近期修复的Plex媒体服务器漏洞正遭到大规模主动利用，攻击成功后会在设备上安装恶意软件，包括加密货币挖矿程序和住宅代理应用，一位安全研究员透露了这一情况。
Plex于上月初修复了四个漏洞。三周后，公开的CVE编号显示共有五个漏洞，其中一个的严重性评分高达8.6分（满分10分）。上周，一位研究员披露了一种利用方式，将其中四个漏洞串联起来，从而在运行存在漏洞的Plex版本的设备上实现远程代码执行。该研究员将这条攻击链命名为"Plex2Shell"。
复杂的漏洞利用链
这些新披露的细节使另一位研究员得以搭建蜜罐，追踪现实世界中针对该漏洞链的攻击尝试。不到一天时间，这位研究员就观察到有人对模拟的Plex服务器展开主动扫描，并最终出现成功感染设备的案例。目前，成功的攻击会安装两种载荷。一种是加密货币挖矿程序，利用受害设备挖矿并将收益存入攻击者控制的钱包。另一种载荷是住宅代理软件，它让人们能够通过连接被感染的设备，将自己的流量转发至最终目的地，从而匿名化自己的网络活动（其中很多属于非法行为）。
"Plex服务器可能托管在住宅IP地址上，我认为威胁行为者会非常乐于获得住宅IP代理，以便访问企业VPN和电子邮件系统，"第二位研究员写道。
公开的漏洞利用链是第一位研究员向Plex提交漏洞报告时附带的概念验证攻击的一部分。这段复杂的代码完成了一系列步骤，包括执行未经身份验证的服务器端请求伪造（SSRF）、环回劫持、安全令牌窃取、载荷投递，以及最终的载荷执行。该漏洞发现者表示，他"大量"使用了AI来开发这条攻击链。其步骤包括：
侦察：将系统拆解为逻辑组件，梳理从用户输入到危险执行点的每一条路径。
搜寻：针对每个组件展开专项漏洞搜寻。
验证：启动一个独立的智能体，尝试反驳每一项发现。如果无法推翻该漏洞，则很可能是真实存在的。
串联：寻找可组合利用的漏洞组合。
"这并不是简单地告诉大语言模型'去黑掉Plex'，"该研究员写道。"这是数小时反复迭代的工作，期间经历过死胡同，也不断重新调整优先级。关于该查什么、该优先关注什么，所有的判断都是我自己做出的。大语言模型大大加快了这一过程，让我能够保持在更高的层面上，只需引导整个流程即可。"
Plex方面未立即回应相关问询。
使用Plex的用户应确保软件运行在1.43.3版本。该软件可配置为自动安装更新，用户也可手动下载安装。鉴于该漏洞正遭到主动利用，使用旧版本的用户应立即升级。此外，用户还应注意妥善保护媒体服务器的安全。最安全的做法是将其访问权限限制在本地网络内，不对互联网开放。不过，这种做法会导致许多实用功能无法使用。如果需要将设备连接至公网，一种可行方案是通过反向代理路由流量，而非使用默认的32400端口。用户还应只使用安全的Plex客户端应用。当然，设置强密码也是必不可少的。
Q&A
Q1：Plex媒体服务器的漏洞具体是什么问题？
A：Plex修复了多个安全漏洞，其中一个严重性评分高达8.6分（满分10分）。研究员发现可以将其中四个漏洞串联利用，实现远程代码执行，这条攻击链被命名为"Plex2Shell"。
Q2：攻击者利用这个漏洞能做什么？
A：攻击成功后会在设备上安装恶意软件，主要包括两种：一是加密货币挖矿程序，用受害设备挖矿获利；二是住宅代理软件，让攻击者借助受害设备匿名转发网络流量，常用于非法活动。
Q3：Plex用户应该怎么防范这类攻击？
A：应立即将Plex升级至1.43.3版本，可设置自动更新或手动安装。同时建议将媒体服务器访问限制在本地网络，若需联网使用，可通过反向代理而非默认端口连接，并设置强密码、使用安全的官方客户端。
