Kritiska sårbarheter i Plex Media Server utnyttjade i aktiva skadliga attacker

Bild: Ars Technica · Källa

Flera säkerhetsbrister i Plex Media Server har utnyttjats för att distribuera skadlig programvara, inklusive kryptominrar och proxytjänster; användare uppmanas att omedelbart uppdatera till version 1.43.3 för att förhindra fjärrkörning av kod.

Säkerhetsforskare har avslöjat att en rad sårbarheter, som patchades i Plex Media Server, snabbt utnyttjades av angripare för att leverera skadlig programvara. Plex-teamet åtgärdade fyra kritiska säkerhetsproblem i en uppdatering som släpptes förra månaden, men efterföljande rapporter visade på fem sårbarheter, varav en bedömdes ha en svårighetsgrad på 8,6 av 10. En ny exploateringskedja, kallad "Plex2Shell", utnyttjar fyra av dessa brister i kombination för att uppnå fjärrkörning av kod på påverkade system.

Exploateringskedjan involverar flera komplexa steg, bland annat icke-auktoriserad server-sides begäran förfalskning (SSRF), loopback-pivotering, token-stöld och slutligen exekvering av skadlig kod. Noterbart är att forskaren som skapade kedjan använde artificiell intelligens i stor utsträckning för att snabba på upptäckten och sammansättningen av exploatet, även om noggrann manuell övervakning styrde processen.

Efter publiceringen av dessa detaljer satte en annan forskare upp så kallade honeypot-servrar som simulerade sårbara Plex-instanser, vilka snabbt fick besök av skanningar och lyckade infekteringsförsök från verkliga attacker. De attacker som observerades släppte två huvudtyper av skadlig nyttolast: kryptovalutaminerare som utnyttjar den infekterade systemets resurser för att generera kryptovaluta åt angriparna, och bostadsproxies som möjliggör anonymiserad, och ofta olaglig, internettrafik genom de komprometterade enheterna.

Eftersom Plex-servrar ofta körs på bostads-IP-adresser värderas dessa infekterade maskiner av hotaktörer för att gömma sig bakom legitima hemmanätverksplatser, vilket potentiellt underlättar åtkomst till känsliga företagsresurser såsom VPN och e-postsystem.

Plex-användare uppmanas starkt att kontrollera att deras installationer är uppdaterade till version 1.43.3 eller senare, som åtgärdar dessa sårbarheter. Mjukvaran stöder automatisk uppdatering, men manuell installation är också möjlig. Användare bör dessutom överväga att begränsa Plex-serverns åtkomst till enbart lokala nätverk, använda omvända proxys istället för standardöppna internetportar, använda officiella och säkra Plex-appar och ha starka, unika lösenord.

Med tanke på den aktiva utnyttjandet i verkligheten är omedelbar patchning avgörande för alla Plex-användare. Det ursprungliga Plex-säkerhetsteamet har ännu inte lämnat ytterligare kommentarer i ärendet.

Detaljerad teknisk information och proof-of-concept-exploitkod har delats offentligt av forskare på plattformar som GitHub, vilket understryker behovet av snabb åtgärd. Sammanfattningsvis belyser denna incident den ökande sofistikeringen i attacker mot populär medieserversprogramvara, vilket visar vikten av regelbundna uppdateringar och robusta säkerhetskonfigurationer.