פלקס שלחה למשתמשים שלה מייל וביקשה מהם לעדכן את שרת המדיה הביתי מיד. זה כשלעצמו נדיר, והחברה עושה את זה רק כשמשהו באמת מטריד אותה. שבוע אחרי כן סופר ארגון המחקר Shadowserver יותר מ-36 אלף שרתים כאלה שחשופים לאינטרנט ועדיין רצים על גרסה פגיעה.

מה קרה

Plex היא תוכנה שמתקינים על מחשב או על כונן רשת ביתי (NAS), והיא הופכת את אוסף הסרטים והסדרות שבבית לשירות סטרימינג פרטי שאפשר לצפות בו מהטלוויזיה, מהטלפון, וגם כשלא נמצאים בבית. כדי שהצפייה מרחוק תעבוד, השרת הביתי נפתח החוצה לאינטרנט. זה בדיוק מה שהופך אותו למטרה נוחה.

החברה הודיעה שגרסאות Plex Media Server 1.43.2 וישנות יותר מכילות כמה חולשות אבטחה, וקראה לעדכן את השרת לגרסה 1.43.3 ואת תוכנת Plex Desktop לגרסה 1.115.0. פרטים על החולשות עצמן היא לא נתנה, וגם מספר מזהה אין להן. מספר כזה, CVE, הוא התקן שבו כל תעשיית האבטחה מזהה חולשה מסוימת ומדברת עליה באותה שפה. בלעדיו, כלי האבטחה שסורקים תוכנות ומחפשים גרסאות בעייתיות פשוט לא מסמנים את הבעיה. "לא הונפקו CVE, ולכן החולשות בלתי נראות לקהילת האבטחה, מה שמגביל תגובה אפקטיבית", כתב Shadowserver, שסורק ומדווח על הנושא מדי יום מאז 4 בספטמבר. פלקס מסרה שביקשה מספרים כאלה ושתפרסם פרטים כשיתקבלו.

המרוץ כאן ברור. כשיוצא תיקון אפשר להשוות בין הגרסה הישנה לחדשה, לראות מה בדיוק שונה, ומשם להסיק מה הייתה הבעיה ולבנות ניצול. התיקון לשרת שוחרר כבר ב-19 במאי, כך שמי שלא עדכן מאז נמצא בפיגור של חודשים.

למה זה חשוב לכם

שרת מדיה ביתי לא נראה כמו יעד מעניין, אבל הוא יושב על אותה רשת ביתית שבה נמצאים גם המחשב שאתם עובדים עליו והטלפון שמחובר ל-Wi-Fi. ב-2022 נוצלה חולשה ישנה ב-Plex על מחשב ביתי של עובד בכיר בחברת LastPass, ולפי הערכות שפורסמו אז זו הייתה נקודת הכניסה לאחת מפריצות הסיסמאות הגדולות של אותה שנה. שרת שנפתח לאינטרנט מהסלון הוא דלת לכל דבר.

מה עושים?

פתחו את ממשק הניהול של השרת ובדקו את מספר הגרסה. אם היא 1.43.2 או נמוכה יותר, עדכנו ל-1.43.3 או חדשה ממנה, ואת Plex Desktop ל-1.115.0.

אם השרת רץ על NAS, ייתכן שהעדכון עדיין לא הופיע בחנות האפליקציות של היצרן. במקרה כזה אפשר להוריד את החבילה מאתר Plex ולהתקין אותה ידנית.

אם אתם לא צופים מחוץ לבית, כבו את הגישה מרחוק בהגדרות השרת. שרת שלא חשוף לאינטרנט לא מופיע בסריקות של אף אחד.

הגדירו לחשבון Plex סיסמה ייחודית שאינה בשימוש באתר אחר, והפעילו אימות דו-שלבי.

ארבעה חודשים בין תיקון זמין לשרת שעדיין רץ על הגרסה הישנה אינם פער טכני. זה חלון ההזדמנויות שתוקפים עובדים בתוכו.