Streaming-Server Icecast: Angreifer könnten Online-Radiosender ausknipsen
In der aktuellen Version von Icecast haben die Entwickler eine Sicherheitslücke geschlossen.
Der Streaming-Media-Server Icecast ist in verschiedenen Ausgaben verwundbar. Einige Online-Radio-Sender setzen auf die Open-Source-Software. Sie findet aber auch im privaten Umfeld Einsatz. Nutzen Angreifer die Sicherheitslücke mit der Kennung CVE-2018-18820 aus, könnten Sie unter gewissen Voraussetzungen Schadcode aus der Ferne ausführen.
Theoretisch könnten Angreifer so beispielsweise Sender offline nehmen, warnt ein Sicherheitsforscher in einem Beitrag. Der von der Schwachstelle ausgehende Bedrohungsgrad ist derzeit nicht bekannt. In der Regel gelten Remote-Code-Execution-Lücken als "kritisch". Der Fehler steckt in der snprintf-Funktion. Mit präparierten HTTP-Headern sollen Angreifer einen Speicherfehler auslösen und so eigenen Code ausführen können.
Abgesicherte Version
Icecast soll aber nur in den Version 2.4.0 bis inklusive 2.4.3 angreifbar sein, wenn URL-Authentifikation aktiv ist. Dem Changelog zufolge haben die Entwickler die Lücke in der Version 2.4.4 geschlossen. (des)
