Kritische Plex Media Server-Sicherheitslücken werden in aktiven Malware-Angriffen ausgenutzt

Image: Ars Technica · Source

Mehrere Sicherheitslücken im Plex Media Server wurden zur Verbreitung von Malware, darunter Kryptominer und Proxy-Software, ausgenutzt; Nutzer werden dringend aufgefordert, sofort auf Version 1.43.3 zu aktualisieren, um Remote Code Execution zu verhindern.

Sicherheitsforscher haben aufgedeckt, dass eine Reihe von Sicherheitslücken, die im Plex Media Server behoben wurden, schnell von Angreifern ausgenutzt wurden, um schädliche Software zu verbreiten. Das Plex-Team behob vier kritische Sicherheitsprobleme in einem Update, das letzten Monat veröffentlicht wurde, doch spätere Veröffentlichungen zeigten fünf Schwachstellen, von denen eine mit 8,6 von 10 bewertet wurde. Eine neue Exploit-Kette namens „Plex2Shell“ nutzt vier dieser Fehler in Kombination, um auf betroffenen Systemen Remote Code Execution zu erreichen.

Die Exploit-Kette umfasst mehrere komplexe Schritte, darunter eine nicht authentifizierte serverseitige Anfragefälschung (SSRF), Loopback-Pivoting, Token-Diebstahl und die letztendliche Ausführung der Nutzlast. Bemerkenswert ist, dass der Forscher, der diese Kette entwickelte, künstliche Intelligenz extensiv nutzte, um die Entdeckung und Zusammenstellung des Exploits zu beschleunigen, wobei der Prozess sorgfältig manuell überwacht wurde.

Nach der Veröffentlichung dieser Details baute ein weiterer Forscher Honeypot-Server auf, die verwundbare Plex-Instanzen simulierten. Diese zogen sehr schnell Scans und erfolgreiche Infektionsversuche in der freien Wildbahn an. Bei den beobachteten Angriffen wurden zwei Haupttypen von Schadsoftware hinterlassen: Kryptowährungs-Miner, die die Ressourcen des infizierten Systems verwenden, um Kryptowährungen für die Angreifer zu erzeugen, sowie Residential Proxy-Software, die anonymisierten und häufig illegalen Internetverkehr über die kompromittierten Geräte ermöglicht.

Da Plex-Server häufig auf Wohn-IP-Adressen betrieben werden, schätzen Bedrohungsakteure diese infizierten Maschinen, um sich hinter legitimen Heimnetzwerk-Standorten zu verstecken, was möglicherweise den Zugang zu sensiblen Unternehmensressourcen wie VPNs und E-Mail-Systemen erleichtert.

Plex-Nutzer werden dringend aufgefordert, sicherzustellen, dass ihre Installationen auf Version 1.43.3 oder höher aktualisiert sind, die diese Exploits behebt. Die Software unterstützt automatische Updates, eine manuelle Installation ist aber ebenfalls möglich. Nutzer sollten außerdem in Betracht ziehen, den Zugriff auf den Plex-Server auf lokale Netzwerke zu beschränken, Reverse Proxies anstelle der standardmäßig offenen Internetports zu verwenden, offizielle und sichere Plex-Anwendungen zu nutzen und starke, einzigartige Passwörter einzusetzen.

Angesichts der aktiven Ausnutzung in der freien Wildbahn ist eine sofortige Aktualisierung für alle Plex-Nutzer entscheidend. Das ursprüngliche Plex-Sicherheitsteam hat sich zu dem Thema bislang nicht weiter geäußert.

Detaillierte technische Informationen und Proof-of-Concept-Exploit-Code wurden von Forschern öffentlich auf Plattformen wie GitHub geteilt, was die Notwendigkeit einer schnellen Behebung unterstreicht. Insgesamt zeigt dieser Vorfall die zunehmende Komplexität der Angriffe auf beliebte Medienserver-Software und hebt die Bedeutung regelmäßiger Updates und robuster Sicherheitskonfigurationen hervor.