Fremdzugriff auf DJ-USBs möglich: Sicherheitslücke trifft rekordbox und zahlreiche CDJs

Zugriff nur innerhalb des Netzwerks möglich

PRO DJ LINK verbindet kompatible DJ-Player untereinander und mit rekordbox. Über das Netzwerk können DJs unter anderem Tracks von einem angeschlossenen Speichermedium auf mehreren Playern verwenden oder ihre Musik direkt aus rekordbox laden. Genau diese Verbindung ist von der nun bekannt gewordenen Sicherheitslücke betroffen. Wie AlphaTheta in einer offiziellen Warnung erklärt, könnte ein unbefugter Dritter Daten auf einem verbundenen Windows-PC oder Mac einsehen. Auch Dateien auf USB-Sticks und SD-Karten, die in einen betroffenen CDJ oder XDJ eingesteckt sind, könnten zugänglich sein.

Das bedeutet allerdings nicht, dass Fremde über das Internet wahllos auf sämtliche DJ-USBs zugreifen können. Der Angreifer müsste zunächst Zugang zu dem Netzwerk erhalten, über das PRO DJ LINK verwendet wird. Ein erhöhtes Risiko besteht daher vor allem bei offenen oder unzureichend geschützten Netzwerken in Clubs, auf Festivals oder bei anderen Veranstaltungen. Bestätigte Fälle, in denen die Schwachstelle bereits ausgenutzt wurde oder Schäden entstanden sind, sind AlphaTheta bislang nicht bekannt.

Diese CDJ- und XDJ-Modelle sind betroffen

In einer aktuellen Übersicht der betroffenen Produkte führt AlphaTheta folgende DJ-Player auf:

• CDJ-3000X
• CDJ-3000 und CDJ-3000-W
• CDJ-2000NXS2 und CDJ-2000NXS2-W
• CDJ-1500X
• CDJ-900NXS
• XDJ-1000MK2
• XDJ-700

Bei den All-in-one-Systemen sind der XDJ-AZ beziehungsweise XDJ-AZ-N sowie der XDJ-XZ betroffen. Für sämtliche genannten Geräte befinden sich Firmware-Updates noch in Arbeit. Andere Modelle wie der XDJ-AN, OMNIS-DUO, OPUS-QUAD, XDJ-RX3, XDJ-RX2 und XDJ-RR sind laut AlphaTheta nicht von der konkreten Schwachstelle betroffen. Im Zuge der allgemeinen Sicherheitsverbesserungen sollen sie dennoch Updates erhalten.

Die aufgeführten DJM-Mixer sind ebenfalls nicht betroffen. Gleiches gilt für Stagehand und PRO DJ LINK Bridge. Bei älteren PRO-DJ-LINK-Geräten, die in der Übersicht nicht auftauchen, ist jedoch Vorsicht geboten: AlphaTheta weist darauf hin, dass diese Modelle bereits das Ende ihres offiziellen Supportzeitraums erreicht haben.

rekordbox bislang nur teilweise abgesichert

Für rekordbox auf Windows und macOS wurden bereits erste Gegenmaßnahmen veröffentlicht. Nutzer von Version 7 sollten mindestens rekordbox 7.2.17 installieren. In den offiziellen Versionshinweisen nennt AlphaTheta eine verbesserte Sicherheit für LINK EXPORT. Wer weiterhin rekordbox 6 verwendet, sollte laut Hersteller mindestens auf Version 6.8.7 aktualisieren. Beide Desktop-Versionen gelten derzeit allerdings nur als teilweise abgesichert. Weitere Updates sind bereits angekündigt.

rekordbox für iOS und Android ist ebenfalls betroffen. Entsprechende Aktualisierungen befinden sich noch in Arbeit. Nutzer sollten dennoch prüfen, ob über den jeweiligen App-Store bereits eine neuere Version verfügbar ist.

Entdecker hält technische Details zurück

Entdeckt wurde die Sicherheitslücke von dem DJ und Entwickler Chris L, der unter dem Namen Triode auftritt. Nach seiner technischen Einordnung nutzt PRO DJ LINK einen Netzwerkdateidienst, um Musik zwischen rekordbox und den verbundenen Geräten zu übertragen.

Unter bestimmten Voraussetzungen ließ sich dieser Dienst offenbar dazu bringen, auch Dateien außerhalb der eigentlich freigegebenen Musikbibliothek bereitzustellen. Bei rekordbox wird der betreffende Dienst aktiviert, sobald LINK EXPORT verwendet wird. Auf einigen Playern startet er laut Triode bereits beim Einschalten des Geräts.

Einen funktionsfähigen Beispielcode will der Entwickler erst veröffentlichen, wenn AlphaTheta die betroffenen Produkte vollständig abgesichert hat. Auch der Hersteller hält weitere technische Einzelheiten derzeit zurück, um eine mögliche Ausnutzung der Schwachstelle zu erschweren.

So können sich DJs jetzt schützen

AlphaTheta empfiehlt allen Nutzern, rekordbox und die Firmware ihrer Geräte auf dem aktuellen Stand zu halten. Solange noch nicht für alle Produkte vollständige Updates vorliegen, sollten DJs außerdem einige Vorsichtsmaßnahmen beachten:

• PRO DJ LINK nur in vertrauenswürdigen Netzwerken verwenden
• WLAN-Netzwerke mit einem sicheren Passwort schützen
• keine sensiblen oder privaten Dateien auf DJ-USBs und SD-Karten speichern
• verfügbare rekordbox- und Firmware-Updates zeitnah installieren
• PRO DJ LINK beziehungsweise LINK EXPORT deaktivieren, wenn die Funktionen nicht benötigt werden

Wer seine Musik lediglich über einen USB-Stick auf einem nicht öffentlich erreichbaren, geschlossenen Setup abspielt, muss deshalb nicht in Panik geraten. Die Sicherheitslücke ist ernst zu nehmen, setzt aber voraus, dass ein Unbefugter Zugang zum verwendeten Netzwerk erhält.

Wann die noch ausstehenden Firmware- und App-Updates erscheinen, hat AlphaTheta bislang nicht mitgeteilt. Den aktuellen Bearbeitungsstand will das Unternehmen fortlaufend in seiner Produktübersicht aktualisieren.

Fotocredit: Gigxels com