Flere kritiske sårbarheter i IPTV-programvare brukt av populære online mediestreamingsplattformer

Populær mellomvareplattform for mediestreamingtjenester har flere kritiske sikkerhetsproblemer, oppdaget sikkerhetsforskere. Hvis de utnyttes sekvensielt, kan disse feilene potensielt tillate angripere å helt omgå sikkerhetskontroll og trekke ut sensitiv abonnentinformasjon, inkludert økonomiske detaljer. Hvis det ikke gjelder nok, kan angripere enkelt erstatte innholdet som sendes med en hvilken som helst strøm de ønsker på TV-skjermene i alle kompromitterte kundenettverk.

Ministra TV, en mye brukt mellomvareplattform, er tilsynelatende i fare på grunn av flere sikkerhetsfeil. Programvaren er egentlig en mellomledd plattform for mediestreamingtjenester. Flere populære streamingtjenester er avhengige av plattformen for å administrere internettprotokoll-TV (IPTV), Video-On-Demand (VOD) og Over-The-Top (OTT) -innhold og lisenser. Plattformen tillater også lagring og administrering av abonnentdatabase samt transaksjonsdetaljer, om nødvendig.

Sårbarhetene i Ministra TV-plattform ble først oppdaget av sikkerhetsforskere ved CheckPoint. Tilsynelatende er feilene til stede i kjernens administrative panel på plattformen. Angripere kan potensielt benytte seg av systemet ved helt å omgå godkjenning. Når de var inne, kunne angripere skrape abonnentens database, inkludert deres økonomiske detaljer. Angripere kan også erstatte innholdet med hvilken som helst strøm av innhold. Videre kunne de kringkaste den kaprede strømmen på TV-skjermene til alle berørte kundenettverk.

Åpenbart eksisterer sikkerhetsproblemet i en autentiseringsfunksjon på Ministra-plattformen som ikke klarer å validere forespørselen. Med enkle ord kan en ekstern angriper omgå autentisering. Ved å bruke en annen sikkerhetsfeil kan angriperne utføre SQL-injeksjon. Disse to angrepene er sekvensielle. Når de er inne, kan angripere fortsette med et sårbarhet for PHP Object Injection. Dette vil tillate fullstendig virtuell kontroll av plattformen. Angripere kan velge å utføre vilkårlig kode eksternt på den målrettede serveren.

Tidligere kjent som Stalker Portal, er Ministra TV-plattformen egentlig en PHP-basert programvare. Den ble utviklet av det ukrainske selskapet Infomir. Mellomvareplattformen brukes for tiden av mer enn tusen online streamingtjenester, inkludert de i USA, Russland, Frankrike, Canada og andre land.

Etter å ha oppdaget sikkerhetshullene, har sikkerhetsforskere orientert selskapet som administrerer mellomvareplattformen. Tar alvorlig oppmerksomhet om det samme, har Infomir lappet problemene og gitt ut en ny og oppdatert versjon av Ministra TV-plattform. Den siste versjonen av Ministra TV er 5.4.1. Tilsynelatende kan sluttabonnenter ikke starte en oppdatering. Selskapet bak Ministra TV oppfordrer sterkt strømmeselskapene som bruker denne mellomvareplattformen til å oppdatere systemet til den nyeste versjonen.