Plex Media Server'da yakın zamanda giderilen güvenlik açıkları, kötü amaçlı yazılım yükleyen saldırılarla aktif olarak istismar ediliyor. Bu saldırılar sonucunda cihazlara kripto para madenciliği yazılımları ve ev kullanıcısı IP adreslerini kullanan proxy uygulamaları bulaşabiliyor.
Plex, geçtiğimiz ayın başında dört adet güvenlik açığını kapatmıştı. Üç hafta sonra yayınlanan bilgilerde ise beş güvenlik açığı ortaya çıktı. Bu açıklardan biri, 10 üzerinden 8.6 gibi yüksek bir ciddiyet derecesine sahip.
Güvenlik araştırmacıları tarafından ortaya çıkarılan bir istismar yöntemi, bu güvenlik açıklarından dördünü bir araya getirerek, güncel olmayan Plex Media Server sürümü çalıştıran cihazlarda uzaktan kod çalıştırmayı başarıyor. Bu birleştirilmiş istismar zincirine "Plex2Shell" adı verildi.
Karmaşık İstismar Zinciri Ortaya Çıktı
Yeni detaylar, başka bir araştırmacının bu güvenlik açığı zincirini hedef alan aktif taramaları izleyebileceği bir 'honeypot' (bal küveti) oluşturmasına olanak tanıdı. Bu sahte Plex sunucusuna yapılan saldırı denemeleri kısa sürede tespit edildi ve cihazlara başarılı bir şekilde zararlı yazılım bulaştırıldığı görüldü. Şu ana kadar başarılı saldırılarda iki tür zararlı yazılım tespit edildi:
- Kripto Para Madenciliği Yazılımı: Cihazı, saldırganın kontrolündeki bir cüzdana kripto para madenciliği yapmak için kullanıyor.
- Konut Proxy Yazılımı: Kullanıcıların internet aktivitelerini (birçoğu yasa dışı olabilir) maskelemek için, enfekte olan cihaza bağlanarak trafiği farklı bir hedefe yönlendirmelerine olanak tanıyor.
İkinci araştırmacı, "Plex genellikle ev kullanıcılarının IP adreslerinde barındığı için, tehdit aktörlerinin kurumsal VPN'lere ve e-postalara erişim sağlamak için bu tür konut IP'li proxy'lere ilgi duyacağını düşünüyorum" yorumunu yaptı.
Ortaya çıkarılan istismar zinciri, ilk araştırmacının Plex'e bir hata raporu sunarken dahil ettiği konsept kanıtı saldırısının bir parçasıydı. Bu karmaşık kod, kimlik doğrulaması gerektirmeyen bir sunucu tarafı isteği yönlendirme (SSRF), döngüsel bir yönlendirme, güvenlik token'ı çalma, zararlı yazılım yükleme ve son olarak zararlı yazılımın çalıştırılması gibi bir dizi adımı tamamlıyor. Hata bulucusu, bu istismar zincirini geliştirmek için yapay zekadan yoğun şekilde faydalandığını belirtti. İzlenen adımlar arasında şunlar bulunuyordu:
- Keşif: Sistemi mantıksal bileşenlere ayırmak. Kullanıcı girdisinden tehlikeli bir noktaya kadar tüm yolları haritalamak.
- Avlanma: Bileşen başına odaklanmış güvenlik açığı avı.
- Doğrulama: Her bulguyu çürütmeye çalışan ayrı bir ajan oluşturmak. Eğer hatayı çürütemezse, muhtemelen gerçektir.
- Zincirleme: Birleştirme.
Araştırmacı, "Bu, büyük dil modeline 'Git Plex'i hackle' demekle ilgili değildi. Saatler süren yinelemeli çalışma, çıkmazlar ve önceliklendirme değişikliği söz konusuydu. Neye bakılacağı ve neyin önceliklendirileceği konusundaki tüm yargı kararları bana aitti. Büyük dil modeli bu süreci önemli ölçüde hızlandırdı, böylece daha üst düzeyde kalıp süreci yönlendirebildim" açıklamasında bulundu.
Plex temsilcileri konuyla ilgili sorulara hemen yanıt vermedi.
Plex kullanan herkesin, sunucularının en az 1.43.3 sürümünü çalıştırdığından emin olması gerekiyor. Yazılım, güncellemeleri otomatik olarak yükleyecek şekilde ayarlanabilir veya kullanıcılar tarafından manuel olarak indirilebilir ve kurulabilir. Aktif istismarlar göz önüne alındığında, güncel olmayan sürümlerin derhal güncellenmesi şart. Bunun ötesinde, kullanıcıların medya sunucularını doğru bir şekilde güvence altına almaya özen göstermeleri gerekiyor. En güvenli seçenek, sunucunun internete maruz kalmadan yalnızca yerel ağlara erişimini kısıtlamaktır. Ancak bu seçenek, birçok kullanışlı özelliği devre dışı bırakabilir. Cihazı internete açık hale getirirken bir seçenek, trafiği varsayılan 32400 bağlantı noktası yerine bir ters proxy (reverse proxy) üzerinden yönlendirmektir. Kullanıcılar ayrıca yalnızca güvenli Plex uygulamaları kullanmalı ve elbette güçlü parolalar kullanmak olmazsa olmazdır.
