Các lỗ hổng Plex Media Server đang bị khai thác để cài malware
"Plex Media Server vulnerabilities (CVEs not fully specified, but including a severity of 8.6) are being actively exploited to install malware such as cryptominers and residential proxy software. The exploit chain, dubbed 'Plex2Shell', involves unauthenticated SSRF, loopback pivoting, token theft, and payload delivery. Users are advised to update to version 1.43.3 or restrict internet access to the server."
Các lỗ hổng trong Plex Media Server đang bị khai thác để cài malware, gây rủi ro cho dữ liệu cá nhân và an ninh mạng.
Doanh nghiệp sử dụng Plex có thể bị tấn công để đánh cắp dữ liệu hoặc sử dụng máy chủ làm proxy để truy cập các tài nguyên nội bộ trái phép. Việc này gây ảnh hưởng đến tính bảo mật và tính toàn vẹn của hệ thống.
Plex Media Server có lỗ hổng bảo mật (mức độ nghiêm trọng một số lỗ hổng lên tới 8.6) đang bị khai thác để cài phần mềm độc hại như phần mềm đào tiền ảo và proxy dân cư. Một nhà nghiên cứu đã công bố chuỗi khai thác 'Plex2Shell', bao gồm SSRF không xác thực, chuyển hướng vòng lặp, đánh cắp token và phân phối payload.
Plex đã vá bốn lỗ hổng vào đầu tháng trước. Ba tuần sau, các CVE chính thức được công bố, tiết lộ tổng cộng năm lỗ hổng. Chuỗi khai thác 'Plex2Shell' kết hợp bốn lỗ hổng này để thực thi mã từ xa trên thiết bị dễ bị tấn công. Kẻ tấn công hiện đang cài đặt hai loại payload: phần mềm đào tiền ảo (sử dụng thiết bị để đào tiền ảo cho kẻ tấn công) và phần mềm proxy dân cư (cho phép ẩn danh hoạt động internet, bao gồm cả các hoạt động bất hợp pháp).
Một nhà nghiên cứu khác đã tạo honeypot để theo dõi các nỗ lực khai thác. Trong vòng một ngày, honeypot này đã ghi nhận các hoạt động quét và tấn công thành công. Nhà nghiên cứu cho biết, kẻ tấn công có thể sử dụng các địa chỉ IP dân cư để truy cập VPN và email của doanh nghiệp.
Quá trình khai thác bao gồm các bước như: trinh sát hệ thống, tìm kiếm lỗ hổng, xác minh lỗ hổng và kết hợp các lỗ hổng lại với nhau. Nhà nghiên cứu sử dụng AI để hỗ trợ quá trình này, nhưng nhấn mạnh rằng việc đưa ra quyết định vẫn thuộc về con người.
Người dùng Plex nên cập nhật lên phiên bản 1.43.3. Phiên bản phần mềm có thể tự động cập nhật hoặc người dùng có thể tải xuống và cài đặt thủ công. Để an toàn hơn, hãy hạn chế quyền truy cập internet của máy chủ Plex, chỉ cho phép truy cập từ mạng nội bộ. Sử dụng reverse proxy thay vì cổng 32400 mặc định và chỉ sử dụng các ứng dụng Plex chính thức.
Câu hỏi thường gặp
Plex2Shell là gì?
Plex2Shell là tên gọi của một chuỗi khai thác kết hợp bốn lỗ hổng trong Plex Media Server để thực thi mã từ xa trên thiết bị bị tấn công.
Payload là gì?
Payload là phần mềm độc hại được cài đặt sau khi khai thác thành công lỗ hổng. Trong trường hợp này, có hai loại payload: phần mềm đào tiền ảo và phần mềm proxy dân cư.
Làm thế nào để bảo vệ máy chủ Plex?
Người dùng nên cập nhật lên phiên bản 1.43.3, hạn chế quyền truy cập internet của máy chủ, sử dụng reverse proxy và chỉ sử dụng các ứng dụng Plex chính thức.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc các lỗ hổng Plex bị khai thác tích cực cho thấy nguy cơ cao đối với người dùng tại Việt Nam, đặc biệt là những người sử dụng Plex để chia sẻ nội dung trên mạng. Các doanh nghiệp cần đặc biệt lưu ý nếu sử dụng Plex để truy cập các tài nguyên nội bộ. Điều đáng chú ý là việc cập nhật lên phiên bản mới nhất (1.43.3) là biện pháp phòng ngừa quan trọng nhất.