В начале сентября разработчики медиасервера Plex предупредили пользователей о необходимости обновиться до версии Plex Media Server 1.43.3. На прошлой неделе были опубликованы детали уязвимостей, а также демонстрационный код. Независимый исследователь с помощью ИИ нашел целую серию уязвимостей, последовательная эксплуатация которых позволяет получить полный контроль над непропатченным сервером.
Как выяснилось, исследователь, известный под ником Zmain, обнаружил сразу четыре уязвимости (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656). Атака начинается с эксплуатации достаточно простой проблемы класса Server-Side Request Forgery. Но здесь также задействуется особенность медиасервера, который по-разному обрабатывает входящие запросы, в зависимости от их источника. Так, для запросов из Сети, ожидаемо, требуется наличие валидного токена доступа. А вот внутренние запросы, пришедшие с адреса 127.0.0.1, не требуют никакой авторизации. Помимо пользовательских токенов есть также токен администратора, обеспечивающий полный контроль над сервером.
В итоге подготовленный запрос к серверу приводит к тому, что Plex сам отправляет на URL атакующего токен администратора. Точнее, речь идет о целой серии запросов, а возможность атаки обеспечивается в том числе за счет серьезной ошибки в валидаторе URL: любой адрес, строка которого начинается с 127.0.0.1, обрабатывается по «локальным» правилам доступа. Получив токен администратора сервера, потенциальный злоумышленник может выполнить на нем произвольный код, но и эта стадия атаки оказывается достаточно сложной.
Вредоносный код доставляется через встроенную в медиасервер функцию транскодирования медиафайлов. Серверу отдается команда на воспроизведение видеофайла с определенными опциями энкодера формата x264. В «видеоролике», который предлагается транскодировать, на самом деле сохранен вредоносный код, он сохраняется на сервере в виде файла с расширением .so. Финальная ошибка, благодаря которой атака становится возможной, загружает и выполняет любой файл с расширением .so. В итоге «подкинутый» вредоносный код автоматически выполняется с привилегиями пользователя Plex.
Исследователь Zmain передал разработчикам Plex информацию об обнаруженных уязвимостях в конце июля. В начале сентября они выпустили пропатченную версию медиасервера, а в конце сентября соответствующие уязвимости получили идентификаторы CVE. Согласно независимым свидетельствам, 17 октября, всего через день после публикации деталей уязвимостей и кода Proof of Concept, уязвимые серверы Plex подверглись атаке. На взломанные серверы устанавливается прокси-сервер и ПО для майнинга криптовалют.
Что еще произошло
До 350 супермаркетов во Франции подверглись атаке на устаревшие контроллеры холодильников. Злоумышленники смогли подключиться к контроллерам компании Danfoss и перевести холодильные установки в режим разморозки. По данным специализированного поисковика Shodan, всего из Сети было доступно 4,5 тысячи устройств производства Danfoss.
Производитель криптокошельков Ledger приостановил продажи своих устройств по всей Юго-Восточной Азии. Это произошло после обнаружения аппаратных имплантов в ряде устройств, о чем мы подробно писали в предыдущей публикации. Также стало известно, что импланты в устройствах Ledger были обнаружены еще в августе, и производитель был о них проинформирован. Здесь опубликован список подтвержденных случаев обнаружения импланта — включая один инцидент в России.
В октябрьском наборе патчей для продуктов Microsoft снова побит рекорд по количеству закрытых уязвимостей — 1414 штук. Подробнее о закрытых проблемах можно прочитать в блоге «Лаборатории Касперского».
Критическая уязвимость закрыта в ПО GitLab Community и Enterprise Edition.
Очередная серьезная уязвимость (с красивым номером CVE-2026-99999) обнаружена в ядре Linux. Уязвимость получила название PwnEscape и позволяет процессу внутри виртуальной машины читать содержимое памяти хоста.
Зафиксирована очередная атака на публичный репозиторий AUR для пользователей дистрибутива Arch Linux. В этот раз вредоносные пакеты на один-два символа отличаются от названий популярных утилит, таких как yay и paru.