Media Server

Die Schwachstelle betrifft die Medienserver-Software Media Server von Plex, mit der Nutzer eigene Film- und Musiksammlungen im Netzwerk bereitstellen. Der Fehler sitzt im Bereich der Transkodierung: Über einen Pfadparameter der zuständigen Schnittstelle lässt sich steuern, welche Adresse der Server selbst aufruft. Ein angemeldeter Benutzer kann diesen Parameter so manipulieren, dass der Server Anfragen an beliebige interne oder externe Adressen stellt. Man spricht hier von Server-Side Request Forgery: Nicht der Angreifer selbst greift zu, sondern der Server wird als Stellvertreter missbraucht. Dadurch lassen sich Systeme erreichen, die eigentlich nur aus dem internen Netz zugänglich sind und von außen durch Firewalls geschützt wären – etwa interne Dienste oder Verwaltungsoberflächen. Voraussetzung ist lediglich ein gültiges Benutzerkonto, besondere Rechte sind nicht nötig. In Kombination mit weiteren Schwachstellen der Software kann der Angriff zusätzlich an Wirkung gewinnen.