r-tec entdeckt kritische Schwachstelle in Videosharing-Lösung YouPHPTube
Das Team der r-tec IT Security GmbH hat eine kritische Sicherheitslücke in der Open-Source-Lösung YouPHPTube (YPT) entdeckt: Die Schwachstelle ermöglichte es Angreifern, administrativen Zugriff auf die Weboberfläche der Anwendung zu erhalten. Die Schwachstellen wurde in die National Vulnerability Database unter CVE-2019-14430 aufgenommen.
YouPHPTube (YPT) ist eine Alternative zu großen Videosharing-Anbietern, mit der Nutzer eigene Video-Sharing-Seiten erstellen und Live-Videos streamen können. Ziel ist es, Videos mit sensiblen Inhalten über interne Netzwerkinfrastrukturen einer Institution oder eines Unternehmens zu verbreiten.
Gefunden wurde die Sicherheitslücke im Rahmen eines Penetrationstests durch r-tec. Auf einem der untersuchten Webserver eines Kunden wurde die Anwendung YouPHPTube genutzt. Im Rahmen der Sicherheitsanalyse wurden unter anderem die Funktion zur Registrierung von Nutzern auf Schwachstellen überprüft und hierbei eine SQL-Injection Schwachstelle aufgefunden, über die die gesamte Webserver-Datenbank ausgelesen werden konnte. Unter anderem konnten dabei die Passwort-Hashes der administrativen Benutzer und aufgrund zu geringer Passwort-Komplexität die Klartext-Zugangsdaten ausgelesen werden. Im Ernstfall würden diese Schwachstellen Angreifern ermöglichen, administrativen Zugriff auf die Weboberfläche zu erhalten.
Die Entwickler von YouPHPTube wurden bereits von r-tec informiert und die Schwachstelle wurde mit einem Update der Software behoben, sodass diese nicht weiter ausnutzbar ist.
Aktuelle Exploits zielen auf nicht geupdatete Systeme ab. Wir empfehlen daher Anwendern, die Videosharing-Lösung zu aktualisieren. Aufgrund der Kritikalität wurde die Schwachstelle unter CVE-2019-14430 in die renommierte Schwachstellendatenbank des National Insititute of Standard and Technology aufgenommen.