Цепочка уязвимостей в Plex Media Server: SSRF и запросы с 127.0.0.1 ведут к полному контролю

В начале сентября разработчики Plex предупредили пользователей о необходимости обновиться до Plex Media Server 1.43.3. Позже были опубликованы детали уязвимостей и демонстрационный код. Независимый исследователь с помощью ИИ нашёл серию уязвимостей, последовательная эксплуатация которых даёт полный контроль над непропатченным сервером.

Хронология

1. Начало сентября: Plex предупреждает о необходимости обновиться до Plex Media Server 1.43.3.
2. Позже: публикуются детали уязвимостей и демонстрационный код.
3. Исследователь под ником Zmain обнаружил четыре уязвимости, которые при последовательной эксплуатации дают полный контроль над сервером.

Четыре уязвимости

Речь идёт о четырёх уязвимостях: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656. По данным источника, они эксплуатируются последовательно, а не по отдельности.

Как работает атака: SSRF как точка входа

Атака начинается с эксплуатации проблемы класса Server-Side Request Forgery (SSRF). Затем используется особенность медиасервера по-разному обрабатывать входящие запросы в зависимости от их источника.

Запросы с 127.0.0.1 без авторизации

Для запросов из Сети требуется валидный токен доступа. Внутренние запросы с адреса 127.0.0.1 не требуют авторизации. Эту разницу и использует цепочка уязвимостей.

Пользовательский и администраторский токены

Помимо пользовательских токенов существует токен администратора, который обеспечивает полный контроль над сервером. Разница в правах определяет масштаб последствий успешной эксплуатации.

Кто нашёл уязвимости и роль ИИ

Уязвимости обнаружил независимый исследователь под ником Zmain. Поиск он вёл с помощью ИИ — это пример того, как инструменты на базе ИИ помогают находить серии связанных проблем, а не единичные ошибки.

Демонстрационный код и исправление

Вместе с деталями уязвимостей опубликован демонстрационный код. Исправление доступно в Plex Media Server 1.43.3 — до этой версии Plex и рекомендовал обновиться.

Как защитить сервер

• Проверьте версию Plex Media Server и обновитесь до 1.43.3 или более новой.
• Не оставляйте медиасервер доступным из недоверенных сетей без необходимости.
• Следите за публикациями Plex о безопасности и деталями по указанным CVE.
• Ограничьте права и доступы, связанные с администраторским токеном.