Критические уязвимости Plex Media Server используются в активных атаках вредоносного ПО

Image: Ars Technica · Source

Множество уязвимостей в Plex Media Server были использованы для развертывания вредоносного ПО, включая криптомайнеры и прокси-софту; пользователям настоятельно рекомендуется немедленно обновиться до версии 1.43.3 для предотвращения удалённого выполнения кода.

Исследователи в области безопасности раскрыли, что серия уязвимостей, устранённых в Plex Media Server, быстро стала целью злоумышленников для доставки вредоносного ПО. Команда Plex исправила четыре критические проблемы безопасности в обновлении, выпущенном в прошлом месяце, однако последующие публикации выявили пять уязвимостей, одна из которых оценивается в 8,6 из 10 по уровню серьёзности. Новый цепной эксплойт под названием «Plex2Shell» комбинирует четыре из этих уязвимостей для достижения удалённого выполнения кода на поражённых системах.

Цепочка эксплойта включает несколько сложных этапов, таких как неавторизованное подделывание серверных запросов (server-side request forgery, SSRF), поворот по loopback-интерфейсу, кража токенов и окончательный запуск вредоносной нагрузки. Примечательно, что исследователь, создавший эту цепочку, широко применял искусственный интеллект для ускорения поиска и сборки эксплойта, при этом тщательно контролируя процесс вручную.

После публикации этих данных другой исследователь разместил honeypot-серверы, имитирующие уязвимые экземпляры Plex, которые быстро привлекли сканирование и успешные попытки заражения в реальной среде. Зафиксированные атаки загружали два основных типа payload: криптомайнеры, использующие ресурсы инфицированных систем для добычи криптовалюты в пользу злоумышленников, и программное обеспечение для резидентного прокси, позволяющее анонимно и зачастую незаконно маршрутизировать интернет-трафик через взломанные устройства.

Поскольку серверы Plex часто работают на домашних IP-адресах, злоумышленники ценят эти заражённые машины за возможность скрываться за легитимными домашними сетевыми локациями, что потенциально облегчает доступ к чувствительным корпоративным ресурсам, таким как VPN и почтовые системы.

Пользователям Plex настоятельно рекомендуется убедиться, что их установки обновлены до версии 1.43.3 или новее, исправляющей эти уязвимости. Программное обеспечение поддерживает автоматические обновления, однако возможна и ручная установка. Также рекомендуется ограничить доступ к серверу Plex только локальной сетью, использовать обратные прокси вместо открытых по умолчанию интернет-портов, пользоваться официальными и безопасными приложениями Plex и применять сложные уникальные пароли.

С учётом активной эксплуатации уязвимостей в дикой среде, немедленное исправление необходимо для всех пользователей Plex. Оригинальная команда безопасности Plex пока не предоставила комментариев по данному вопросу.

Подробная техническая информация и код эксплойта proof-of-concept были публично опубликованы исследователями на таких платформах, как GitHub, подчёркивая необходимость срочного устранения уязвимостей. В целом этот инцидент демонстрирует растущую сложность атак на популярное программное обеспечение медиасерверов, подчёркивая важность регулярных обновлений и надёжной настройки безопасности.