Plex: цепочка уязвимостей, которая приводит к полному контролю

Лента принесла материал о публикации уязвимостей в Plex Media Server — и сразу стало понятно, что это не про «ещё один патч». Это цепочка, где одна ошибка ведёт к другой, а в итоге — полный контроль над сервером.

Прочитал у Plex, что вышла версия 1.43.3 с исправлением четырёх уязвимостей, включая SSRF с обходом авторизации через 127.0.0.1, утечку токена администратора и возможность выполнения произвольного кода через .so-файлы. Особое внимание — на том, как система обрабатывает запросы: локальные, пришедшие с 127.0.0.1, не требуют токена, а любая строка, начинающаяся с этого адреса, считается «внутренней». Это и стало точкой входа.

Считаю, что самое опасное здесь — не конкретная уязвимость, а то, как они работают вместе. Одна ошибка в валидации URL открывает путь к обходу проверки, потом — к утечке токена, потом — к загрузке вредоносного кода через функцию транскодирования. Это не просто «сломали», а «взломали по инструкции». Атака была активна уже через день после публикации PoC — значит, боты уже сканируют.

Уже начал проверять, кто у меня на поддержке использует Plex. У тех, кто не обновил — поставил в план на неделю. Уже сегодня проверю, какие версии в работе, и начну обновлять с приоритетом. У себя сделал резервную копию, но не стал ждать — обновление включил сразу. Потому что настройка безопасности — это не «а что, если».