Четыре уязвимости Plex уже используют в атаках на не обновлённые медиасерверы: после взлома на хост могут установить криптомайнер или ПО для резидентского прокси. Для российских команд и домашних администраторов вывод без драматургии, но срочный: уязвимости Plex закрыты в версии 1.43.3, а публично доступный сервер на старой версии теперь является удобной целью.
В начале сентября Plex исправила четыре проблемы безопасности, а примерно через три недели для пяти уязвимостей появились идентификаторы CVE; одна из них получила оценку опасности 8,6 из 10. Как пишет Ars Technica, исследователь затем опубликовал цепочку эксплуатации Plex2Shell, которая объединяет четыре ошибки и позволяет удалённо выполнить код на устройстве с уязвимой версией Plex Media Server.
Цепочка не сводится к одному «волшебному» запросу. В демонстрационной атаке используются неаутентифицированный SSRF, переход к локальному интерфейсу сервера, кража токена безопасности, доставка полезной нагрузки и её запуск. То есть проблема не только в отдельном баге: несколько слабых мест складываются в маршрут от внешнего запроса до контроля над машиной.
После публикации деталей другой исследователь развернул honeypot — имитацию уязвимого Plex-сервера — чтобы наблюдать за интересом атакующих. Сканирование началось в течение суток, а затем появились и успешные заражения. На скомпрометированных узлах фиксируются два типа нагрузки: майнер криптовалюты и резидентский прокси.
Майнер — привычный способ монетизировать чужой CPU и электричество. Прокси выглядит не менее неприятно: он позволяет третьим лицам отправлять свой трафик через IP-адрес заражённого владельца. Домашние адреса обычно пользуются большим доверием у сервисов, чем дата-центровые, поэтому через такую инфраструктуру могут маскировать подозрительную активность. Исследователь отдельно предположил, что злоумышленникам могут быть интересны резидентские IP для попыток доступа к корпоративным VPN и почте.
Автор Plex2Shell сообщил, что активно применял ИИ при подготовке исследования, но не в режиме «попросил модель взломать Plex и ушёл пить кофе». По его описанию, человек разбивал приложение на компоненты, искал пути от пользовательского ввода к опасным операциям, перепроверял находки отдельным агентом и лишь затем собирал подтверждённые ошибки в цепочку. Это важный штрих к нынешнему ландшафту: ИИ снижает цену и время исследовательской работы, но не отменяет необходимость понимать архитектуру и принимать инженерные решения.
Для владельцев Plex Media Server первоочередная задача — проверить версию и обновиться до 1.43.3 либо новее, включив автоматическую установку обновлений. Дальше стоит пересмотреть саму схему публикации сервиса: наиболее безопасный вариант — оставить сервер доступным только из локальной сети. Если удалённый доступ действительно нужен, Ars Technica советует не выставлять стандартный порт 32400 напрямую, а использовать обратный прокси; также остаются обязательными надёжные пароли и официальные защищённые приложения Plex.
Для компаний эта история шире одного медиасервера. Тестовые NAS, домашние машины сотрудников, self-hosted-сервисы и «временно» открытые наружу панели часто выпадают из нормального процесса управления патчами. Когда эксплуатация появляется через день после публикации технических деталей, запас времени измеряется уже не кварталом до планового окна, а часами и днями. Разбор цепочки Plex2Shell и признаки активных атак доступны в ; главный вопрос теперь не в том, существует ли патч, а в том, сколько открытых серверов ещё не успели его поставить.