एक शोधकर्ता ने एक प्रूफ-ऑफ़-कॉन्सेप्ट एक्सप्लॉय्ट चेन का प्रदर्शन किया जो एक अपडेट न किए गए Plex मीडिया सर्वर का लक्ष्य बना है, चार वल्लनाओं को संयोजित करके रीमोट कोड एक्ज़ीक्यूशन प्राप्त करने के लिए। यह आक्रमण एक बिना प्रमाणिकता वाले SSRF के साथ शुरू होता है, फॉलो करके लूपबैक पिवट, सिक्योरिटी टोकन थेवल, पेलोड डिलीवरी, और अंत में पेलोड एक्ज़ीक्यूशन। वल्लना ढूंढने वाला व्यक्ति ने बताया कि एक्सप्लॉय्ट चेन के विकास में AI टूल्स का भारी उपयोग किया गया था, हालाँकि काम में इटरेटिव प्रयासों, डेड एंड्स और रीप्रायोरिटाइज़ेशन के घंटों की जरूरत थी। Plex प्रतिनिधि ने कमेंट के अनुरोधों के प्रति तुरंत जवाब नहीं दिया।
जोभी भी Plex मीडिया सर्वर चलाते हैं उन्हें तुरंत 1.43.3 संस्करण पर अपडेट करना चाहिए। सॉफ्टवेयर ऑटोमैटिक अपडेट को सपोर्ट करता है, या उपयोगकर्ता मैन्युअली लाइटेस्ट रिलीज़ डाउनलोड और इंस्टॉल कर सकते हैं। पुराने संस्करणों की सक्रिय एक्सप्लॉयटेशन को देखते हुए, तेज़ी से पैच करना आवश्यक है।
अपडेट करने के अलावा, उपयोगकर्ताओं को अपने मीडिया सर्वर सुरक्षित रखना चाहिए। सबसे सुरक्षित दृष्टिकोण है स्थानीय नेटवर्क तक पहुँच को सीमित करना बिना इंटरनेट पर जोखिम के, हालाँकि यह कई उपयोगी फीचरों को सीमित करता है। इंटरनेट पर जुड़े सेटअप के लिए, डिफॉल्ट पोर्ट 32400 का उपयोग करके डिफॉल्ट पोर्ट 32400 का उपयोग करने के बजाय एक रिवर्स प्रॉक्सी के माध्यम से ट्राफ़िक रूट करना सुझाया जाता है। केवल सुरक्षित Plex ऐप्स का उपयोग किया जाए, और मजबूत पासवर्ड आवश्यक हैं।
स्रोत: Ars Technica · HeadlinesBriefing द्वारा सारांशित