Plex2Shell: senos Plex Media Server versijos aktyviai atakuojamos

Kas yra „Plex2Shell“?

„Plex2Shell“ – keturių Plex Media Server pažeidžiamumų grandinė. Jei serveris pasiekiamas iš interneto ir naudoja senesnę nei 1.43.3.10861 versiją, nuotolinis užpuolikas gali be prisijungimo sujungti šias spragas ir vykdyti kodą Plex serverio proceso teisėmis. Tai nebūtinai reiškia administratoriaus teises visoje operacinėje sistemoje, tačiau Plex procesas gali pasiekti savo duomenis, prijungtus katalogus ar kai kuriuos tinklo išteklius.

Plex saugumo pranešime nurodo, kad pataisyta versija ir visos naujesnės nepažeidžiamos. Bendrovė taip pat patvirtino aktyvų ir platų pažeidžiamų, internetui pasiekiamų serverių išnaudojimą. Tarp užfiksuotų pasekmių – kriptovaliutų kasimo programos ir proxy įrankiai, leidžiantys pašaliniams naudoti serverio interneto ryšį. Oficialus „Plex“ saugumo pranešimas ↗

Kokios spragos sudaro atakos grandinę?

• CVE-2026-96652 – neautentifikuota serverio užklausų klastojimo (SSRF) spraga „player timeline“ funkcijoje.
• CVE-2026-96654 – galimybė pasiekti vidines agentų funkcijas per vietinės sąsajos (loopback) mechanizmą.
• CVE-2026-96655 – serverio savininko administratoriaus prieigos žetono atskleidimas.
• CVE-2026-96656 – savavališko failo įrašymas į „Codecs“ katalogą per transkoderio nustatymus.

Šių veiksmų seka paverčia atskirus trūkumus nuotolinio kodo vykdymo keliu. Užpuolikas gali įrašyti failą ten, kur Plex vėliau jį užkrauna kaip medijos apdorojimo komponentą. Detalų pažeidžiamumų aprašymą pateikia „Plex“; šiame straipsnyje sąmoningai nepateikiame veikiančių išnaudojimo instrukcijų. CVE numeriai ir jų aprašai pateikti Plex forume ↗.

Ką gali reikšti kompromituotas namų ar įmonės serveris?

Kriptovaliutų kasimo programa apkrauna procesorių, didina elektros sąnaudas ir kaitina įrenginį. Proxy programa gali nukreipti kitų žmonių srautą per jūsų interneto ryšį, todėl įtartina veikla iš išorės gali atrodyti atliekama iš jūsų IP adreso. Rizika neapsiriboja pačia Plex biblioteka: jei Plex procesas turi prieigą prie bendrinamų aplankų, NAS katalogų ar tame pačiame serveryje saugomų prisijungimo duomenų, jų saugumą taip pat reikia įvertinti.

Vienas viešai stebėtas honeypot serveris buvo užkrėstas netrukus po to, kai paskelbtas viešas išnaudojimo kodas. „Plex“ vėliau pranešė apie plačiai vykstančias atakas. Tai patvirtina aktyvų išnaudojimą, bet pavienio honeypot atvejo negalima laikyti visų pažeidimų statistika. „SecurityWeek“ incidento apžvalga ↗

Ką daryti dabar?

1. Patikrinkite veikiančią versiją. Plex Web atverkite „Settings → General“ ir patikrinkite serverio versiją. Atnaujinkite iki 1.43.3.10861 arba naujesnės. NAS paketų saugykloje pataisa gali pasirodyti vėliau, todėl vadovaukitės įrenginio gamintojo instrukcija arba naudokite oficialų Plex paketą. „Docker“ aplinkoje atnaujinkite naudojamą atvaizdą ir iš naujo paleiskite konteinerį.
2. Jei nuotolinė prieiga nereikalinga, ją išjunkite. Plex nustatymuose išjunkite „Remote Access“ ir pašalinkite nereikalingą tiesioginį 32400/TCP prievado persiuntimą maršrutizatoriuje. Jei nuotolinės prieigos reikia, apribokite ją pagal savo tinklo architektūrą ir laikykite serverį atnaujintą.
3. Jei senoji versija buvo pasiekiama iš interneto, įtarkite kompromitavimą. Vien pataisos įdiegimas pašalina pažeidžiamumą, bet nebūtinai jau įrašytą kenkėjišką programą. „Plex“ rekomenduoja tikrinti nežinomus procesus, nepažįstamus .so ar .dll failus „Codecs“ kataloge, netikėtus ryšius su proxystream.st ir ilgai didelį procesoriaus naudojimą, kai niekas nėra transliuojama.
4. Aptikus požymių, serverį atkurkite švariai. Atskirkite jį nuo interneto ir tinklo, rinkite reikalingus žurnalus, o tada vadovaukitės Plex rekomendacija atkurti serverį iš švaraus diegimo, nenaudojant seno duomenų katalogo. Atsijunkite nuo visų Plex paskyros įrenginių, pakeiskite paskyros slaptažodį ir atnaujinkite kitus prisijungimo duomenis, kuriuos galėjo pasiekti Plex procesas.

Atnaujinimas svarbus ir po pataisos išleidimo

Šiuo atveju pataisyta versija buvo prieinama dar prieš viešai paskelbiant detalų išnaudojimo aprašymą. Tačiau pasikliauti vien tuo, kad programinė įranga „veikia“, nepakanka: Plex serveriai dažnai paliekami veikti NAS įrenginiuose ar konteineriuose, kurių savininkai neatnaujina automatiškai. Įtraukite juos į programinės įrangos inventorių, nustatykite atsakingą prižiūrėtoją ir periodiškai patikrinkite versiją bei išorinį pasiekiamumą.

Jei Plex serveris yra įmonės tinkle, jį verta laikyti atskiru tinklo įrenginiu, suteikti tik būtiną prieigą prie saugyklų ir neleisti jam pasiekti kitų sistemų be reikalo. Taip vienos paslaugos pažeidžiamumas netaps lengvu keliu į platesnę infrastruktūrą.