Plex Media Server: Οι επιθέσεις ξεκίνησαν και το update δεν σηκώνει άλλη αναβολή
Ο υπολογιστής που κρατά τις ταινίες σου μπορεί να δουλεύει ήδη για κάποιον άλλον. Η Plex επιβεβαιώνει ενεργές επιθέσεις σε μη ενημερωμένους Plex Media Server, με εγκατάσταση λογισμικού που αξιοποιεί την επεξεργαστική ισχύ ή τη σύνδεση των θυμάτων.
Αν ο server σου είναι προσβάσιμος από το internet και τρέχει έκδοση παλιότερη από την 1.43.3.10861, η εταιρεία ζητά να τον αντιμετωπίσεις ως πιθανώς παραβιασμένο. Αυτό το δεύτερο σκέλος έχει σημασία: η ενημέρωση διορθώνει το κενό, αλλά η διαχείριση μιας ήδη υπάρχουσας μόλυνσης χρειάζεται πρόσθετη δουλειά.
Γιατί ο Plex Media Server επανέρχεται τώρα στην επικαιρότητα
Η διόρθωση είχε κυκλοφορήσει από τον Σεπτέμβριο. Η νεότερη επίσημη ενημέρωση ασφαλείας της Plex, στις 19 Οκτωβρίου, επιβεβαιώνει πλέον ευρεία εκμετάλλευση. Περιγράφει τέσσερα κενά που μπορούν να συνδυαστούν ώστε ένας απομακρυσμένος εισβολέας, χωρίς προηγούμενη σύνδεση, να εκτελέσει κώδικα με τα δικαιώματα του server.
Οι εκδόσεις 1.43.3.10861 και νεότερες δεν επηρεάζονται από αυτή την αλυσίδα. Κακόβουλες εγκαταστάσεις έχουν χρησιμοποιηθεί για εξόρυξη κρυπτονομισμάτων και για διοχέτευση ξένης διαδικτυακής κίνησης μέσα από τη σύνδεση του θύματος.
Η δεύτερη χρήση αξίζει προσοχή. Ένας residential proxy δανείζει σε τρίτους τη δημόσια IP μιας οικιακής σύνδεσης. Αντίστοιχα, είχαμε εξετάσει πώς εφαρμογές smart TV μπορούν να αξιοποιούν το bandwidth του σπιτιού. Εδώ η είσοδος γίνεται από ευάλωτο λογισμικό του media server.
Η εφαρμογή στην τηλεόραση και ο server έχουν διαφορετικές ενημερώσεις
Πρώτα βρες ποια συσκευή φιλοξενεί τη βιβλιοθήκη σου. Μπορεί να είναι το NAS, ένα παλιό desktop, ένας Mac ή ένα mini PC που έχει μείνει μόνιμα ανοιχτό. Εκεί τρέχει ο Plex Media Server που πρέπει να ελέγξεις.
Η εφαρμογή με την οποία βλέπεις το περιεχόμενο στην τηλεόραση ή στο κινητό λειτουργεί ως client. Ένα διαθέσιμο update γι’ αυτή δεν αποδεικνύει ότι ενημερώθηκε και ο server. Ούτε το ότι μια ταινία παίζει κανονικά αποτελεί έλεγχο ασφαλείας.
Αν έχεις στήσει τη βιβλιοθήκη πάνω σε NVIDIA Shield TV Pro, έλεγξε και τις ενημερώσεις του Plex Media Server στο Google Play. Η συσκευή μπορεί να εξυπηρετεί περισσότερους ρόλους από τον απλό player που βλέπεις στην τηλεόραση.
Ο πρώτος έλεγχος παίρνει λιγότερο από τη επιλογή μιας ταινίας
Άνοιξε το Plex Web και επίλεξε τον σωστό server στις ρυθμίσεις. Στην ενότητα General θα βρεις την έκδοσή του. Αν έχεις περισσότερους από έναν servers, χρειάζεται να εξετάσεις τον καθένα.
- Σημείωσε την πλήρη έκδοση του Plex Media Server, όχι μόνο τα πρώτα ψηφία.
- Αν είναι παλιότερη από 1.43.3.10861, περιόρισε την πρόσβαση από το internet και εγκατάστησε την κατάλληλη νεότερη έκδοση.
- Μετά την εγκατάσταση και την επανεκκίνηση της υπηρεσίας, επιβεβαίωσε ξανά τον αριθμό μέσα από το Plex Web.
- Αν ο παλιός server ήταν εκτεθειμένος στο internet, συνέχισε με έλεγχο πιθανής παραβίασης.
