Исследователь зафиксировал атаки Plex через цепочку из 4 уязвимостей
Владельцы Plex Media Server могут обновить сервер до версии 1.43.3.10861 или новее. Исследователь зафиксировал эксплуатацию уязвимостей Plex на старой сборке, которую запустил для наблюдения.
Злоумышленники использовали цепочку уязвимостей для удалённого выполнения кода и загрузили на сервер посторонние программы. Это наблюдение относится к тестовому серверу исследователя, а не к подтверждённой массовой атаке на пользовательские установки.
О попытках взлома 17 октября рассказал исследователь, ведущий BoredHackerBlog. Он установил уязвимую версию Plex Media Server на сервере-приманке. Сначала в журналах были главным образом сканирование и общие попытки эксплуатации. Позднее исследователь обнаружил обращения, соответствующие атаке через опубликованную цепочку Plex2Shell. После того как он разрешил приманке исходящие соединения, сервер загрузил файл с другого сервера.
Среди загруженных файлов оказался майнер криптовалюты. В обновлении записи исследователь сообщил, что обнаружил работающую программу myawesomeproxy. При запуске она предупреждает о возможном использовании интернет-трафика устройства сторонними лицами. Исследователь выложил полученные файлы для изучения, но отметил, что не успел проанализировать myawesomeproxy.
Уязвимости Plex в цепочке Plex2Shell
Цепочка Plex2Shell объединяет четыре уязвимости: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656. По данным Cord Cutters News, атака начинается с запроса к серверу без входа в учётную запись. Затем злоумышленники могут получить административный токен владельца, изменить настройки транскодера и поместить свой файл в каталог Codecs.
При запуске транскодер загружает этот файл, и код выполняется с правами процесса Plex. Работающий пример атаки опубликовали 16 октября. На следующий день исследователь заметил попытки эксплуатации на сервере-приманке. Он предупредил, что сначала блокировал исходящий трафик, поэтому мог получить не все файлы и сведения о первых атаках.
Plex разослала уведомления о важных обновлениях 1 сентября. После этого исследователь запустил уязвимый сервер, чтобы проверить, появятся ли попытки взлома. Владельцам серверов доступно обновление до версии 1.43.3.10861 или новее. Для серверов, доступных через интернет, Cord Cutters News также рекомендует проверить каталог Codecs на незнакомые файлы и посмотреть, не запускает ли процесс Plex посторонние программы.
В сентябре сообщалось, что более 36 000 Plex-серверов оставались без патчей, а владельцам рекомендовали перейти на версию 1.43.3. Теперь указана более точная минимальная версия обновления — 1.43.3.10861.
