Abo
  • Services:
Anzeige
Das Login der Plex-Server
Das Login der Plex-Server (Bild: SEC/Screenshot: Golem.de)

SSRF: Sicherheitslücke in Mediensoftware Plex

Die Medienserver des Projekts Plex weisen eine Lücke auf, die sich auch über das Internet ausnutzen lässt. Der Fehler ist bereits bereinigt, die Nutzer sollten auf die aktuelle Version umsteigen - auch wenn die Software auf einem NAS läuft.

Anzeige

Der österreichische Sicherheitsforscher Stefan Viehböck von SEC hat eine Lücke in den Medienservern von Plex entdeckt. Die Programme sind über eine "Server Side Request Forgery" (SSRF) angreifbar. Dabei werden Fehler in Webservern ausgenutzt, indem durch manipulierte Aufrufe Systeme auch hinter einer Firewall zugänglich werden.

Das ist auch bei Plex der Fall, denn die Medienserver sind darauf ausgelegt, auch aus einem Heimnetz Inhalte beispielsweise auf ein Smartphone über das Internet zu streamen. Dazu ist eigentlich ein Login erforderlich, das sich aber durch den Fehler umgehen lässt. Dadurch werden auch auf dem Medienserver gelagerte Dateien zugänglich, zudem können die Accounts der Plex-Nutzer abgefragt werden. Weiterer Zugriff mit den korrekten Logindaten auf die Medieninhalte ist dann möglich. Wie das abläuft, ist auf einem Youtube-Video zu sehen.

Bei Plex handelt es sich um eine Abspaltung des bekannten Projekts XBMC. Die Anwendungen von Plex werden kommerziell vertrieben. Die Software ist recht beliebt, weil es sie für Windows, OS X, Linux sowie zahlreiche NAS-Systeme und auch für Android, iOS und Windows Phone 8 gibt. Auf allen Geräten bietet Plex eine ähnliche Benutzeroberfläche, welche die Nutzung und Verwaltung von Medien recht einfach macht.

Von dem Fehler betroffen sind aber nur die Serverversionen von Plex, nicht etwa die Apps für mobile Geräte. Der Bug steckt laut einem Advisory seines Entdeckers in allen bisherigen Versionen der Server, die eine Nummer kleiner als 0.9.9.3 tragen. Damit sind nicht nur die PCs und Macs betroffen, sondern auch die zahlreichen NAS-Geräte, auf denen der Plex-Server laufen kann. Die seit wenigen Tagen verfügbare Version 0.9.9.3 weist den Fehler nicht mehr auf.

Plex hat nach Entdeckung der Lücke laut der Beschreibung des Fehlers recht fix reagiert: Am 9. Februar 2014 kontaktierte Stefan Viehböck Plex, und bereits am 21. Februar gab es eine erste reparierte Version.


eye home zur Startseite
Anonymer Nutzer 28. Feb 2014

Klassischer 10 Finger Drive-by. Sieht fast immer eklig aus und ist nichts für schwache...



Anzeige

Stellenmarkt
  1. RATIONAL AG, Landsberg am Lech
  2. Robert Bosch GmbH, Abstatt
  3. Rohde & Schwarz Cybersecurity GmbH, Bochum
  4. Bertrandt Technikum GmbH, Ehningen bei Stuttgart


Anzeige
Blu-ray-Angebote
  1. (u. a. Hobbit Trilogie Blu-ray 43,89€ und Batman Dark Knight Trilogy Blu-ray 17,99€)
  2. 74,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       


  1. Augmented Reality

    Google stellt Project Tango ein

  2. Uber vs. Waymo

    Uber spionierte Konkurrenten aus

  3. Die Woche im Video

    Amerika, Amerika, BVG, Amerika, Security

  4. HTTPS

    Fritzbox bekommt Let's Encrypt-Support und verrät Hostnamen

  5. Antec P110 Silent

    Gedämmter Midi-Tower hat austauschbare Staubfilter

  6. Pilotprojekt am Südkreuz

    De Maizière plant breiten Einsatz von Gesichtserkennung

  7. Spielebranche

    WW 2 und Battlefront 2 gewinnen im November-Kaufrausch

  8. Bauern

    Deutlich über 80 Prozent wollen FTTH

  9. Linux

    Bolt bringt Thunderbolt-3-Security für Linux

  10. Streit mit Bundesnetzagentur

    Telekom droht mit Ende von kostenlosem Stream On



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
E-Ticket Deutschland bei der BVG: Bewegungspunkt am Straßenstrich
E-Ticket Deutschland bei der BVG
Bewegungspunkt am Straßenstrich
  1. Handy-Ticket in Berlin BVG will Check-in/Be-out-System in Bussen testen
  2. VBB Schwarzfahrer trotz Handy-Ticket

LG 32UD99-W im Test: Monitor mit beeindruckendem Bild - trotz unausgereiftem HDR
LG 32UD99-W im Test
Monitor mit beeindruckendem Bild - trotz unausgereiftem HDR
  1. Android-Updates Krack-Patches für Android, aber nicht für Pixel-Telefone
  2. Check Point LGs smarter Staubsauger lässt sich heimlich fernsteuern

Vorratsdatenspeicherung: Die Groko funktioniert schon wieder
Vorratsdatenspeicherung
Die Groko funktioniert schon wieder
  1. Dieselgipfel Regierung fördert Elektrobusse mit 80 Prozent
  2. Gutachten Quote für E-Autos und Stop der Diesel-Subventionen gefordert
  3. Sackgasse EU-Industriekommissarin sieht Diesel am Ende

  1. bitte löschen

    tearcatcher | 14:13

  2. Re: Custom-domainname

    slashwalker | 14:11

  3. Re: Bisher 700000 Menschen sagen "danke Staat".

    thorsten... | 14:09

  4. Re: Monopole im Internet

    teenriot* | 14:07

  5. Re: Telekom und ihre Preisgestaltung (in anderen...

    DerDy | 14:06


  1. 12:47

  2. 11:39

  3. 09:03

  4. 17:47

  5. 17:38

  6. 16:17

  7. 15:50

  8. 15:25


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel