Une mise à jour Plex qui attend depuis quelques semaines mérite probablement de passer avant le prochain épisode. Le chercheur en sécurité ZM a publié les détails de Plex2Shell, une méthode permettant de prendre le contrôle d’un serveur accessible depuis internet, sans même disposer d’un compte.
Des invités qui ne viennent pas regarder un film
Quatre vulnérabilités sont combinées pour y parvenir. Elles concernent les versions de Plex Media Server antérieures à la 1.43.3.10861. Le correctif est donc disponible, mais encore faut-il l’installer. Le principe de l’attaque : tromper le serveur pour récupérer le jeton d’administration de son propriétaire, puis déposer un fichier malveillant. Celui-ci s’exécute lorsque Plex transcode une vidéo, autrement dit lorsqu’il la convertit pour permettre sa lecture sur un appareil.
Un bloggueur anonyme de boredhackerblog a installé une ancienne version du logiciel pour observer les attaques. Le 17 octobre, son serveur volontairement vulnérable a reçu la visite de pirates utilisant le code publié par ZM.
Premier programme installé : un mineur de cryptomonnaies. Un peu plus tard, les attaquants ont ajouté myawesomeproxy, un logiciel permettant à des tiers de faire passer leur trafic par la connexion internet de la victime. Pour eux, c’est un moyen de masquer leur adresse IP derrière une connexion domestique. Pour le propriétaire, c’est une utilisation de son accès internet qu’il n’a jamais demandée.
Et fermer le mineur ne règle pas tout. Nick Percoco, responsable de la sécurité chez les spécialistes de Kraken, a rappelé que le fichier malveillant reste dans le dossier « Codecs » de Plex et peut s’exécuter à chaque transcodage.
ZM a prévenu Plex le 27 juillet. L’entreprise a publié la version corrigée le 4 août et récompensé le chercheur avec une prime de 500 $. Un montant plutôt modeste qui a fait réagir sur les réseaux sociaux, compte tenu de la gravité des vulnérabilités. Plex a ensuite diffusé un avis de sécurité le 1er septembre, et l’entreprise a également écrit aux utilisateurs restés sur une ancienne version.
Le problème, c’est que les mises à jour ne s’installent pas forcément toutes seules. Sous Windows et macOS, le réglage par défaut demande l’accord de l’utilisateur. Linux, Docker et les NAS dépendent d’autres procédures. Résultat : près de 49.000 serveurs étaient encore signalés comme vulnérables le 17 octobre, dont environ 25.100 en Amérique du Nord et 17.600 en Europe. Ce décompte ne dit pas combien ont été piratés. Il donne en revanche une bonne raison de vérifier sa version avant de lancer la prochaine séance !