Πρόσεξε επίσης ποια ένδειξη έκδοσης διαβάζεις. Το Plex Web έχει δικό του αριθμό έκδοσης, διαφορετικό από εκείνον του Media Server. Η επιλογή του σωστού μηχανήματος στο αριστερό μενού σε γλιτώνει από αυτή την αρκετά εύκολη σύγχυση.
Στο NAS και στο Docker, το «είμαι ενημερωμένος» θέλει επιβεβαίωση
Η Plex επισημαίνει ότι η νεότερη έκδοση μπορεί να καθυστερεί να εμφανιστεί στον διαχειριστή πακέτων ενός NAS. Το ότι το κατάστημα του κατασκευαστή δεν προτείνει update δεν αρκεί. Σύγκρινε τον εγκατεστημένο αριθμό με το διορθωμένο όριο και αναζήτησε το κατάλληλο επίσημο πακέτο για το μοντέλο σου.
Στην τεκμηρίωση των γενικών ρυθμίσεων, η εταιρεία ξεχωρίζει τον μηχανισμό ενημέρωσης σε Windows και macOS από τις εγκαταστάσεις Linux και NAS. Οι τελευταίες μπορεί να ενημερώνονται χειροκίνητα ή μέσω των αντίστοιχων αποθετηρίων και εργαλείων διαχείρισης.
Για Docker, ακολούθησε τις οδηγίες του image που χρησιμοποιείς. Το επίσημο plexinc/pms-docker έχει διαφορετική συμπεριφορά ανά tag: τα public και beta κάνουν έλεγχο έκδοσης κατά την εκκίνηση. Μια τυχαία επανεκκίνηση οποιουδήποτε container δεν αποτελεί καθολική μέθοδο αναβάθμισης. Το τελικό κριτήριο παραμένει η έκδοση που αναφέρει η ενεργή υπηρεσία.
Πώς μπορεί να βρέθηκε ο server ανοιχτός προς το internet
Η απομακρυσμένη πρόσβαση είναι βολική όταν θέλεις τη βιβλιοθήκη σου εκτός σπιτιού. Η επίσημη περιγραφή του Remote Access εξηγεί ότι το Plex μπορεί να επιχειρήσει αυτόματη ρύθμιση του router μέσω UPnP ή NAT-PMP. Υπάρχει επίσης η χειροκίνητη προώθηση θύρας.
Επομένως, μην αρκεστείς στο «δεν θυμάμαι να άνοιξα κάτι». Κοίτα τη σελίδα Remote Access και τις σχετικές ρυθμίσεις του router. Αν δεν χρειάζεσαι πρόσβαση εκτός σπιτιού, απενεργοποίησέ την και έλεγξε αν έχει μείνει κάποιος παλιός κανόνας προώθησης.
Η αφαίρεση αυτής της δυνατότητας επηρεάζει την ευκολία χρήσης: δεν θα έχεις την ίδια πρόσβαση όταν λείπεις ή όταν μοιράζεσαι περιεχόμενο με συγγενείς. Για μένα, αυτή είναι μια εύλογη προσωρινή υποχώρηση μέχρι να ολοκληρωθούν οι έλεγχοι στον server.
Πότε χρειάζεται βοήθεια για καθαρή αποκατάσταση
Αν η παλιά εγκατάσταση ήταν εκτεθειμένη, ακολούθησε τις οδηγίες της Plex για διερεύνηση και αποκατάσταση. Μην αντιμετωπίσεις έναν ύποπτο server σαν συνηθισμένο update που απλώς άργησε. Η ολοκλήρωση της εγκατάστασης δεν πιστοποιεί ότι κάθε ανεπιθύμητο πρόγραμμα αφαιρέθηκε.
Όταν υπάρχουν ενδείξεις παραβίασης ή δεν μπορεί να αποκλειστεί μόλυνση, η Plex συνιστά καθαρή επανεγκατάσταση του server, αντί για επαναχρησιμοποίηση του παλιού φακέλου δεδομένων. Ζητά επίσης αποσύνδεση όλων των συσκευών από τον λογαριασμό και αλλαγή κωδικού. Η επαναφορά μιας παλιάς εγκατάστασης χωρίς έλεγχο μπορεί να μεταφέρει μαζί και το πρόβλημα.
Αν δεν γνωρίζεις πώς να ελέγξεις διεργασίες, αρχεία και δικαιώματα πρόσβασης, ζήτησε βοήθεια από τον άνθρωπο που συντηρεί το NAS ή το δίκτυό σου. Πες του ποια έκδοση έτρεχε, αν υπήρχε απομακρυσμένη πρόσβαση και πότε έγινε η ενημέρωση. Αυτά είναι χρήσιμα δεδομένα, όχι μια γενική περιγραφή ότι «το Plex κολλάει».
