Abo
  • Services:
Anzeige
Das Login der Plex-Server
Das Login der Plex-Server (Bild: SEC/Screenshot: Golem.de)

SSRF: Sicherheitslücke in Mediensoftware Plex

Die Medienserver des Projekts Plex weisen eine Lücke auf, die sich auch über das Internet ausnutzen lässt. Der Fehler ist bereits bereinigt, die Nutzer sollten auf die aktuelle Version umsteigen - auch wenn die Software auf einem NAS läuft.

Anzeige

Der österreichische Sicherheitsforscher Stefan Viehböck von SEC hat eine Lücke in den Medienservern von Plex entdeckt. Die Programme sind über eine "Server Side Request Forgery" (SSRF) angreifbar. Dabei werden Fehler in Webservern ausgenutzt, indem durch manipulierte Aufrufe Systeme auch hinter einer Firewall zugänglich werden.

Das ist auch bei Plex der Fall, denn die Medienserver sind darauf ausgelegt, auch aus einem Heimnetz Inhalte beispielsweise auf ein Smartphone über das Internet zu streamen. Dazu ist eigentlich ein Login erforderlich, das sich aber durch den Fehler umgehen lässt. Dadurch werden auch auf dem Medienserver gelagerte Dateien zugänglich, zudem können die Accounts der Plex-Nutzer abgefragt werden. Weiterer Zugriff mit den korrekten Logindaten auf die Medieninhalte ist dann möglich. Wie das abläuft, ist auf einem Youtube-Video zu sehen.

Bei Plex handelt es sich um eine Abspaltung des bekannten Projekts XBMC. Die Anwendungen von Plex werden kommerziell vertrieben. Die Software ist recht beliebt, weil es sie für Windows, OS X, Linux sowie zahlreiche NAS-Systeme und auch für Android, iOS und Windows Phone 8 gibt. Auf allen Geräten bietet Plex eine ähnliche Benutzeroberfläche, welche die Nutzung und Verwaltung von Medien recht einfach macht.

Von dem Fehler betroffen sind aber nur die Serverversionen von Plex, nicht etwa die Apps für mobile Geräte. Der Bug steckt laut einem Advisory seines Entdeckers in allen bisherigen Versionen der Server, die eine Nummer kleiner als 0.9.9.3 tragen. Damit sind nicht nur die PCs und Macs betroffen, sondern auch die zahlreichen NAS-Geräte, auf denen der Plex-Server laufen kann. Die seit wenigen Tagen verfügbare Version 0.9.9.3 weist den Fehler nicht mehr auf.

Plex hat nach Entdeckung der Lücke laut der Beschreibung des Fehlers recht fix reagiert: Am 9. Februar 2014 kontaktierte Stefan Viehböck Plex, und bereits am 21. Februar gab es eine erste reparierte Version.


eye home zur Startseite
Anonymer Nutzer 28. Feb 2014

Klassischer 10 Finger Drive-by. Sieht fast immer eklig aus und ist nichts für schwache...



Anzeige

Stellenmarkt
  1. Feynsinn, Garching, Fulda, Ingolstadt
  2. Comline AG, Dortmund
  3. Rohde & Schwarz GmbH & Co. KG, München
  4. dSPACE GmbH, Paderborn


Anzeige
Hardware-Angebote

Folgen Sie uns
       


  1. Großtastenhandys im Test

    Seniorenhandys sind schlecht durchdacht

  2. PixelNN

    Mit Machine Learning unscharfe Bilder erkennbar machen

  3. Mobilfunk

    O2 in bayerischer Gemeinde seit 18 Tagen gestört

  4. Elektroauto

    Tesla schafft günstigstes Model S ab

  5. Bundestagswahl 2017

    IT-Probleme verzögerten Stimmübermittlung

  6. Fortnite Battle Royale

    Entwickler von Pubg sorgt sich wegen Unreal Engine

  7. Übernahme

    SAP kauft Gigya für 350 Millionen US-Dollar

  8. Core i9-7980XE im Test

    Intel braucht 18 Kerne, um AMD zu schlagen

  9. Bundestagswahl 2017

    Ein Hoffnungsschimmer für die Netzpolitik

  10. iZugar

    220-Grad Fisheye-Objektiv für Micro Four Thirds vorgestellt



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Lenovo Thinkstation P320 Tiny im Test: Viel Leistung in der Zigarrenschachtel
Lenovo Thinkstation P320 Tiny im Test
Viel Leistung in der Zigarrenschachtel
  1. Adware Lenovo zahlt Millionenstrafe wegen Superfish
  2. Lenovo Smartphone- und Servergeschäft sorgen für Verlust
  3. Lenovo Patent beschreibt selbstheilendes Smartphone-Display

Wireless Qi: Wie die Ikealampe das iPhone lädt
Wireless Qi
Wie die Ikealampe das iPhone lädt
  1. Noch kein Standard Proprietäre Airpower-Matte für mehrere Apple-Geräte

Apples iPhone X in der Analyse: Ein iPhone voller interessanter Herausforderungen
Apples iPhone X in der Analyse
Ein iPhone voller interessanter Herausforderungen
  1. Smartphone Apple könnte iPhone X verspätet ausliefern
  2. Face ID Apple erlaubt nur ein Gesicht pro iPhone X
  3. iPhone X Apples iPhone mit randlosem OLED-Display kostet 1.150 Euro

  1. Re: Ich feier das Ergebnis der AfD!

    AllDayPiano | 11:57

  2. Re: Wir ueberlegen seit langem den Kauf

    SpeedyGTD | 11:57

  3. Re: Nutzen von ECC?

    peter.kleibert | 11:57

  4. Re: Ich frag mich eh, warum sich die CDU in...

    theFiend | 11:57

  5. Re: Tja, so ist es

    powermummel | 11:56


  1. 12:02

  2. 11:58

  3. 11:34

  4. 11:19

  5. 11:04

  6. 10:34

  7. 10:16

  8. 09:01


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel