Vulnerabilidades críticas múltiples en el software de IPTV utilizado por las populares plataformas de transmisión de medios en línea
La popular plataforma de middleware para servicios de transmisión de medios tiene varias vulnerabilidades críticas de seguridad, según descubrieron investigadores de seguridad. Si se explotan de forma secuencial, estas fallas podrían permitir a los atacantes eludir por completo las comprobaciones de seguridad y extraer información confidencial del suscriptor, incluidos los detalles financieros. Si eso no es lo suficientemente preocupante, los atacantes podrían reemplazar fácilmente el contenido que se está transmitiendo por cualquier flujo de su elección en las pantallas de TV de todas las redes de clientes comprometidas.
Ministra TV, una plataforma de middleware ampliamente utilizada, parece estar en riesgo debido a múltiples errores de seguridad . El software es esencialmente una plataforma intermedia para servicios de transmisión de medios. Varios servicios populares de transmisión por secuencias dependen de la plataforma para administrar su contenido de televisión con Protocolo de Internet (IPTV), Video a la carta (VOD) y Over-The-Top (OTT) y licencias. La plataforma también permite almacenar y administrar la base de datos de suscriptores, así como los detalles de la transacción, si es necesario.
Las vulnerabilidades en la plataforma de Ministra TV fueron descubiertas por investigadores de seguridad en CheckPoint. Al parecer, las fallas están presentes en el panel administrativo central de la plataforma. Los atacantes pueden potencialmente acceder al sistema al omitir completamente la autenticación. Una vez dentro, los atacantes podrían raspar la base de datos de los suscriptores, incluidos sus detalles financieros. Los atacantes también podrían reemplazar el contenido con cualquier flujo de contenido. Además, podrían transmitir el flujo secuestrado en las pantallas de televisión de todas las redes de clientes afectadas.
Evidentemente, la vulnerabilidad de seguridad existe en una función de autenticación de la plataforma Ministra que no puede validar la solicitud. En palabras simples, un atacante remoto puede omitir la autenticación. Usando otra falla de seguridad, los atacantes pueden realizar la inyección de SQL. Estos dos ataques son secuenciales. Una vez dentro, los atacantes pueden proceder con una vulnerabilidad de PHP Object Injection. Esto permitiría un control virtual completo de la plataforma. Los atacantes pueden elegir ejecutar de forma remota un código arbitrario en el servidor de destino.
Anteriormente conocido como Stalker Portal, la plataforma Ministra TV es esencialmente un software basado en PHP. Fue desarrollado por la empresa ucraniana Infomir. La plataforma de middleware actualmente es utilizada por más de mil servicios de transmisión de medios en línea, incluidos los de EE. UU., Rusia, Francia, Canadá y otros países.
Después de descubrir las lagunas de seguridad, los investigadores de seguridad informaron a la compañía que administra la plataforma de middleware. Tomando nota seriamente de lo mismo, Infomir ha reparado los problemas y ha lanzado una versión nueva y actualizada de la plataforma Ministra TV. La última versión de Ministra TV es 5.4.1. Al parecer, los suscriptores finales no pueden iniciar una actualización. La compañía que está detrás de Ministra TV está urgiendo a las compañías de transmisión que utilizan esta plataforma de middleware para actualizar su sistema a la última versión.
Fecha actualización el 2021-06-07. Fecha publicación el 2019-06-07. Categoría: vulnerabilidad Autor: Oscar olg Mapa del sitio Fuente: appuals Version movil