Αξίζει να καταγραφούν και οι φάκελοι στους οποίους είχε πρόσβαση η υπηρεσία. Στην επίσημη εγκατάσταση Docker, για παράδειγμα, οι φάκελοι που προσαρτώνται στο container και τα δικαιώματά τους καθορίζουν τι μπορεί να δει ο Plex. Ένας media server δεν χρειάζεται αυτομάτως πρόσβαση σε κάθε προσωπικό ή επαγγελματικό αρχείο του αποθηκευτικού σου χώρου.
Ο κωδικός και το HTTPS είναι μέρος της προστασίας
Ένας ισχυρός κωδικός και οι κρυπτογραφημένες συνδέσεις παραμένουν χρήσιμα μέτρα. Η ρύθμιση Secure connections του Plex ελέγχει τον τρόπο επικοινωνίας με τον server. Δεν αντικαθιστά την εγκατάσταση της διορθωμένης έκδοσης του λογισμικού.
Ειδικά εδώ, η δυνατότητα επίθεσης χωρίς προηγούμενη σύνδεση εξηγεί γιατί το «έχω δύσκολο password» δεν αρκεί ως απάντηση. Η προστασία του λογαριασμού, η διόρθωση του server και ο περιορισμός της έκθεσής του αντιμετωπίζουν διαφορετικές πλευρές του προβλήματος.
Το ίδιο μάθημα διατρέχει και τις πιο σύνθετες ιστορίες ασφάλειας, όπως το AdFection και η παράδοση spyware μέσω διαφημίσεων: η προσοχή του χρήστη έχει όρια όταν το ευάλωτο σημείο βρίσκεται στο ίδιο το λογισμικό. Οι δύο περιπτώσεις έχουν διαφορετικό μηχανισμό επίθεσης, αλλά υπογραμμίζουν την αξία των έγκαιρων ενημερώσεων.
Η βιβλιοθήκη σου χρειάζεται και λίγη συντήρηση
Δεν υπάρχει κάποια ιδιαίτερη ελληνική προϋπόθεση για τη διόρθωση. Χρειάζεται η κατάλληλη επίσημη έκδοση για τη συσκευή που φιλοξενεί τον server. Η προειδοποίηση αφορά το ευάλωτο λογισμικό και την έκθεσή του, ανεξάρτητα από το πού βρίσκεται το σπίτι σου.
Αυτό που με ενοχλεί περισσότερο σε τέτοιες περιπτώσεις είναι πόσο εύκολα ξεχνάμε το μηχάνημα μόλις αρχίσει να δουλεύει σωστά. Αφιερώνουμε χρόνο στα εξώφυλλα, στους υπότιτλους και στην οργάνωση των φακέλων, αλλά αφήνουμε τον ίδιο τον server για αργότερα. Βάλε τις ενημερώσεις στην ίδια ρουτίνα. Η επόμενη βραδιά ταινίας θα ξεκινήσει πολύ πιο ήρεμα.
Συχνές ερωτήσεις για τον Plex Media Server
Ποια έκδοση διορθώνει το συγκεκριμένο πρόβλημα;
Η Plex αναφέρει ότι οι εκδόσεις 1.43.3.10861 και νεότερες δεν επηρεάζονται από τη συγκεκριμένη αλυσίδα ευπαθειών. Προτίμησε την κατάλληλη νεότερη επίσημη έκδοση για τη συσκευή σου.
Αρκεί να ενημερώσω την εφαρμογή στην τηλεόραση;
Χρειάζεται να ελεγχθεί ο Media Server στη συσκευή που φιλοξενεί τη βιβλιοθήκη. Η εφαρμογή αναπαραγωγής και ο server έχουν διαφορετικές εκδόσεις.
Γιατί το NAS δεν εμφανίζει ενημέρωση;
Το κατάστημα πακέτων του κατασκευαστή μπορεί να καθυστερεί. Έλεγξε την εγκατεστημένη έκδοση και τις επίσημες επιλογές χειροκίνητης ενημέρωσης για το συγκεκριμένο NAS.
Το HTTPS με καλύπτει από αυτή την επίθεση;
Το HTTPS προστατεύει την επικοινωνία. Ο server εξακολουθεί να χρειάζεται τη διόρθωση ασφαλείας, ακόμη κι αν οι συνδέσεις του είναι κρυπτογραφημένες.
Τι κάνω αν ο παλιός server ήταν ανοιχτός στο internet;
Περιόρισε την έκθεση, ενημέρωσε το λογισμικό και ακολούθησε την επίσημη καθοδήγηση για πιθανή παραβίαση. Ζήτησε τεχνική βοήθεια αν δεν μπορείς να αποκλείσεις μόλυνση.
Μία Απάντηση