Zehntausende über das Internet erreichbare Plex Media Server waren noch Tage, nachdem Plex Nutzer zur Aktualisierung gefährdeter Installationen aufgefordert hatte, ungepatcht.
Am 9. Sept. hatte die Shadowserver Foundation mehr als 36.000 über das Internet erreichbare Instanzen von Plex Media Server identifiziert, auf denen noch Versionen mit kürzlich bekannt gewordenen Sicherheitsproblemen liefen. Die Organisation begann mit der Suche nach gefährdeten Plex-Servern, nachdem Plex am 1. Sept. seine Sicherheitswarnung veröffentlicht hatte.
Die Zahl von 36.000 ist eine Momentaufnahme von Anfang September, keine aktuelle Zählung. Außerdem gibt es in der zitierten Berichterstattung keine Belege dafür, dass all diese Server kompromittiert wurden oder die Schwachstellen aktiv ausgenutzt werden. Administratoren, auf deren Systemen Plex Media Server 1.43.2 oder älter läuft, sollten dennoch auf Version 1.43.3 oder neuer aktualisieren, vorzugsweise auf die neueste für ihre Plattform verfügbare Version.
Mehr als 36.000 Plex-Server blieben gefährdet
Plex warnte seine Kunden am 1. Sept.vor mehreren Sicherheitsproblemen, die Plex Media Server 1.43.2 und ältere Versionen betrafen. Das Unternehmen forderte Administratoren auf, auf Version 1.43.3 oder neuer zu aktualisieren.
Shadowserver begann am 4. Sept. mit der Suche nach potenziell gefährdeten Plex-Systemen. Als die Ergebnisse am 9. Sept. gemeldet wurden, hatte die gemeinnützige Organisation mehr als 36.000 über das Internet erreichbare Instanzen identifiziert, auf denen noch betroffene Versionen liefen.
Die Situation verdeutlicht ein wiederkehrendes Problem für Sicherheitsteams: Die Veröffentlichung eines Fixes beseitigt eine Schwachstelle nicht, wenn Administratoren ihn nicht installieren.
Diese Lücke beim Patchen ist auch andernorts aufgetreten. Tausende Zimbra-Installationen blieben angreifbar, nachdem Angreifer begonnen hatten, eine kritische Schwachstelle ins Visier zu nehmen, wobei eSecurityPlanet erläuterte, wie mehr als 8.200 Zimbra-Server weiterhin ungepatcht waren, während die Zahl der Kompromittierungen stieg.
Der Fall Plex ist anders gelagert. Derzeit gibt es in der zitierten Berichterstattung keine vergleichbaren Belege dafür, dass die neu gepatchten Plex-Schwachstellen aktiv ausgenutzt werden. Doch mehr als eine Woche nach der Warnung von Plex liefen auf Zehntausenden internetfähigen Installationen noch betroffene Softwareversionen.
Plex hat nur wenige Informationen zu den Sicherheitslücken veröffentlicht
Plex hat vergleichsweise wenige technische Details zu den Schwachstellen offengelegt.
In der Sicherheitsmitteilung vom 1. Sept. beschrieb das Unternehmen mehrere Sicherheitsprobleme und erklärte, dass CVE-Kennungen beantragt worden seien. Detaillierte technische Beschreibungen der Schwachstellen enthielt sie jedoch nicht. Dadurch haben Verteidiger weniger Informationen als bei einer herkömmlichen Offenlegung von Schwachstellen, bei der CVEs die Nachverfolgung betroffener Versionen, des Schweregrads, der Ausnutzung und der Behebung erleichtern können.
Plex hat Plex Media Server seit der Sicherheitswarnung weiter aktualisiert. Version 1.43.4.10903 wurde allgemein verfügbaram 10. Sept.; Plex wies darauf hin, dass die Verfügbarkeit über einige App-Stores, darunter QNAP, zusätzliche Zeit in Anspruch nehmen könne.
Administratoren sollten daher die neueste für ihre Plattform verfügbare Version von Plex Media Server installieren, statt Version 1.43.3 als endgültiges Ziel zu betrachten.
Das Fehlen detaillierter Informationen zu den Schwachstellen macht eine Aktualisierung nicht überflüssig. Anwendungen mit Internetzugriff können Aufmerksamkeit auf sich ziehen, sobald Sicherheitsprobleme öffentlich werden – selbst wenn technische Details nur begrenzt verfügbar sind.
