Уразливості Plex Media Server використовують для встановлення шкідливого ПЗ

Зловмисники активно використовують нещодавно виправлені уразливості Plex Media Server для встановлення шкідливого програмного забезпечення на пристрої з незахищеними версіями сервера. Успішні атаки фіксували після публікації ланцюжка експлуатації, який дає змогу віддалено виконувати код на вразливому пристрої.

Ланцюжок із чотирьох уразливостей

Як повідомляє Ars Technica, Plex на початку вересня виправила чотири уразливості. Через три тижні були оприлюднені ідентифікатори CVE для п’яти проблем, одна з яких отримала оцінку критичності 8,6 із 10.

Минулого тижня дослідник опублікував експлойт, що об’єднує чотири уразливості в ланцюжок під назвою Plex2Shell. Він дозволяє досягти віддаленого виконання коду на пристрої, де працює вразлива версія Plex. У proof-of-concept-атаці використовуються неавтентифікований SSRF, перенаправлення через loopback-інтерфейс, викрадення токена безпеки, доставка та запуск шкідливого навантаження.

Фіксація атак і рекомендації

Інший дослідник створив honeypot — імітацію сервера Plex — щоб відстежувати спроби використання цього ланцюжка. Уже протягом доби він побачив активне сканування імітованого сервера, а згодом — успішні спроби зараження пристроїв.

За його даними, атаки встановлюють два типи навантаження: криптомайнер, який використовує ресурси пристрою для видобутку криптовалюти, та програму residential proxy. Остання дає змогу спрямовувати інтернет-трафік через заражений пристрій.

Користувачам Plex рекомендують негайно оновити сервер до версії 1.43.3. Оновлення можна налаштувати на автоматичне встановлення або завантажити вручну. Також безпечнішим варіантом є обмеження доступу до медіасервера локальною мережею без відкриття його в інтернеті. Для серверів, доступних ззовні, у матеріалі радять розглянути використання зворотного проксі замість стандартного порту 32400, застосовувати безпечні застосунки Plex і надійні паролі.