Критические уязвимости в Plex Media Server: как защитить сервер от взлома и майнеров

Пользователям сетевого медиасервера Plex необходимо срочно обновить программное обеспечение из-за активной эксплуатации критических уязвимостей в устаревших версиях. Злоумышленники используют уязвимости Plex Media Server для удаленного выполнения кода, развертывания скрытых майнеров и превращения серверов в прокси-узлы.

Разработчики выпустили обновления, закрывающие бреши безопасности. Пользователям доступных из интернета серверов рекомендуется проверить текущий номер сборки, оценить систему на предмет следов компрометации и при необходимости провести полную переустановку.

Критические уязвимости и активность злоумышленников в Plex Media Server

В релизе Plex Media Server 1.43.3 исправлен комплекс уязвимостей с идентификаторами CVE, цепочка которых позволяет неавторизованному удаленному нападающему выполнить произвольный код с правами процесса медиасервера. Защищенными от данной проблемы являются сборки Plex Media Server 1.43.3.10861 и более свежие версии (включая 1.43.5.11029).

Публичное описание концепта атаки (Proof of Concept) было обнародовано 16 октября. С этого момента зафиксированы массовые попытки взлома серверов, подключенных к внешней сети без актуальных патчей. На скомпрометированных машинах злоумышленники разворачивают майнеры криптовалюты и специализированное прокси-ПО, перенаправляющее сторонний интернет-трафик через IP-адрес жертвы.

Если сервер работает на версии ниже 1.43.3.10861 и открыт для внешних подключений из интернета, его следует считать потенциально взломанным.

Инструкция по проверке сервера и устранению последствий взлома

Для предотвращения несанкционированного доступа и очистки системы необходимо последовательно выполнить ряд технических шагов.

Проверка текущей версии и установка обновлений

Чтобы узнать текущую версию ПО, откройте веб-интерфейс Plex Web, перейдите в раздел «Настройки» (Settings) и выберите вкладку «Основные» (General). Если указанный номер сборки предшествует 1.43.3.10861, необходимо сразу установить актуальный дистрибутив для вашей операционной системы.

Признаки компрометации системы

Наличие следующих факторов указывает на то, что сервер подвергся взлому:

• Запуск посторонних процессов от имени службы Plex Media Server (в частности, процессов с названиями myawesomeproxy, mylovelyminer или x12345).
• Появление неизвестных динамических библиотек с расширениями .so или .dll внутри системной папки Codecs.
• Наличие фоновых исходящих сетевых соединений с узлом proxystream.st.
• Постоянная высокая загрузка процессора при отсутствии активных сеансов воспроизведения видео или транскодирования.

Действия при обнаружении следов взлома

Если присутствуют признаки проникновения или уязвимый сервер долгое время находился в сети без обновлений, рекомендуется полностью пересобрать сервер на базе чистой установки, не перенося прежний каталог данных Plex. Если полная переустановка невозможно, следует как минимум очистить содержимое папки Codecs и изучить файл Preferences.xml на наличие сторонних параметров транскодера.

Также необходимо выйти со всех устройств через настройки учетной записи Plex и сменить пароль аккаунта. Учтите, что любые локальные диски, сетевые шары и сохраненные учетные данные, к которым имела доступ служба Plex, могли оказаться скомпрометированными. Если внешнее подключение к медиатеке не требуется, отключите его в меню «Настройки» → «Удаленный доступ» (Settings → Remote Access) и закройте прямой проброс порта 32400.

Возможности и принцип работы экосистемы Plex

Платформа Plex предназначена для объединения персональной медиаколлекции и сторонних онлайн-сервисов в едином интерфейсе. Архитектура решения состоит из двух ключевых компонентов: серверной части (Plex Media Server) и клиентских приложений для воспроизведения.

При использовании исключительно внешних сервисов (фильмы по запросу, бесплатные ТВ-каналы, подкасты, стриминг музыки TIDAL) достаточно зарегистрировать учетную запись и установить клиент на смартфон, Smart TV, компьютер или открыть веб-приложение в браузере. Для трансляции собственного контента потребуется развернуть серверную часть на компьютере или сетевом накопителе (NAS).

Сервер автоматически сканирует добавленные папки, каталогизирует файлы, скачивает обложки, постеры, текстовые описания и метаданные. Система запоминает прогресс просмотра, позволяет продолжать воспроизведение с места остановки на любом устройстве и выводит недавно добавленные медиафайлы на главный экран.

Поддерживаемые форматы и совместимость платформ

Серверная часть Plex Media Server поддерживает работу на всех популярных операционных системах и оборудовании:

• Операционные системы: Windows (32-bit и 64-bit), macOS, Linux.
• Сетевые накопители (NAS): Synology, QNAP, Netgear, Drobo и другие популярные модели.
• Специализированные устройства: Nvidia Shield, роутер Netgear Nighthawk X10.

Клиентские приложения доступны для большинства клиентских устройств:

• Веб-браузеры: Chrome, Edge, Firefox, Safari.
• Мобильные платформы и планшеты: iOS, Android.
• Настольные ПК: macOS и Windows (включая специализированное приложение Plex Home Theater для домашнего кинотеатра и HTPC).
• Smart TV: LG, Samsung, Hisense, VIZIO, Roku TV.
• Стриминговые консоли и медиаплееры: Apple TV, Android TV, Amazon Fire TV, Chromecast, Roku, Portal от Facebook.
• Игровые приставки: PlayStation и Xbox.

Сервер поддерживает воспроизведение всех стандартных медиаформатов. Для видео поддерживаются контейнеры и кодеки MP4, MKV, AVI, MOV, DIVX, WMV, ASF, MPEG, MPEGTS, а также разрешение 4K/UHD. Для аудио поддерживаются форматы MP3, M4A, FLAC, AAC, ALAC, E-AC3, WAV и WMA. Для графических файлов — JPG, PNG, RAW, TBN.

Безопасность соединений, списки воспроизведения и шеринг

Все медиасерверы Plex используют бесплатные SSL-сертификаты от центра сертификации DigiCert. Это обеспечивает сквозное шифрование трафика между сервером и клиентскими устройствами, защищая данные от перехвата в локальных и внешних сетях.

Пользователи могут создавать пользовательские списки воспроизведения на основе жанров, настроения или коллекций, а также импортировать существующие плейлисты, оценки и счетчики прослушиваний из iTunes. Дополнительно поддерживаются функции трансляции музыкального видео Vevo и автозаполнение метаданных через Gracenote.

Платформа позволяет организовывать совместный доступ к медиатеке для друзей и членов семьи. Каждый пользователь получает индивидуальное представление каталога, а владелец сервера может видеть, какой контент воспроизводят подключенные учетные записи. При наличии ТВ-тюнера и соответствующей подписки поддерживаются функции цифрового видеомагнитофона (DVR) для записи эфирного телевидения.

Альтернативные медиасерверы

Если требуется подобрать альтернативное программное обеспечение для трансляции медиафайлов по локальной сети и через интернет, можно рассмотреть следующие варианты:

• Jellyfin — полностью бесплатный медиасервер с открытым исходным кодом, не содержащий платных подписок и ограничений по функциям. Работает на Windows, macOS и Linux.
• Serviio — медиасервер для потоковой трансляции видео, музыки и изображений на домашние устройства по протоколам DLNA/UPnP (ТВ, консоли, мобильные телефоны).
• J. River Media Center — каталогизатор и плеер для комплексного управления локальными библиотеками музыки, фото и видео на ПК.