Grote datadiefstal bij LastPass mede via drie jaar oude Plex-kwetsbaarheid
De aanval op wachtwoordmanager LastPass waarbij kluisdata en gegevens van klanten werden gestolen kon mede plaatsvinden doordat een DevOps-engineer op zijn thuiscomputer een oude versie van Plex draaide waarin een drie jaar oude kwetsbaarheid zat. Een aanvaller maakte daar misbruik van om het systeem met malware te infecteren. Dat laat Plex tegenover PCMag weten.
Plex biedt software voor het opzetten van een mediaserver om daarmee media te streamen. Het bedrijf claimt meer dan 25 miljoen gebruikers wereldwijd. Vorige week meldde LastPass dat een zeer gevoelig incident waarbij klant- en kluisdata werden gestolen mede plaatsvond via de thuiscomputer van een DevOps-engineer. Deze computer raakte via een kwetsbaarheid in een "third-party media software package", waardoor remote code execution mogelijk was, besmet met malware.
Een aanvaller kon via het beveiligingslek een keylogger op de thuiscomputer van de engineer installeren en zijn master password stelen. Zo kreeg de aanvaller toegang tot de zakelijke LastPass-kluis van de DevOps-engineer. Vervolgens kon de aanvaller de inhoud van de LastPass-kluis stelen, waaronder notities met access en decryptiesleutels om toegang tot de AWS S3 LastPass productieback-ups en andere kritieke databaseback-ups van LastPass te krijgen.
De "media software" in kwestie bleek Plex te zijn. In een reactie stelde Plex dat het niet bekend was met aanvallen waarbij er een onbekende kwetsbaarheid zou zijn gebruikt. Tegenover PCMag laat Plex nu weten dat de aanvaller gebruikmaakte van een beveiligingslek uit 2020, aangeduid als CVE-2020-5741. Het gaat om een kwetsbaarheid in Plex Media Server waardoor een aanvaller met toegang tot het beheerdersaccount van de Plex-server via de camera-uploadfeature een kwaadaardig bestand op de server kan uitvoeren. Het beveiligingslek werd begin mei 2020 door Plex via een beveiligingsupdate verholpen.
Volgens Plex heeft de betreffende DevOps-engineer van LastPass de update nooit geïnstalleerd en drie jaar lang een kwetsbare versie van de software gedraaid. Hoe de aanvaller het Plex-beheerderswachtwoord van de LastPass-medewerker in handen heeft gekregen is niet bekend. Op 24 augustus vorig jaar waarschuwde Plex voor een datalek. Een aanvaller had toegang tot één van de databases van het bedrijf gekregen. Deze database bevatte e-mailadressen, gebruikersnamen en "versleutelde wachtwoorden". De wachtwoorden zijn volgens Plex gehasht, maar uit voorzorg werd besloten om voor alle Plex-accounts een wachtwoordreset te verplichten.
blij mee ook bedankt security.nl voor de tip
Een ongeupdate Plex server naar het web die mogelijk vanaf de PC in kwestie naar het web openstond is ronduit dom, misschien niet voor een huis tuin en keuken gebruiker maar wel voor een senior dev.
Een ongeupdate Plex server naar het web die mogelijk vanaf de PC in kwestie naar het web openstond is ronduit dom, misschien niet voor een huis tuin en keuken gebruiker maar wel voor een senior dev.
Wil je remote kunnen afspelen en dus onderweg (op vakantie bijv. of familieleden) bij je media kunnen moet de server een internet connectie hebben en dus 'open' staan vanaf het internet. Standaard is dat poort 32400.
Een ongeupdate Plex server naar het web die mogelijk vanaf de PC in kwestie naar het web openstond is ronduit dom, misschien niet voor een huis tuin en keuken gebruiker maar wel voor een senior dev.
Op basis van mijn ervaringen zijn Developers en netwerk engineers 2 totaal verschillende types.
Developers weten alles van programmeren, database connecties maar niks van Netwerkprotocollen en porten.
Dit was volgens mij een developer.
Een ongeupdate Plex server naar het web die mogelijk vanaf de PC in kwestie naar het web openstond is ronduit dom, misschien niet voor een huis tuin en keuken gebruiker maar wel voor een senior dev.
Op basis van mijn ervaringen zijn Developers en netwerk engineers 2 totaal verschillende types.
Developers weten alles van programmeren, database connecties maar niks van Netwerkprotocollen en porten.
Dit was volgens mij een developer.
Voor dit soort taken heb je een DevSecOps nodig. Iemand die weet dat security altijd voor gaat.
Lol :-)
Als je een mediaserver wilt draaien (en aan internet koppelen) regel je voor die hobby- en thuisdingen maar een pc voor thuis.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
