Media Server

Die Schwachstelle betrifft die Medienserver-Software Media Server von Plex, mit der Nutzer eigene Film-, Musik- und Fotosammlungen über das Netzwerk bereitstellen. Fehlerhaft behandelt wird dabei der Parameter „searchOne": Darin übergebene URL-Werte werden nicht korrekt bereinigt beziehungsweise entschärft, sodass kodierte URI-Schemata unbeabsichtigt ausgewertet werden. Ein Angreifer kann dadurch über manipulierte Eingaben Funktionen anderer Plugins des Servers aufrufen und diesen selbst gewählte Parameter mitgeben. Damit lassen sich Programmpfade anstoßen, die für den Aufrufer eigentlich nicht vorgesehen sind. Besonders problematisch ist, dass sich der Fehler mit weiteren Schwachstellen desselben Produkts verketten lässt – in Kombination kann eine solche Angriffskette deutlich weiter reichen als der einzelne Defekt. Betroffen sind Installationen vor der vom Hersteller korrigierten Fassung, insbesondere dort, wo der Server aus dem Netz erreichbar ist.