Un chercheur a démontré une chaîne d'exploits de concept ciblant les serveurs de média Plex non corrigés, en combinant quatre vulnérabilités pour obtenir l'exécution de code à distance. L'attaque commence par un SSRF non authentifié, suivi d'un pivot loopback, de le vol de jeton de sécurité, de la livraison de charge utile et de l'exécution finale de la charge utile. Le découvreur du bug a signalé que les outils d'IA ont été largement utilisés pour développer la chaîne d'exploits, bien que le travail ait nécessité des heures d'efforts itératifs, de dead-ends et de répriorisation. Les représentants de Plex n'ont pas immédiatement répondu aux demandes de commentaire.
Toute personne exécutant un serveur de média Plex doit mettre à jour en version 1.43.3 immédiatement. Le logiciel prend en charge les mises à jour automatiques, ou les utilisateurs peuvent télécharger et installer manuellement la dernière version. Étant donné l'exploitation active des anciennes versions, la correction rapide est cruciale.
Au-delà de la mise à jour, les utilisateurs doivent sécuriser leurs serveurs de média. La approche la plus sûre consiste à restreindre l'accès aux réseaux locaux sans exposition Internet, bien que cela limite de nombreuses fonctions utiles. Pour les configurations connectées à Internet, il est recommandé de router le trafic à travers un proxy inverse plutôt que d'utiliser le port 32400 par défaut. Seuls les applications Plex sécurisées doivent être utilisées, et les mots de passe forts sont essentiels.
Source: Ars Technica · Résumé par HeadlinesBriefing