Опубликованная цепочка эксплойтов была частью проверки концепции атаки, которую первый исследователь включил при отправке отчета об ошибке в Plex. Сложный код выполняет ряд шагов, включая выполнение SSRF без аутентификации, циклическую проверку, кражу токена безопасности, доставку полезных данных и, наконец, выполнение полезных данных. Специалист по поиску ошибок сказал, что он «активно» использовал ИИ для разработки цепочки эксплойтов. Включенные шаги:
- Разведка: разбейте систему на логические компоненты. Составьте карту каждого пути от пользовательского ввода до опасной раковины.
- Охота: Целенаправленный поиск уязвимостей для каждого компонента.
- Проверка: создайте отдельного агента, который попытается опровергнуть каждый вывод. Если он не может опровергнуть ошибку, скорее всего, она реальна.
- Цепочка: Найти
«Речь не шла о том, чтобы сказать LLM: «Взломайте Plex», — написал исследователь. “Это были часы итеративной работы, тупиков и пересмотра приоритетов. Все решения о том, что искать и что расставлять приоритеты, были моими. LLM значительно ускоряет этот процесс, позволяя мне оставаться на более высоком уровне и просто руководить процессом”.
Представители Plex не сразу ответили на вопросы.
Любой, кто использует Plex, должен убедиться, что на нем установлена версия 1.43.3. Программное обеспечение можно настроить на автоматическую установку обновлений, или пользователи могут загружать и устанавливать их вручную. Учитывая активную эксплуатацию, устаревшие версии следует немедленно обновить. Помимо этого, пользователи должны позаботиться о надлежащей защите медиа-серверов. Самый безопасный вариант — ограничить доступ к локальным сетям без доступа к Интернету. Однако этот параметр не позволяет использовать многие полезные функции. Одним из вариантов подключения устройства к открытому Интернету является маршрутизация трафика через обратный прокси-сервер вместо использования порта по умолчанию 32400. Пользователи также должны использовать только безопасные приложения Plex. И, конечно же, надежные пароли обязательны.
