一名研究人员展示了一个针对未修补的 Plex 媒体服务器的概念攻击链，将四个漏洞组合实现远程代码执行。该攻击从未经身份验证的 SSRF 开始，随后是环回端口穿透、安全令牌盗取、载荷交付，以及最终的载荷执行。该漏洞发现者表示，在开发攻击链期间大量使用了 AI 工具，尽管工作仍需数小时的迭代努力、死胡同和重新优先级排序。Plex 代表尚未对请求置评作出回应。
任何运行 Plex 媒体服务器的用户都应立即升级到 1.43.3 版本。该软件支持自动更新，用户也可以手动下载并安装最新版本。鉴于对旧版本的活跃利用，及时修补至关重要。
除了更新之外，用户还应加固其媒体服务器。最安全的做法是将访问限制在本地网络，无需公网暴露，尽管这会限制许多有用的功能。对于连接互联网的设置，建议通过反向代理路由流量，而不是使用默认端口 32400。仅使用安全的 Plex 应用，强密码也至关重要。
来源: Ars Technica · 由HeadlinesBriefing整理摘要