Forskare rapporterar om aktiv utnyttjande av Plex-sårbarheter

person holding black iphone 4 — Adrien / Unsplash

Nyligen åtgärdade sårbarheter i Plex Media Server utnyttjas aktivt i attacker som vid lyckad genomförande installerar skadlig programvara, inklusive kryptominare och bostadsproxy-appar, rapporterar en forskare.

Plex åtgär fyra sårbarheter i början av förra månaden. Tre veckor senare publicerades CVE-designationer som avslöjade fem sårbarheter, varav en med allvarlighetsgraden 8,6 av 10. En forskare avslöjade förra veckan ett utnyttjande som kedjade fyra av dem tillsammans för att uppnå fjärrkörning av kod på enheten som kör en sårbar Plex-version. Forskaren döpte kedjan till "Plex2Shell".

De nya detaljerna gjorde det möjligt för en annan forskare att skapa en honeypot som kunde spåra försök att utnyttja sårbarhetskedjan i verkligheten. Inom en dag började forskaren se aktiv skanning av den simulerade Plex-servern och lyckades senare infektera enheter. Hittills installerar lyckade attacker två laddningar. En är en kryptominare som använder enheten för att gräva kryptovaluta och sätta in den i en plånbok som kontrolleras av angriparen. Den andra laddningen är bostadsproxy-programvara som gör det möjligt för människor att anonymisera sin internetaktivitet, mycket av den olagliga, genom att ansluta till den infekterade enheten och sedan använda den för att skicka användarens trafik till en slutdestination.

"Plex kan vara värd på bostads-IP och jag tror att hotaktörer skulle vilja ha bostads-IP-proxy för att få tillgång till företags-VPN och e-post", skrev den andra forskaren.

Det publicerade utnyttjandekedjan var en del av ett proof-of-concept-angrepp som den första forskaren inkluderade när denne skickade in en buggrapport till Plex. Den komplexa koden slutför en serie steg, inklusive obevittnat SSRF, loopback-växling, stöld av säkerhetstoken, leverans av nyttolast och slutligen körning av nyttolasten. Forskaren som hittade buggen sade att han använde AI "tungt" för att utveckla utnyttjandekedjan.

"Det handlade inte om att säga till LLM:en "gå hacka Plex"", skrev forskaren. "Det var timmar av iterativt arbete, döda änden och prioritering om. Alla domänval på vad man ska leta efter och vad man ska prioritera var mina. LLM:en påskyndar den här processen avsevärt, vilket gör att jag kan förbli på en högre nivå och bara guida processen."

Plex-representanter svarade inte omedelbart på frågor.

Alla som använder Plex bör se till att det körs version 1.43.3. Programvaran kan konfigureras för att automatiskt installera uppdateringar, eller användare kan manuellt ladda ner och installera dem. Med tanke på aktiv utnyttjande bör gamla versioner uppdateras omedelbart. Förutom det bör användare ägna omsorg åt att korrekt säkra mediemedierna. Säkraste alternativet är att begränsa tillgången till lokala nätverk utan exponering mot internet. Det hindrar möjligheten att använda många användbara funktioner, dock. Ett alternativ när man ansluter enhet till öppet nätverk är att dirigera trafik genom en reverse proxy istället för att använda standardporten 32400. Användare bör också bara använda säkra Plex-appar. Och såklart är starka lösenord ett måste.