Update für Plex: Sicherheitslücken im Mediaplayer

Für die freie Media-Center-Software Plex steht ein wichtiges Update zur Verfügung. Wie ein Sicherheitsspezialist der Firma SEC Consult festgestellt hat, können alle Vorgänger-Versionen für PC, Mac und NAS per Server Side Request Forgery über das Internet angegriffen werden. Betroffen sind nicht die mobilen Clients für Android, iOS und Co, sondern die Server- und NAS-Software Plex Media Server. Wer einer der Varianten nutzt, sollte schleunigst aktualisieren. Die Sicherheitslücke macht einen Zugriff auf sämtliche Dateien im Plex-Dateisystem des Servers möglich, das eigentliche Sicherheitslogin kann umgangen werden. Die Schwachstelle kann über das Internet ausgenutzt werden, ob sie es jedoch aktiv wurde, ist nicht bekannt. Das Problem wurde vom SEC Consult-Mitarbeiter Stefan Viehböck entdeckt und an Plex gemeldet, die innerhalb von 14 Tagen das Sicherheitsproblem ausschalten konnten. Was dabei eigentlich bislang passierte, zeigt Viehböck in einem kurzen Video.

Ein Zugriff war demnach auch Möglich, wenn man vermeintlich durch eine Firewall geschützt war. Der Nutzer kann davon im ersten Moment nichts selbst mitbekommen. Heikel wird es, da ein Angreifer durch den Zugriff auf die Nutzerdaten und Passwörter Zugriff erlangen konnte.

Über die fehlerbereinigte Version 0.9.9.3 informiert Plex nun im eigenen Blog, geht dabei aber nur kurz auf das Sicherheitsproblem ein. Wer jetzt verunsichert ist, sollte nach der Aktualisierung der Software ein neues Passwort vergeben beziehungsweise die Login-Daten ändern, um auf Nummer sicher zu gehen. Jetzt gab es nochmals eine Aktualisierung auf Version 0.9.9.4, die einige Fehler beseitigt, die nach dem Update aufgetreten waren.

Alle Änderungen führt Plex gesondert auf. Neben den wichtigen Fehlerbereinigungen gibt es einige neue Funktionen und Verbesserungen. Beispielsweise gibt es für Plex-Pass-Nutzer eine neue Timer-Funktion (Scheduled Tasks).