Media Server

Betroffen ist der Plex Media Server, also die Serversoftware, mit der Nutzer ihre Medienbibliothek verwalten und im Netz bereitstellen. In der Schnittstelle für die Wiedergabe-Zeitleiste prüft die Software eine übergebene Angabe nicht ausreichend: Im Parameter für das Protokoll lässt sich statt einer einfachen Angabe eine vollständige Adresse übergeben. Dadurch entsteht eine Server-Side Request Forgery (SSRF) – der Server stellt im Auftrag des Angreifers selbst eine Anfrage und sendet diese per POST an ein vom Angreifer frei gewähltes Ziel. Besonders problematisch ist die niedrige Hürde: Es genügt ein beliebiger Wert als Plex-Token, eine gültige Anmeldung ist also nicht erforderlich. So kann der Angreifer den Server als Sprungbrett missbrauchen, um interne, von außen nicht erreichbare Systeme anzusprechen oder Anfragen unter der Identität des Servers abzusetzen.