একজন গবেষক একটি প্রুফ-অফ-কনসেপ্ট এক্সপ্লয়াট চেইন প্রদর্শন করেছে যা প্যাচ করা না আছে এমন Plex মিডিয়া সার্ভারগুলিকে লক্ষ্য করে, চারটি বিধি একত্রিয়ে রিমোট কোড এক্সিকিউশন অর্জনের জন্য। এই আক্রমণটি একটি অপ্রমাণিত SSRF থেকে শুরু হয়, ফলো করে লুপব্যাক পিভট, সিকিউরিটি টোকেন থেভ, পেলোড ডেলিভারি, এবং চূড়ান্ত পেলোড এক্সিকিউশন। বাগের খোঁজার মানুষ বলেছেন যে এক্সপ্লয়াট চেইন বিকাশে AI টুলগুলি ব্যবহার করা হয়েছিল বেশি ব্যবহার, যদিও কাজটি পুনরাবৃত্তি প্রয়োজনীয় প্রয়াের ঘন্টগুলি, ডেড এন্ডগুলি এবং পুনর্গঠনের জন্য দরকার ছিল। Plex প্রতিনিধিগুলি মন্তব্যের অনুরোধগুলির জবাব দেওয়ার জন্য তাৎপর্যভাবে প্রতিক্রিয়া দেখিয়েনি।
যারা Plex মিডিয়া সার্ভার চালায় তারা তাৎপর্যভাবে 1.43.3 সংস্করণে আপডেট করবে। সফটওয়্যার স্বয়ংক্রিয় আপডেট সমর্থন করে, বা ব্যবহারকারীরা ম্যানুয়ালি সর্বশেষ রিলিজ ডাউনলোড করে ইনস্টল করতে পারে। পুরনো সংস্করণগুলির সক্রিয় ব্যবহারকে বিবেচনা করে, দ্রুত প্যাচ করা অপরিহার্য।
আপডেট করার মতোই, ব্যবহারকারীরা তাদের মিডিয়া সার্ভারগুলি সুরক্ষিত রাখতে হবে। সবচেয়ে নিরাপদ পদ্ধতি হল স্থানীয় নেটওয়ার্কে অ্যাক্সেস制限 করা ইন্টারনেটের মাধ্যমে রয়ে যাওয়া ছাড়া, যদিও এটি অনেক উপयোগী ফিচারগুলি সীমিত করে। ইন্টারনেটের সঙ্গে যুক্ত সেটআপের জন্য, ডিফল্ট পোর্ট 32400 ব্যবহার করে ডিফল্ট পোর্ট 32400 ব্যবহার করা নয়, একটি রিভার্স প্রক্সি এর মাধ্যমে ট্রাফিক রুট করা সুপারিশ করা হয়। কেবল সুরক্ষিত Plex অ্যাপগুলি ব্যবহার করা উচিত, এবং শক্ত পাসওয়ার্ড অপরিহার্য।
উৎস: Ars Technica · সারাংশ: HeadlinesBriefing