QNAP, Plex Media Server açıklarını zincirleyen aktif Plex2Shell saldırıları konusunda uyarıyor: Ön kimlik doğrulaması olmadan RCE

QNAP, saldırganların NAS cihazlarında çalışan Plex Media Server örneklerine karşı Plex2Shell adı verilen bir açık zincirini aktif olarak kullandığı konusunda uyaran bir güvenlik bülteni yayımladı. dev.to üzerinde yayımlanan teknik bir incelemeye göre bu zincir, kullanıcı etkileşimi gerektirmeden kimlik doğrulaması yapılmadan uzaktan kod yürütülmesini sağlamak için birden fazla Plex açığını birleştiriyor. QNAP, müşterilerini Plex Media Server'ı QNAP App Center üzerinden hemen en son sürüme güncellemeye çağırıyor.

Saldırı zinciri nasıl çalışıyor

Analiz çok aşamalı bir sömürü akışı tanımlıyor. Saldırgan önce varsayılan portta (genellikle 32400 veya bir reverse proxy üzerinden erişilebilir) Plex çalıştıran bir QNAP cihazı tespit ediyor; savunmasız endpoint herhangi bir kimlik doğrulaması gerektirmiyor. Ardından Plex Media Server'daki birden fazla açık zincirleniyor — inceleme belirli CVE tanımlayıcıları vermiyor — bu da kısıtlı kaynaklara path traversal, medya metadata ayrıştırması sırasında güvenli olmayan deserialization veya kod enjeksiyonu ve istek manipülasyonu yoluyla kimlik doğrulaması kontrollerinin atlanmasını sağlıyor.

Başarılı bir sömürü, Plex'i çalıştıran kullanıcı olarak kod yürütülmesiyle sonuçlanıyor ve QNAP cihazlarında bu kullanıcı çoğu zaman yükseltilmiş ayrıcalıklara sahip. İncelemeye göre saldırgan buradan altta yatan QTS veya QuTS hero işletim sistemine geçerek NAS paylaşımlarına, diğer servislere ve ek ağ kaynaklarına erişebiliyor; kalıcılık ve veri sızdırma potansiyeli de var. Analiz, bu zinciri herkese açık uygulamaların sömürülmesi, yükseltme-kontrol kötüye kullanımı ve yatay hareket kapsayan MITRE ATT&CK tekniklerine bağlıyor.

Bu cihazlar neden hedef oluyor

QNAP NAS cihazları çoğu zaman hem depolama hem de medya veya uygulama sunucusu olarak çift rol üstleniyor ve geniş bir saldırı yüzeyine sahip zengin özellikli bir uygulama olan Plex, cihaz donanımında genellikle minimal sandbox ile çalışıyor. İnceleme, bir açık kamuya açık hale geldiğinde toplu tarama araçlarının /identity, /resources ve /library/metadata gibi yaygın Plex endpoint'lerini yoklayarak savunmasız örnekleri hızla bulabildiğini belirtiyor. QNAP App Center üzerinden geciktirilen güncellemeler de cihazları bu arada açıkta bırakıyor.

Analiz, olası temel zayıflıkları şu şekilde nitelendiriyor: güvenilmeyen nesnelerin güvensiz deserialization'ı, çalma listesi veya metadata endpoint'lerinde sunucu tarafı template injection, medya kütüphanesi taraması veya API yollarında dizin geçişi (directory traversal) ve MP3 etiketleri gibi medya metadata'sının yetersiz doğrulanması — ancak bunu doğrulanmış bir döküm rather than içerilen kategorilere dair bir değerlendirme olarak sunuyor.

Neye dikkat etmeli

Tespit için inceleme, ağ düzeyinde göstergeler sıralıyor: 32400 portuna veya Plex reverse-proxy yollarına alışılmadık dış HTTP veya HTTPS istekleri, User-Agent, referer veya metadata parametrelerine gömülü payload'lar, kütüphane taraması veya güncelleme endpoint'lerine binary veya kodlanmış veri taşıyan POST istekleri ve Plex sürecinden harici komuta-kontrol altyapısına giden giden bağlantılar.

Host tarafındaki uyarı işaretleri arasında Plex sürecinin beklenmedik şekilde bash veya sh gibi shell yorumlayıcıları başlatması veya sistem binary'lerini çalıştırması, değiştirilmiş UID veya GID ile başlatılan yeni süreçler ve Plex bağlamından sistem dizinlerine veya NAS paylaşımlarına beklenmeyen dosya yazımları yer alıyor. QNAP'a özgü sinyaller ise /var/log/auth.log içindeki ayrıcalık yükseltme girişimleri, QNAP'ın yerleşik kötü amaçlı yazılım tarayıcısının uyarıları ve medya sunucusunun metadata dizini altındaki Plex cache veya veritabanı dosyalarında anormal büyüme.

Önerilen önlemler

İlk öneri, yamalı sürümün kurulduğu doğrulanana kadar güncellemeleri her gün kontrol ederek Plex Media Server'ı QNAP App Center üzerinden güncellemek. Analizden ek adımlar:

• Yerleşik yamaya kadar Plex Remote Access'i devre dışı bırakın.

• 32400 portuna erişimi QNAP firewall veya yukarı akış erişim kontrol listeleri kullanarak yalnızca güvenilen alt ağlarla sınırlayın.

• Yama gecikirse, saldırı vektörünü ortadan kaldırmak için Plex servisini QNAP kontrol panelinden geçici olarak durdurun.

• QNAP'ın yerleşik kötü amaçlı yazılım taramasını etkinleştirip tam sistem taraması çalıştırın ve şüpheli etkinlik için Plex loglarını inceleyin.

• Plex'in minimal ayrıcalıklarla çalıştığını ve kütüphane erişimi için kimlik doğrulamasının zorunlu olduğunu doğrulayın.

• Uzun vadede: NAS cihazlarını kritik sistemlerden ayırın, IDS veya host tabanlı tespit dağıtın, süreç başlatmalarını ve ağ çıkış trafiğini izleyin, kullanılmayan uygulamaları denetleyin veya kaldırın.

Neden önemli

Tüm amacı kişisel dosyaları, yedekleri ve medyayı depolamak olan donanımda kimlik doğrulaması gerektirmeyen, uzaktan tetiklenebilir bir RCE, ev ve küçük ofis kullanıcıları için neredeyse en kötü senaryo. Bu olay ayrıca analizdeki daha geniş bir noktayı vurguluyor: ağ cihazlarına kurulan üçüncü taraf uygulamalar tedarik zinciri tarzı risk taşır ve cihazın işletim sisteminin kendisiyle aynı yama disiplinini hak eder. Savunmasız bir Plex örneğiyle herkese açık erişilebilen herhangi bir cihaz potansiyel olarak ele geçirilmiş kabul edilmeli; loglar incelenmeli, kalıcılık kontrol edilmeli ve NAS paylaşımlarındaki dosya erişimi izlenmelidir. İnceleme, ağ segmentasyonunun, saldırganın ilk ayak izini kazandıktan sonra yapabileceği hasara güvenilir frenlerden biri olmaya devam ettiği sonucuna varıyor.