Цепочка из четырёх уязвимостей в Plex Media Server позволяет захватить полный контроль над сервером
Разработчики медиасервера Plex выпустили обновление до версии 1.43.3 после того, как независимый исследователь обнаружил сразу четыре уязвимости, последовательная эксплуатация которых даёт полный контроль над непропатченным сервером. В начале сентября пользователей призвали срочно обновиться, а на прошлой неделе были опубликованы технические детали и демонстрационный код. Уязвимы все инсталляции Plex Media Server, не получившие патч.
Подробности
Исследователь, известный под ником Zmain, обнаружил сразу четыре уязвимости: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656. Атака начинается с эксплуатации достаточно простой проблемы класса Server-Side Request Forgery (SSRF). Ключевую роль играет особенность медиасервера по-разному обрабатывать входящие запросы в зависимости от их источника. Для запросов из Сети, ожидаемо, требуется наличие валидного токена доступа. А вот внутренние запросы, пришедшие с адреса 127.0.0.1, не требуют никакой авторизации. Помимо пользовательских токенов в Plex существует также токен администратора, обеспечивающий полный контроль над сервером. Комбинируя SSRF с особенностями обработки локальных запросов, исследователь выстроил цепочку, которая в итоге приводит к компрометации административного токена и, как следствие, к полному захвату сервера. Уязвимыми оказались версии Plex Media Server до 1.43.3 включительно; исправление выпущено в релизе 1.43.3.Что делать
Главная рекомендация — как можно скорее обновиться до Plex Media Server 1.43.3 или более поздней версии. Поскольку детали уязвимостей и демонстрационный код уже опубликованы, окно между раскрытием информации и попытками эксплуатации минимально. Дополнительно стоит проверить, не был ли сервер скомпрометирован до обновления: просмотрите журналы на предмет подозрительных внутренних запросов и обращений к административным функциям, проверьте активные токены и при необходимости перевыпустите токен администратора. Если Plex Media Server доступен из интернета, ограничьте доступ к нему — например, спрячьте его за VPN — и не публикуйте сервис напрямую во внешнюю сеть без необходимости. Также имеет смысл проверить сетевую сегментацию: SSRF-атаки особенно опасны там, где сервер может обращаться к внутренним ресурсам. Итог: цепочка уязвимостей в Plex демонстрирует, насколько опасны особенности обработки локальных запросов без авторизации — в сочетании с SSRF они превращаются в путь к полному захвату сервера. Единственная надёжная мера — своевременное обновление до 1.43.3.Источник: Хабр — Информационная безопасность