Vulnerabilidades críticas en Plex Media Server explotadas en ataques activos de malware

Image: Ars Technica · Source

Varias fallas de seguridad en Plex Media Server han sido explotadas para desplegar malware, incluyendo criptominadores y software proxy; se insta a los usuarios a actualizar a la versión 1.43.3 inmediatamente para prevenir la ejecución remota de código.

Investigadores de seguridad han revelado que una serie de vulnerabilidades corregidas en Plex Media Server fueron rápidamente atacadas por actores maliciosos para instalar software dañino. El equipo de Plex solucionó cuatro problemas críticos de seguridad en una actualización lanzada el mes pasado, pero divulgaciones posteriores mostraron cinco vulnerabilidades, una con una gravedad calificada de 8.6 sobre 10. Una nueva cadena de explotación, denominada “Plex2Shell,” aprovecha cuatro de estas fallas en combinación para lograr ejecución remota de código en sistemas afectados.

La cadena de explotación incluye múltiples pasos complejos, entre ellos una falsificación de solicitudes en el servidor sin autenticación (SSRF), pivoteo en loopback, robo de tokens y la ejecución final de la carga maliciosa. Destaca que el investigador que creó la cadena utilizó inteligencia artificial extensivamente para acelerar el descubrimiento y ensamblaje del exploit, aunque el proceso fue guiado cuidadosamente con supervisión manual.

Tras la publicación de estos detalles, otro investigador desplegó servidores honeypot simulando instancias vulnerables de Plex, que rápidamente atraían escaneos e intentos de infección exitosos en el mundo real. Los ataques observados dejaron dos tipos principales de cargas: mineros de criptomonedas que explotan los recursos del sistema infectado para generar criptomonedas para los atacantes, y software proxy residencial que permite enrutar tráfico anónimo, y a menudo ilícito, a través de los dispositivos comprometidos.

Dado que los servidores Plex frecuentemente operan en direcciones IP residenciales, los actores maliciosos valoran estas máquinas infectadas para ocultarse detrás de ubicaciones legítimas de redes domésticas, facilitando potencialmente el acceso a recursos corporativos sensibles como VPN y sistemas de correo electrónico.

Se aconseja encarecidamente a los usuarios de Plex verificar que sus instalaciones estén actualizadas a la versión 1.43.3 o superior, que parchea estos exploits. El software permite actualizaciones automáticas, pero la instalación manual también es posible. Los usuarios deben también considerar restringir el acceso al servidor Plex solo a redes locales, usar proxies inversos en lugar de abrir puertos directamente a Internet, emplear aplicaciones oficiales y seguras de Plex, y mantener contraseñas fuertes y únicas.

Dada la actividad activa de explotación en el entorno real, aplicar el parche de inmediato es crucial para todos los usuarios de Plex. El equipo original de seguridad de Plex aún no ha brindado comentarios adicionales sobre el asunto.

La información técnica detallada y el código del exploit como prueba de concepto han sido compartidos públicamente por investigadores en plataformas como GitHub, enfatizando la necesidad de una remediación rápida. En conjunto, este incidente destaca la sofisticación creciente de los ataques contra software popular de servidores multimedia, subrayando la importancia de actualizaciones regulares y configuraciones de seguridad robustas.