Рабочий эксплойт для Plex Media Server появился в открытом доступе 16 октября. Уже на следующее утро исследовательская ловушка, доступная из интернета, записала состоявшуюся эксплуатацию: на серверах после срабатывания оставались майнер криптовалюты и прокси-программа, которая передает чужой интернет-трафик через домашнее подключение владельца. 19 октября Plex подтвердил активную и широкую эксплуатацию. Сколько серверов затронуто, не опубликовано.
Описание
Цепочка состоит из четырех уязвимостей, и порядок в ней важен. Три оцениваются как средние, их баллы по CVSS v3.1 - 4.3 и 6.5: одни позволяют подставить произвольный адрес в запросы сервера, другая не нейтрализует адреса в поисковом обработчике. Четвертая, CVE-2026-96656, оценивается как высокая: 7.2 по CVSS v3.1 и 8.6 по версии v4. Сама по себе она требует прав администратора, а три средние как раз эти права и передают. В сумме цепочка дает выполнение кода без входа в систему с правами службы Plex.
Механику каждой ступени описывают записи CVE. Обработчик временной шкалы принимает полный адрес в параметре протокола и отправляет запрос по выбранному адресу, причем подходит любое значение токена Plex. Поисковый обработчик не нейтрализует значения адресов, поэтому можно вызвать функции других плагинов со своими параметрами. Транскодирование разрешает аутентифицированному пользователю запрашивать произвольные внутренние и внешние адреса через параметр пути. На последней ступени администратор записывает произвольные файлы, строка параметров транскодирования дописывается к опциям кодека дословно, а сервер запускает библиотеки из папки кодеков, не проверяя подпись и бит исполнения.
Находки исследователя Zach Main относятся к 27 июля. По данным бюллетеня Plex, исправление вышло 3 августа в сборке 1.43.3.10861, а 1 сентября владельцам серверов предложили обновиться. Эксплойт появился 16 октября, ловушка записала эксплуатацию утром 17 октября, Plex подтвердил ее 19 октября. 20 октября CISA внесла все четыре уязвимости в каталог известных эксплуатируемых и назначила сокращенный срок исправления для части из них.
Наблюдения за нагрузкой делятся на имена процессов, сетевые признаки и контрольные суммы файлов. В опубликованном перечне указаны имена процессов, совпадающие с названиями прокси-программы, майнера и дропнутого бинарника; на ловушке дополнительно видели майнер XMRig. К сетевым признакам относят внешний домен, к которому обращается прокси-ПО, адреса, с которых шли обращения, и адрес, откуда скачивалась полезная нагрузка. Запросы эксплуатации приходили с клиентской строкой стандартной библиотеки Python, а для нескольких файлов, включая упакованный и распакованный варианты, приведены значения SHA256.
На самих серверах признаки касаются файлов, настроек и поведения процессов. Посторонние библиотеки в папке кодеков указывают на закрепление, а параметры транскодирования в файле настроек, которых владелец не задавал, говорят об изменении конфигурации. Неизвестные дочерние процессы службы Plex означают выполнение кода, а длительная высокая загрузка процессора при отсутствии воспроизведения - майнинг. Каждый из этих признаков может давать ложные срабатывания: библиотеки в папке кодеков появляются и при обновлениях, а нагрузку процессора дают перекодирование и фоновые задачи.
Оценки предсказательных моделей расходились с наблюдениями. EPSS, модель вероятности эксплуатации, на 21 октября давала менее 1 процента для всех четырех уязвимостей, пока атаки шли. За пределами описанной картины остаются данные других сетей: сетевые признаки собраны одной ловушкой примерно за двое суток, а ее оператор отмечает, что атакующие могли изменить публичный код. Сколько серверов скомпрометировано и ограничилась ли активность этой цепочкой, не установлено. Перечисленные признаки не дают полной картины, и их отсутствие не означает, что сервер не затронут.
Индикаторы компрометации
