Sicherheitsforscher haben weltweit mehr als 36.000 öffentlich erreichbare Plex-Media-Server-Instanzen entdeckt, die weiterhin anfällig für mehrere Sicherheitslücken sind, die in kürzlichen Updates geschlossen wurden.
Plex schloss die Schwachstellen in Media Server Version 1.43.3 und Plex Desktop Version 1.115.0, die Anfang September veröffentlicht wurden. Das Unternehmen warnte, dass Angreifer vorherige Versionen über mehrere nicht offengelegte Schwachstellen ausnutzen können, hat jedoch bisher keine Einzelheiten zur Anzahl der Schwachstellen, ihren CVSS-Schweregraden oder den Folgen eines erfolgreichen Angriffs veröffentlicht. CVE-Nummern wurden beantragt, aber noch nicht vergeben.
Scans der Shadowserver Foundation bestätigten, dass 36.000 Instanzen weiterhin öffentlich erreichbar und ausnutzbar sind. Die Vereinigten Staaten stehen mit 16.000 Systemen an erster Stelle; Deutschland folgt mit knapp 1.550. Betroffene Plattformen umfassen Linux, macOS, Windows und NAS-Geräte.
Plex merkte an, dass gepatchte Pakete möglicherweise noch nicht für alle Paketmanager verfügbar sind, was in einigen Fällen eine manuelle Installation erfordert. Das Unternehmen forderte Administratoren auf, umgehend zu aktualisieren und das Patchen nicht zu verzögern.
Bisher wurden keine aktiven Exploits gemeldet, aber die Kombination aus öffentlich erreichbaren Instanzen, nicht offengelegten Schwachstellendetails und der Verzögerung bei der Patch-Bereitstellung schafft ein Risikofenster. Plex-Media-Server verarbeiten üblicherweise persönliche Mediensammlungen und werden häufig für den Fernzugriff mit dem Internet verbunden, was ungepatchte Instanzen zu attraktiven Zielen macht.
