Vulnerabilidades corregidas en Plex Media Server están siendo explotadas activamente

A black smartphone with a blank white screen on a light wooden surface — Vojtech Bruzek / Unsplash

Varios servidores de Plex Media Server están siendo blanco de ataques que instalan programas maliciosos, según informó un investigador.

Los ataques aprovechan vulnerabilidades que fueron corregidas a principios del mes pasado. Aunque inicialmente se solucionaron cuatro fallos, las designaciones de CVE publicadas tres semanas después revelaron cinco vulnerabilidades, una de las cuales tiene una calificación de gravedad de 8.6 sobre 10.

Un investigador reveló la existencia de una cadena de explotación denominada Plex2Shell, que combina cuatro de estas vulnerabilidades para lograr la ejecución remota de código en el dispositivo afectado. Este proceso complejo incluye la realización de un SSRF no autenticado, un pivote de bucle invertido, el robo de un token de seguridad, la entrega de una carga útil y su posterior ejecución. El autor de este hallazgo indicó que utilizó inteligencia artificial de manera intensiva para desarrollar la cadena, aunque precisó que el proceso requirió horas de trabajo iterativo y que él tomó todas las decisiones de juicio y priorización.

Otro investigador creó un sistema de señuelo para rastrear estos intentos en tiempo real. En un plazo de un día, detectó escaneos activos y ataques exitosos que instalan dos tipos de cargas útiles. La primera es un minero de criptomonedas que deposita fondos en una billetera controlada por el atacante. La segunda es un software de proxy residencial que permite a terceros anonimizar su actividad en internet, lo cual podría ser utilizado para acceder a correos electrónicos y redes privadas virtuales corporativas.

Se recomienda a los usuarios asegurarse de ejecutar la versión 1.43.3 del software, ya sea mediante actualizaciones automáticas o manuales. Para mejorar la seguridad, se sugiere restringir el acceso a redes locales sin exposición a internet, aunque esto limite algunas funciones. Otras medidas incluyen el uso de contraseñas fuertes, el empleo de aplicaciones seguras de Plex y el enrutamiento del tráfico a través de un proxy inverso en lugar de utilizar el puerto predeterminado 32400.