Kriittisiä Plex Media Serverin haavoittuvuuksia hyödynnetään aktiivisesti haittaohjelmahyökkäyksissä

Kuva: Ars Technica · Lähde

Useita turvallisuusaukkoja Plex Media Serverissä on hyödynnetty haittaohjelmien, mukaan lukien kryptovaluuttakaivostinien ja välitysohjelmistojen, levittämiseen; käyttäjiä kehotetaan päivittämään välittömästi versioon 1.43.3 estääkseen etäkoodin suorittamisen.

Turvallisuustutkijat ovat paljastaneet, että sarja haavoittuvuuksia, jotka korjattiin Plex Media Serverissä, kohdistui nopeasti hyökkääjien hyödyntämiseksi haittaohjelmien toimitukseen. Plex-tiimi korjasi neljä kriittistä turvallisuusongelmaa viime kuussa julkaistussa päivityksessä, mutta myöhemmät tiedot paljastivat viisi haavoittuvuutta, joista yhden vakavuusluokitus on 8,6/10. Uusi hyödyntämisketju, nimeltään "Plex2Shell", käyttää neljää näistä vioista yhdistelmänä saavuttaakseen etäkoodin suorittamisen vaikutuksensa alaisissa järjestelmissä.

Hyökkäysketju sisältää useita monimutkaisia vaiheita, mukaan lukien todentamaton palvelinpuolen pyyntöväärennös (SSRF), paikallisen silmukan kääntö, tunnusten varastaminen ja lopulta haitallisen koodin suorittaminen. Merkittävää on, että ketjun luonut tutkija hyödynsi laajalti tekoälyä nopeuttaakseen hyökkäyksen löytämistä ja rakentamista, vaikka koko prosessia valvottiin tarkasti manuaalisesti.

Tietojen julkaisun jälkeen toinen tutkija otti käyttöön hunajasäiliöpalvelimia, jotka simuloivat haavoittuvia Plex-instansseja, ja ne houkuttelivat nopeasti skannauksia ja onnistuneita tartuntayrityksiä tosielämässä. Havainnoiduissa hyökkäyksissä ladattiin kahta päätyyppiä haittaohjelmia: kryptovaluuttakaivostimia, jotka käyttävät tartunnan saaneen järjestelmän resursseja tuottaakseen kryptovaluuttaa hyökkääjille, ja kotikäyttöön tarkoitettuja välityspalvelinohjelmistoja, jotka mahdollistavat anonymisoidun ja usein laitonta internet-liikennettä välittävän reitityksen kompromettoitujen laitteiden kautta.

Koska Plex-palvelimet usein toimivat kotitalouksien IP-osoitteilla, hyökkääjät arvostavat näitä tartunnan saaneita koneita piiloutuakseen laillisten kotiverkkojen taakse, mikä voi helpottaa pääsyä arkaluontoisiin yritysresursseihin, kuten VPN:iin ja sähköpostijärjestelmiin.

Plex-käyttäjiä kehotetaan vahvasti varmistamaan, että heidän asennuksensa on päivitetty versioon 1.43.3 tai uudempaan, joka korjaa nämä haavoittuvuudet. Ohjelmisto tukee automaattisia päivityksiä, mutta manuaalinen asennus on myös mahdollista. Käyttäjiä suositellaan lisäksi rajoittamaan Plex-palvelimen pääsy paikallisverkkoon, käyttämään käänteisiä välityspalvelimia oletusarvoisten avoimien internet-porttien sijaan, käyttämään virallisia ja turvallisia Plex-sovelluksia sekä ylläpitämään vahvoja, yksilöllisiä salasanoja.

Koska aktiivinen hyödyntämistoiminta on käynnissä tosimaailmassa, välitön korjaaminen on kriittistä kaikille Plex-käyttäjille. Alkuperäinen Plex-tietoturvatiimi ei ole vielä kommentoinut asiaa.

Yksityiskohtaiset tekniset tiedot ja hyödyntämisen todisteet on jaettu julkisesti tutkijoiden toimesta esimerkiksi GitHubissa, korostaen nopean korjauksen tarvetta. Tapaus korostaa suosittuihin median palvelinohjelmistoihin kohdistuvien hyökkäysten kehittyvää monimutkaisuutta ja painottaa säännöllisten päivitysten sekä vahvojen tietoturva-asetusten merkitystä.