Synology udsender Plex-opdatering mod fejl, der udnyttes i angreb

Synology har søndag den 8. november offentliggjort en sikkerhedsopdatering til Plex Media Server på sine netværksdiske. Opdateringen lukker fire sårbarheder, som angribere kan kombinere for at køre kode på en server uden at logge ind. Plex har bekræftet, at sårbarhederne udnyttes mod ældre servere, der kan nås fra internettet. Danske ejere, der har installeret Plex på en Synology-enhed, kan nu sammenholde pakken på deres enhed med de versionsnumre, producenten angiver.

To pakkeversioner afhængigt af DSM

Synology angiver mindst version 1.43.5.11079-720011079 af Plex Media Server for DSM 7.3 og 7.4. På DSM 7.2.1 og 7.2.2 er den tilsvarende pakke 1.43.5.11079-700011079. DSM er styresystemet på netværksdisken. Det lange nummer henviser til Plex-pakken, der kører oven på styresystemet. En nylig opdatering af DSM fortæller derfor ikke i sig selv, hvilken Plex-version der er installeret.

Synologys meddelelse dækker de fire nævnte DSM-versioner. Ejere med en anden version eller en særskilt installation bør kontrollere, hvordan netop deres Plex-server holdes opdateret. En NAS er en netværksdisk, der ofte bruges til både sikkerhedskopier og delte filer. Har ejeren installeret Plex, kan samme enhed også sende musik og video til eksempelvis et fjernsyn. Det er den serverfunktion, der er berørt. Plex-appen på fjernsynet er afspilleren. Opdateringen hører til på den enhed, der sender filmen til fjernsynet.

Fire fejl kan bruges sammen

Fejlene går under navnet Plex2Shell. De fire sårbarheder har hver deres nummer i det internationale CVE-register. Angrebskæden gør det muligt at udnytte flere svagheder efter hinanden og til sidst få Plex-processen til at køre kode, som angriberen har lagt ind. Hvad koden derefter kan gøre, afhænger blandt andet af de rettigheder, Plex har på enheden. På en netværksdisk, hvor medieserveren deler plads med andre tjenester, har det derfor betydning, hvilke mapper og filer processen har adgang til.

Plex oplyste den 19. oktober, at selskabet havde set udbredte angreb, efter at en offentlig demonstration af metoden kom frem den 16. oktober. Det amerikanske cybersikkerhedsagentur CISA optog blandt andet den fejl, der gør det muligt at skrive filer på serveren, i sit katalog over udnyttede sårbarheder den 20. oktober. Plex har set kompromitterede servere blive brugt til at udvinde kryptovaluta og til at sende trafik videre for andre. De observationer viser, hvordan adgangen kan udnyttes. De fortæller ikke, hvor mange enheder der er ramt i Danmark.

QNAP har fået henvendelser fra brugere

Opdateringen fra Synology følger efter en særskilt advarsel fra QNAP. Producenten oplyste fredag den 6. november, at nogle brugere havde henvendt sig om Plex-installationer, der så ud til at være kompromitteret. Producentens support hjælper de berørte. QNAP oplyser, at fejlen ligger i Plex-programmet, og henviser sine kunder til en opdateret udgave i QNAP App Center. Her angiver QNAP 1.43.3.10861 som den laveste version med rettelsen.

Den forskel i versionsnumrene afspejler, at producenterne distribuerer forskellige pakker af programmet. En QNAP-bruger kan derfor følge QNAPs versionskrav, mens en Synology-bruger skal se efter pakken til sin DSM-version. Brugere, der kører Plex på en almindelig computer eller en anden type server, kan kontrollere deres version hos Plex.

En opdatering og et eftersyn løser hver sin opgave

For ejere med Plex installeret via Synologys pakkecenter er næste skridt at åbne oversigten over installerede pakker og se, om Plex kan opdateres. Synology beskriver også, hvordan en kompatibel pakke kan installeres manuelt via pakkecentret. Bagefter kan ejeren kontrollere versionsnummeret for selve serveren.

Hvis en gammel installation har kunnet nås fra internettet, bør ejeren samtidig overveje, om den allerede kan være blevet ramt. Det kan for eksempel være tilfældet, hvis fjernadgang har været slået til, og routeren har sendt trafik videre til Plex. QNAP understreger, at en opdatering ikke fjerner programmer, som en angriber allerede har installeret. Ved mistanke anbefaler producenten at bevare Plex-logfilerne, før programmet fjernes, så supporten kan undersøge forløbet. Plex anbefaler også at slå fjernadgang fra, hvis den ikke bruges. Ved tegn på indbrud anbefaler Plex at genopbygge installationen fra en ren pakke frem for at genbruge programmets gamle datamappe.