bekommt Android-Things-Unterstützung

  7. New Radio

    Qualcomm lässt neues 5G-Air-Interface testen

  8. Snapdragon X20

    Qualcomm kündigt 1,2-GBit/s-LTE-Modem an

  9. Gesetzentwurf

    Streit über Handy-Kontrolle von Asylbewerbern

  10. Kryptomessenger

    Signal ab sofort ohne Play-Services nutzbar



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
XPS 13 (9360) im Test: Wieder ein tolles Ultrabook von Dell
XPS 13 (9360) im Test
Wieder ein tolles Ultrabook von Dell
  1. Die Woche im Video Die Selbstzerstörungssequenz ist aktiviert
  2. XPS 13 Convertible im Hands on Dells 2-in-1 ist kompakter und kaum langsamer

Mechanische Tastatur Poker 3 im Test: "Kauf dir endlich Dämpfungsringe!"
Mechanische Tastatur Poker 3 im Test
"Kauf dir endlich Dämpfungsringe!"
  1. Patentantrag Apple denkt über Tastatur mit Siri-, Emoji- und Teilen-Taste nach
  2. Kanex Faltbare Bluetooth-Tastatur für mehrere Geräte gleichzeitig
  3. Surface Ergonomic Keyboard Microsofts Neuauflage der Mantarochen-Tastatur

Merkels NSA-Vernehmung: Die unerträgliche Uninformiertheit der Kanzlerin
Merkels NSA-Vernehmung
Die unerträgliche Uninformiertheit der Kanzlerin
  1. US-Präsident Zuck it, Trump!
  2. Begnadigung Danke, Chelsea Manning!
  3. Glasfaser Nun hängt die Kabel doch endlich auf!

  1. Re: Also doch nicht 10 Jahre Berufserfahrung ...

    maerchen | 15:26

  2. Re: Damit liefern wir den "Emerging Market...

    DebugErr | 15:26

  3. Gehaltswunsch?

    maerchen | 15:25

  4. Re: Markt muss Druck machen

    AFUFO | 15:25

  5. Re: bewerbungsfragen... mal zum self assessment. :-)

    JohnD | 15:24


  1. 15:00

  2. 14:45

  3. 14:13

  4. 14:12

  5. 14:00

  6. 13:30

  7. 13:30

  8. 13:30


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel