Los investigadores de seguridad han descubierto múltiples vulnerabilidades críticas en una popular plataforma de middleware de IPTV que actualmente utilizan más de mil servicios de transmisión de medios en línea regionales e internacionales para administrar sus millones de suscriptores.

Descubiertas por los investigadores de seguridad de CheckPoint, las vulnerabilidades residen en el panel administrativo de la plataforma Ministra TV, que si se explota, podría permitir a los atacantes eludir la autenticación y extraer la base de datos de los suscriptores, incluidos sus detalles financieros.

Además de esto, las fallas también podrían permitir a los atacantes reemplazar la transmisión y transmitir cualquier contenido de su elección en las pantallas de TV de todas las redes de clientes afectadas.

La plataforma Ministra TV, anteriormente conocida como Stalker Portal, es un software escrito en PHP que funciona como una plataforma de middleware para servicios de transmisión de medios para administrar televisión por protocolo de Internet (IPTV), video a pedido (VOD) y over-the-top ( OTT) contenido, licencias y sus suscriptores.

Desarrollado por la empresa ucraniana Infomir, el software Ministra está siendo utilizado actualmente por más de mil servicios de transmisión de medios en línea con el mayor número de proveedores en los Estados Unidos (199), seguido de los Países Bajos (137), Rusia (120), Francia (117 ) y Canadá (105).

Los investigadores de CheckPoint encuentran una vulnerabilidad lógica en una función de autenticación de la plataforma Ministra que no valida la solicitud, lo que permite a un atacante remoto eludir la autenticación y realizar una inyección SQL a través de una vulnerabilidad separada, que de otro modo solo puede explotar un atacante autenticado.

Como se muestra en la demostración del video, cuando se conectó con una vulnerabilidad de inyección de objetos PHP, los investigadores pudieron ejecutar con éxito código arbitrario de forma remota en el servidor de destino.

«En este caso particular, usamos el bypass de autenticación para realizar una inyección SQL en el servidor», explican los investigadores. «Con ese conocimiento, escalamos este problema a una vulnerabilidad de inyección de objetos, que a su vez nos permitió ejecutar código arbitrario en el servidor, lo que podría afectar no solo al proveedor sino también a los clientes del proveedor».

Los investigadores de CheckPoint informaron sus hallazgos a la compañía, que ahora solucionó los problemas con el lanzamiento de la versión 5.4.1 de Ministra.

Se recomienda encarecidamente a los proveedores que actualicen su sistema a la última versión lo antes posible.