Kritiskas Plex Media Server ievainojamības tiek izmantotas aktīvās ļaunprātīgas programmatūras uzbrukumos

Attēls: Ars Technica · Avots

Vairākas drošības nepilnības Plex Media Server tika izmantotas ļaunprogrammatūras, tostarp kriptomaineru un starpniekservera programmatūras izvietošanai; lietotāji tiek aicināti nekavējoties atjaunināt uz versiju 1.43.3, lai novērstu tālvadības koda izpildi.

Drošības pētnieki atklājuši, ka sērija ievainojamību, kuras tika novērstas Plex Media Server, ātri tika mērķētas uzbrucēju darbībā ļaunprogrammatūras ieviešanai. Plex komandai pagājušajā mēnesī izdevās labot četras kritiskas drošības problēmas atjauninājumā, taču vēlākie atklājumi norādīja uz piecām ievainojamībām, no kurām viena tika novērtēta ar 8,6 no 10 smaguma skalā. Jaunā uzbrukuma ķēdīte, dēvēta par “Plex2Shell”, izmanto četras no šīm nepilnībām kombinācijā, lai panāktu tālvadības koda izpildi ietekmētajās sistēmās.

Ekspluatācijas ķēdē ietilpst vairāki sarežģīti soļi, tostarp neautentificēta servera puses pieprasījumu viltošana (SSRF), lokālā tīkla piekļuves pārlēkšana, marķējuma zādzība un gala iekrāvēja izpilde. Būtiski ir tas, ka ķēdes izstrādātājs plaši izmantoja mākslīgo intelektu, lai paātrinātu ievainojamību atrašanu un ekspluatācijas koda izveidi, tomēr procesu rūpīgi uzraudzīja manuāli.

Pēc šo detaļu publicēšanas cits pētnieks izvietoja viltus mezglus (honeypots), kas simulēja neaizsargātas Plex instancēs, un tie ātri sāka piesaistīt skenēšanas un veiksmīgu inficēšanās mēģinājumus dabā. Novērotie uzbrukumi nomet divu veidu iekrāvējus: kriptovalūtas minerus, kas izmanto inficētās sistēmas resursus, lai ģenerētu kriptovalūtu uzbrucējiem, un mājas starpniekservera programmatūru, kas ļauj anonimizētu un bieži nelegālu interneta trafika maršrutēšanu caur apdraudētajām ierīcēm.

Tā kā Plex serveri bieži darbojas uz mājas IP adresēm, draudu aktieri ļoti novērtē šos inficētos datorus, lai slēptos aiz derīgiem mājas tīkla lokācijām, potenciāli iegūstot piekļuvi sensitīviem korporatīvajiem resursiem, piemēram, VPN un e-pasta sistēmām.

Plex lietotājiem stingri iesaka pārliecināties, ka viņu instalācijas ir atjauninātas uz versiju 1.43.3 vai jaunāku, kas aizlabo šīs ievainojamības. Programmatūra atbalsta automātiskās atjaunināšanas, bet iespējama arī manuāla instalācija. Lietotājiem būtu jāapdomā arī Plex servera piekļuves ierobežošana tikai lokālam tīklam, jāizmanto reversie starpniekserveri nevis noklusētie atvērti internetporti, jāizmanto oficiālās un drošās Plex lietotnes, kā arī jāuztur spēcīgas un unikālas paroles.

Ņemot vērā aktīvu ļaunprātīgas izmantošanas aktivitāti dabā, nekavējoša labošana ir būtiska visiem Plex lietotājiem. Sākotnējā Plex drošības komanda šobrīd nav sniegusi papildu komentārus šajā jautājumā.

Detalizēta tehniskā informācija un pierādījuma koda ekspluatācijas kodi ir publiski kopīgoti pētnieku platformās, piemēram, GitHub, uzsverot ātras rīcības nepieciešamību. Kopumā šis incidents izgaismo populāru mediju serveru programmatūras uzbrukumu sarežģītības pieaugumu, uzsverot regulāru atjauninājumu un stingru drošības konfigurāciju nozīmi.