Grote datadiefstal bij LastPass mede via drie jaar oude Plex-kwetsbaarheid
De aanval op wachtwoordmanager LastPass waarbij kluisdata en gegevens van klanten werden gestolen kon mede plaatsvinden doordat een DevOps-engineer op zijn thuiscomputer een oude versie van Plex draaide waarin een drie jaar oude kwetsbaarheid zat. Een aanvaller maakte daar misbruik van om het systeem met malware te infecteren. Dat laat Plex tegenover PCMag weten.
Plex biedt software voor het opzetten van een mediaserver om daarmee media te streamen. Het bedrijf claimt meer dan 25 miljoen gebruikers wereldwijd. Vorige week meldde LastPass dat een zeer gevoelig incident waarbij klant- en kluisdata werden gestolen mede plaatsvond via de thuiscomputer van een DevOps-engineer. Deze computer raakte via een kwetsbaarheid in een "third-party media software package", waardoor remote code execution mogelijk was, besmet met malware.
Een aanvaller kon via het beveiligingslek een keylogger op de thuiscomputer van de engineer installeren en zijn master password stelen. Zo kreeg de aanvaller toegang tot de zakelijke LastPass-kluis van de DevOps-engineer. Vervolgens kon de aanvaller de inhoud van de LastPass-kluis stelen, waaronder notities met access en decryptiesleutels om toegang tot de AWS S3 LastPass productieback-ups en andere kritieke databaseback-ups van LastPass te krijgen.
De "media software" in kwestie bleek Plex te zijn. In een reactie stelde Plex dat het niet bekend was met aanvallen waarbij er een onbekende kwetsbaarheid zou zijn gebruikt. Tegenover PCMag laat Plex nu weten dat de aanvaller gebruikmaakte van een beveiligingslek uit 2020, aangeduid als CVE-2020-5741. Het gaat om een kwetsbaarheid in Plex Media Server waardoor een aanvaller met toegang tot het beheerdersaccount van de Plex-server via de camera-uploadfeature een kwaadaardig bestand op de server kan uitvoeren. Het beveiligingslek werd begin mei 2020 door Plex via een beveiligingsupdate verholpen.
Volgens Plex heeft de betreffende DevOps-engineer van LastPass de update nooit geïnstalleerd en drie jaar lang een kwetsbare versie van de software gedraaid. Hoe de aanvaller het Plex-beheerderswachtwoord van de LastPass-medewerker in handen heeft gekregen is niet bekend. Op 24 augustus vorig jaar waarschuwde Plex voor een datalek. Een aanvaller had toegang tot één van de databases van het bedrijf gekregen. Deze database bevatte e-mailadressen, gebruikersnamen en "versleutelde wachtwoorden". De wachtwoorden zijn volgens Plex gehasht, maar uit voorzorg werd besloten om voor alle Plex-accounts een wachtwoordreset te verplichten.
blij mee ook bedankt security.nl voor de tip
Een ongeupdate Plex server naar het web die mogelijk vanaf de PC in kwestie naar het web openstond is ronduit dom, misschien niet voor een huis tuin en keuken gebruiker maar wel voor een senior dev.
Een ongeupdate Plex server naar het web die mogelijk vanaf de PC in kwestie naar het web openstond is ronduit dom, misschien niet voor een huis tuin en keuken gebruiker maar wel voor een senior dev.
Wil je remote kunnen afspelen en dus onderweg (op vakantie bijv. of familieleden) bij je media kunnen moet de server een internet connectie hebben en dus 'open' staan vanaf het internet. Standaard is dat poort 32400.
Een ongeupdate Plex server naar het web die mogelijk vanaf de PC in kwestie naar het web openstond is ronduit dom, misschien niet voor een huis tuin en keuken gebruiker maar wel voor een senior dev.
Op basis van mijn ervaringen zijn Developers en netwerk engineers 2 totaal verschillende types.
Developers weten alles van programmeren, database connecties maar niks van Netwerkprotocollen en porten.
Dit was volgens mij een developer.
Een ongeupdate Plex server naar het web die mogelijk vanaf de PC in kwestie naar het web openstond is ronduit dom, misschien niet voor een huis tuin en keuken gebruiker maar wel voor een senior dev.
Op basis van mijn ervaringen zijn Developers en netwerk engineers 2 totaal verschillende types.
Developers weten alles van programmeren, database connecties maar niks van Netwerkprotocollen en porten.
Dit was volgens mij een developer.
Voor dit soort taken heb je een DevSecOps nodig. Iemand die weet dat security altijd voor gaat.
Lol :-)
Als je een mediaserver wilt draaien (en aan internet koppelen) regel je voor die hobby- en thuisdingen maar een pc voor thuis.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.