Aktuelle Vorfälle mit anderer Software zeigen, wie schnell die Lage eskalieren kann. Angreifer, die ein verwundbares WooCommerce-Plugin ins Visier nahmen, erzeugten laut der Berichterstattung von eSecurityPlanet über die WooCommerce-Angriffe mehr als 100.000 blockierte Ausnutzungsversuche.
Warum exponierte Server besondere Aufmerksamkeit verdienen
Die Zahlen zu Plex verdeutlichen den Unterschied zwischen einer gepatchten Schwachstelle und einer Schwachstelle, die tatsächlich aus dem Internet verschwunden ist.
Ein Anbieter kann ein Update veröffentlichen, doch betroffene Installationen bleiben exponiert, bis Administratoren es einspielen. Server mit Internetzugriff verdienen besondere Aufmerksamkeit, weil Angreifer automatisierte Scans einsetzen können, um über große IP-Adressbereiche hinweg erreichbare Dienste zu identifizieren.
Sicherheitsteams haben dieselbe Dynamik bei Unternehmenssoftware beobachtet. Mehr als 1.300 Microsoft-SharePoint-Server blieben einer aktiv ausgenutzten Schwachstelle ausgesetzt, obwohl bereits Fixes verfügbar waren, wieeSecurityPlanet zuvor untersucht hat.
Für Plex-Nutzer sprechen die verfügbaren Belege jedoch für eine gewisse Zurückhaltung. Die Zählung von Shadowserver erfasste über das Internet erreichbare Server, auf denen betroffene Softwareversionen liefen. Das bedeutet nicht, dass 36.000 Plex-Server erfolgreich angegriffen wurden. Ebenso belegt die zitierte Berichterstattung keine aktive Ausnutzung der Schwachstellen.
Die Zahl zeigt jedoch, dass nach der Warnung von Plex eine beträchtliche Lücke beim Patchen bestehen blieb.
Was Plex-Administratoren jetzt tun sollten
Wer Plex Media Server betreibt, sollte die aktuell installierte Version überprüfen, statt davon auszugehen, dass ein automatisches Update die Sicherheitsprobleme bereits behoben hat.
Administratoren sollten:
- Plex Media Server aktualisieren: Die neueste für die Serverplattform verfügbare Version installieren. Plex fordert in seiner Sicherheitsmitteilung Version 1.43.3 oder neuer.
- Installierte Version überprüfen: Bestätigen, dass der Server das Update abgeschlossen hat, statt sich ausschließlich auf eine Update-Benachrichtigung zu verlassen.
- Verfügbarkeit für die Plattform prüfen: Einige App-Stores von Drittanbietern erhalten Plex-Versionen möglicherweise später als die direkten Vertriebskanäle von Plex.
- Internetexponierung prüfen: Feststellen, ob der Plex-Server direkt aus dem öffentlichen Internet erreichbar sein muss, und die unnötige Exponierung nach Möglichkeit reduzieren.
- Auf weitere Offenlegungen achten: Nach CVE-Zuweisungen, technischen Details oder zusätzlichen Hinweisen zur Risikominderung von Plex und Sicherheitsbehörden Ausschau halten.
- Serveraktivitäten überprüfen: Administratoren, die für sensible Umgebungen verantwortlich sind, sollten verfügbare Protokolle und Telemetriedaten auf unerwartete Aktivitäten prüfen – insbesondere, wenn ein Server mit einer betroffenen Version weiterhin aus dem Internet erreichbar war.
Die Zahl von 36.000 Servern sollte nicht als Zahl der heute online befindlichen gefährdeten Plex-Systeme interpretiert werden. Die Momentaufnahme von Anfang September zeigt jedoch, wie schnell eine Lücke beim Patchen dazu führen kann, dass Tausende internetfähige Systeme betroffene Software ausführen.
Für Plex-Administratoren ist die derzeit wichtigste Zahl nicht 36.000, sondern die Versionsnummer, die auf dem eigenen Server läuft.
Weiterführende Lektüre: Mehr zum Patchen internetfähiger Systeme erfahren Sie in unserem Beitrag über die SonicWall-SMA1000-Schwachstellen, die aktiv ausgenutzt werden.