Güvenlik araştırmacıları, güncellemelerde yamalanan birden fazla güvenlik açığına karşı hala savunmasız olan dünya genelinde 36.000'den fazla herkese açık Plex medya sunucusu örneği keşfetti.
Plex, zafiyetleri Eylül ayı başında yayınlanan Media Server sürüm 1.43.3 ve Plex Desktop sürüm 1.115.0'da yamaladı. Şirket, saldırganların önceki sürümleri henüz açıklanmamış birden fazla güvenlik açığı aracılığıyla istismar edebilecekleri konusunda uyardı, ancak zafiyetlerin sayısını, CVSS ciddiyet derecelendirmelerini veya başarılı bir istismar sonrasında saldırganın ne yapabileceğini henüz ayrıntılı olarak açıklamadı. CVE numaraları talep edildi ancak henüz atanmadı.
Shadow Foundation taramaları, 36.000 örneğin hala herkese açık olarak erişilebilir ve istismar edilebilir olduğunu doğruladı. Amerika Birleşik Devletleri bu sistemlerin 16.000'ini oluşturuyor; Almanya yaklaşık 1.550 ile onu takip ediyor. Etkilenen platformlar Linux, macOS, Windows ve NAS cihazlarını içeriyor.
Plex, yamalı paketlerin henüz tüm paket yöneticileri için mevcut olmayabileceğini ve bazı durumlarda manuel kurulum gerektiğini belirtti. Şirket yöneticilerin hemen güncellemelerini ve yamalamayı geciktirmemelerini tavsiye etti.
Şu ana kadar aktif bir istismar raporlanmamış olsa da, herkese açık olarak erişilebilir örnekler, henüz açıklanmamış güvenlik açığı detayları ve yama dağıtımı arasındaki gecikme bir risk penceresi oluşturuyor. Plex medya sunucuları genellikle kişisel medya kütüphanelerini işler ve uzaktan erişim için genellikle internete açık olur, bu da yamalanmamış örnekleri cazip hedefler haline getirir.
