Kritiske sårbarheter i Plex Media Server utnyttet i aktive skadevareangrep

Bilde: Ars Technica · Kilde

Flere sikkerhetssvikter i Plex Media Server har blitt utnyttet for å distribuere skadevare, inkludert kryptominere og proxyprogramvare; brukere blir oppfordret til å oppdatere til versjon 1.43.3 umiddelbart for å forhindre fjernkjøring av kode.

Sikkerhetsforskere har avdekket at en rekke sårbarheter som ble rettet i Plex Media Server, raskt ble målrettet av angripere for å levere ondartet programvare. Plex-teamet løste fire kritiske sikkerhetsproblemer i en oppdatering som ble utgitt forrige måned, men senere avsløringer viste fem sårbarheter, hvorav én ble vurdert til en alvorlighetsgrad på 8,6 av 10. En ny utnyttelseskjede, kalt "Plex2Shell," utnytter fire av disse feilene i kombinasjon for å oppnå fjernkjøring av kode på berørte systemer.

Utnyttelseskjeden involverer flere komplekse steg, inkludert uautentisert server-side request forgery (SSRF), loopback pivotering, token-tyveri og til slutt kjøring av last. Interessant nok benyttet forskeren som laget kjeden kunstig intelligens i stor grad for å fremskynde oppdagelsen og sammensetningen av utnyttelsen, selv om nøye manuell overvåking styrte prosessen.

Etter offentliggjøringen satte en annen forsker opp honeypot-servere som simulerte sårbare Plex-instanser, som raskt tiltrakk seg scanninger og vellykkede infeksjonsforsøk fra virkelige angrep. De observerte angrepene slapp to hovedtyper av last: kryptovalutaminere som utnytter systemressursene på det infiserte systemet for å generere kryptovaluta for angriperne, og residential proxy-programvare som muliggjør anonymisert, og ofte ulovlig, internett-trafikk via de kompromitterte enhetene.

Ettersom Plex-servere ofte kjører på bosteds-IP-adresser, verdsetter trusselaktører disse infiserte maskinene for å skjule seg bak legitime hjemme-nettverkslokasjoner, noe som potensielt kan lette tilgang til sensitive bedriftsressurser som VPN-er og e-postsystemer.

Plex-brukere anbefales sterkt å sikre at deres installasjoner er oppdatert til versjon 1.43.3 eller nyere, som lukker disse sårbarhetene. Programvaren støtter automatiske oppdateringer, men manuell installasjon er også mulig. Brukere bør dessuten vurdere å begrense Plex-serverens tilgang til kun lokale nettverk, benytte omvendte proxyer i stedet for standard åpne internettporter, bruke offisielle og sikre Plex-applikasjoner, og opprettholde sterke, unike passord.

Gitt den aktive utnyttelsen i det fri, er umiddelbar oppdatering avgjørende for alle Plex-brukere. Det opprinnelige Plex-sikkerhetsteamet har foreløpig ikke kommentert saken ytterligere.

Detaljert teknisk informasjon og proof-of-concept-utnyttelseskode er publisert av forskere på plattformer som GitHub, noe som understreker behovet for rask utbedring. Denne hendelsen illustrerer den økende sofistikasjonen i angrep mot populær mediaserverprogramvare, og understreker viktigheten av regelmessige oppdateringer og robuste sikkerhetskonfigurasjoner.