Plex Media Serverの4脆弱性を連鎖させる未認証RCE「Plex2Shell」が公開　PoC公開後に旧版への攻撃報告、1.43.3.10861以降へ更新を

Plex2Shellは、Plex Media Server（PMS）の4件の脆弱性をつないで未認証RCEに至る攻撃チェーン。起点は companion protocol の /player/timeline で、X-Plex-Token ヘッダーは値の正当性を確認せず存在だけを見ていたため、任意の文字列で通過できた。さらに protocol パラメーターに完全なURLを入れるとサーバー自身が127.0.0.1へPOSTするSSRFになる。ループバックからはトークン不要で開く /system/agents/* のプラグインAPIに到達でき、識別子チェックの不備とURLへの未エスケープな埋め込みにより任意のプラグイン関数を呼び出せた。プラグイン基盤は http://127.0.0.1 で始まるURLへの通信にオーナーの管理トークンを自動付与するが、前方一致のため 127.0.0.1.<攻撃者>.sslip.io のようなホスト名でもトークンが外部へ送られた。奪ったオーナートークンでトランスコーダー設定 TranscoderH264Options に x264 の dump-yuv を指定し、可逆エンコードした動画のフレームとして共有ライブラリをCodecsディレクトリへ書き込ませ、次回のトランスコード時に dlopen されてコードが実行される。脆弱性は7月27日に報告され、9月23日にCVEが割り当てられた。修正版は1.43.3.10861。10月18日にはRedditのPlexコミュニティで、旧版を動かしていたハニーポットが17日未明に侵害されマイナーとプロキシが設置されたとの報告があったが、Plexや米CISAによる大規模悪用の公式な確認は出ていない。PMSをインターネットに公開している場合は、ビルド番号まで含めて1.43.3.10861以降か確認し、NASパッケージやDockerイメージの更新漏れ、Codecsフォルダー内の不審なファイルや異常なCPU使用率を点検する必要がある。