Mehrere kritische Sicherheitslücken in IPTV-Software, die von gängigen Online-Medien-Streaming-Plattformen verwendet wird

Die beliebte Middleware-Plattform für Media-Streaming-Dienste weist laut Sicherheitsforschern mehrere kritische Sicherheitslücken auf. Wenn diese Fehler nacheinander ausgenutzt werden, können Angreifer möglicherweise Sicherheitsüberprüfungen vollständig umgehen und vertrauliche Abonnenteninformationen, einschließlich finanzieller Details, extrahieren. Wenn dies nicht ausreicht, können Angreifer den ausgestrahlten Inhalt problemlos durch einen Stream ihrer Wahl auf den Fernsehbildschirmen aller gefährdeten Kundennetzwerke ersetzen.

Ministra TV, eine weit verbreitete Middleware-Plattform, ist offenbar aufgrund mehrerer Sicherheitslücken gefährdet. Die Software ist im Wesentlichen eine Zwischenplattform für Medien-Streaming-Dienste. Mehrere beliebte Streaming-Dienste verlassen sich auf die Plattform zur Verwaltung ihrer IPTV- (Internet Protocol Television), VOD- (Video-On-Demand) und OTT-Inhalte (Over-The-Top) sowie Lizenzen. Die Plattform ermöglicht bei Bedarf auch das Speichern und Verwalten der Abonnentendatenbank sowie der Transaktionsdetails.

Die Sicherheitslücken in der Ministra TV-Plattform wurden erstmals von Sicherheitsforschern bei CheckPoint entdeckt. Anscheinend sind die Mängel im zentralen Verwaltungsbereich der Plattform vorhanden. Angreifer können möglicherweise auf das System zugreifen, indem sie die Authentifizierung vollständig umgehen. Einmal drinnen, könnten Angreifer die Datenbank der Abonnenten einschließlich ihrer finanziellen Details durchsuchen. Angreifer könnten den Inhalt auch durch einen beliebigen Inhaltsstrom ersetzen. Darüber hinaus könnten sie den entführten Stream auf die Fernsehbildschirme aller betroffenen Kundennetzwerke übertragen.

Offensichtlich liegt die Sicherheitslücke in einer Authentifizierungsfunktion der Ministra-Plattform vor, die die Anforderung nicht validieren kann. Mit einfachen Worten, ein entfernter Angreifer kann die Authentifizierung umgehen. Mithilfe einer anderen Sicherheitslücke können die Angreifer eine SQL-Injection durchführen. Diese beiden Angriffe sind sequentiell. Einmal drinnen, können Angreifer mit einer Sicherheitsanfälligkeit bezüglich PHP Object Injection fortfahren. Dies würde eine vollständige virtuelle Steuerung der Plattform ermöglichen. Angreifer können beliebigen Code auf dem Zielserver remote ausführen.

Früher als Stalker Portal bekannt, ist die Ministra TV-Plattform im Wesentlichen eine PHP-basierte Software. Es wurde von der ukrainischen Firma Infomir entwickelt. Die Middleware-Plattform wird derzeit von mehr als tausend Online-Medien-Streaming-Diensten genutzt, darunter in den USA, Russland, Frankreich, Kanada und anderen Ländern.

Nach der Entdeckung der Sicherheitslücken haben Sicherheitsforscher das Unternehmen, das die Middleware-Plattform verwaltet, informiert. Infomir hat das Problem ernsthaft behoben und eine neue und aktualisierte Version der Ministra TV-Plattform veröffentlicht. Die neueste Version von Ministra TV ist 5.4.1. Anscheinend können Endabonnenten kein Update initiieren. Das Unternehmen hinter Ministra TV fordert die Streaming-Unternehmen, die diese Middleware-Plattform verwenden, nachdrücklich auf, ihr System auf die neueste Version zu aktualisieren.