Plex-Media Sicherheit gefährdet

[blurrrr]

Mahlzeit,

ich bin vorhin über diesen Artikel hier gestolpert: https://www.heise.de/news/Sicherhei...Instanzen-potenziell-angreifbar-11448584.html.

Ich selbst nutze sowas nicht, aber falls man also sowas laufen hat, wäre man vermutlich gut damit beraten, wenn man jetzt mal schleunigst Updates einspielt. Dazu kommt, dass der Hersteller auch noch keinerlei Details dazu veröffentlicht hat, aber wenn schon dringlich dazu geraten wird, dürfte es schon recht gravierend sein. Wird vermutlich nur für Systeme gelten, die auch von extern erreichbar sind, aber Vorsicht ist ja bekanntlich die Mutter der Porzellankiste

 

[Confluencer]

Danke fürs aufmerksam machen!

Bei mir war Dank Watchtower schon die bereinigte 1.43.3.10896 im Einsatz.
Schöne Karte zu den ermittelten verwundbaren Instanzen nach Land:

https://dashboard.shadowserver.org/...plex+&data_set=count&scale=log&auto_update=on

 

[Barungar]

Warum nur stellt man einen "Medienserver" offen ins Internet?!
Vielleicht stehe ich ja auf dem Schlau, aber es erschließt sich mir nicht

 

[*alx*]

Weil ich unterwegs z.B. auf meine Musik zugreifen will? Und ich kann nicht immer mit VPN verbunden sein, weil ich oft einen anderen Tunnel brauche. Oder weil man z.B. jemanden Zugriff gewähren will, ihn aber nicht ins Netzwerk lassen will. Gibt viele Gründe

 

[Barungar]

Hm, denkbar.

Wenn ich Leuten Zugriff geben will, mache ich das per VPN. Und nur weil ich jemandem einen VPN-Zugang zu meinem Netzwerk gebe, heißt das zumindest bei mir nicht, dass er dann Vollzugriff erhält. Da ist ja immer noch eine Firewall zwischen dem VPN und meinem Heimnetz, auch der passende ACLs sind.

Und mehrere Tunnel, habe ich auch noch nicht unterwegs gebraucht. Ich habe einen VPN-Tunnel zu meinem Heimnetz, und von dort tunnele ich ggf. weiter zu anderen Netzen.

 

[*alx*]

Die meisten nutzen aber wahrscheinlich einen Tunnel auf der Fritzbox. Da ist dies nicht möglich.
Ich würde mal sagen, dass dein Setup viele gar nicht hinbekommen würden, weil da die Kenntnisse fehlen. Wenn ich mal im Büro bin, dann müsste ich eine VPN Verbindung nach Hause herstellen, damit ich Musik hören kann. Aber ich muss auch einen Tunnel zum Kunden offen haben. Ich will aber dienstliche Tunnel bei mir privat nicht einrichten.

 

[blurrrr]

Wenn ich mal im Büro bin, dann müsste ich eine VPN Verbindung nach Hause herstellen, damit ich Musik hören kann.

Dat dat dat darf... Bei einem Solo-Selbstständigkeit (oder einem recht kleinen Unternehmen) hätte ich ja vielleicht noch Site2Site-VPN (nach Hause) gesagt. Als Angestellter - aus administrativer Sicht - wär es eher ein "geht mal garnicht" Als Notnagel bliebe auch noch immer die Option, dass man den Dienst nur für die öffentliche/n IP/s der Firma öffentlich bereitstellt. Wenn man dazu auch kein Bock hat, 1€-VPS + Tunnellösung (Zuhause/VPS), so dass Du auf der Firma darüber Zugriff hast. Da ich Plex allerdings nicht nutze, weiss ich auch nicht was für Protokolle im Einsatz sind, bin mir aber relativ sicher, dass man da schon diverses basteln könnte.

Vielleicht stehe ich ja auf dem Schlau, aber es erschließt sich mir nicht

Typischerweise wird es vermutlich so ablaufen: "Ich hab davon gehört/gelesen, habe keine Ahnung - find die Idee super, bin mega-happy, weil ich es mit ein paar YT-Videos geschafft habe und nu kann ich meinen ganzen Freunden und Bekannten allen Zugriff geben. Die müssen dann nur noch die App installieren, Zugangsdaten rein und fertig!" ...oder irgendwie so, ich persönlich hab hab ja keine Ahnung von Plex

Wesentlich schlimmer finde ich, dass es meist nach dem fire&forget-Prinzip läuft. Installiert, eingerichtet, nie wieder angefasst (oder "irgendwann mal" - daher auch der Thread hier)

 

[*alx*]

Bei einem Solo-Selbstständigkeit (oder einem recht kleinen Unternehmen) hätte ich ja vielleicht noch Site2Site-VPN (nach Hause) gesagt. Als Angestellter - aus administrativer Sicht - wär es eher ein "geht mal garnicht"

Ich hab einen Tunnel vom Rechner nach Hause und das ist auch für alle völlig ok. Unsere Rechner werden allerdings auch nicht von der IT administriert. Es kümmert sich jeder selber um seinen Rechner. Aber weil ich eben nicht immer mit zu Hause verbunden sein will im Büro, habe ich Plex aus dem Internet erreichbar gemacht. Ich habe das so wie du es geschrieben hast. Ein kleiner vServer der mit zu Hause verbunden ist über WG. Auf diesem läuft Caddy als Reverse Proxy und dieser leitet die Anfrage an den internen Caddy weiter. So habe ich keine offenen Ports. Der vServer darf im Heimnetz nur den internen Reverse Proxy über Port 443 erreichen. Alles andere ist gesperrt. Und wie du schon schreibst, mit einmal einrichten und vergessen ist es halt nicht getan. Ich lasse mich täglich über Updates informieren und spiele die so schnell es geht ein. Bin inzwischen aber von automatischen Updates weg.