In questo articolo Indice dei contenuti 2 sezioni
La CISA, l’agenzia statunitense che si occupa di sicurezza informatica e protezione delle infrastrutture, ha diffuso un avviso che riguarda da vicino chi usa Plex Media Server per gestire la propria libreria multimediale. Alcuni gruppi di criminali informatici stanno infatti sfruttando attivamente quattro vulnerabilità del software, raccolte sotto il nome di Plex2Shell. Prese singolarmente fanno già danni, ma concatenate in un unico attacco permettono di sottrarre il token di amministrazione del proprietario e di eseguire codice con privilegi elevati.
Per chi non lo conoscesse, Plex Media Server è una suite molto diffusa che aiuta a organizzare collezioni personali di film, serie TV, musica e fotografie, per poi trasmetterle in streaming su altri dispositivi di casa oppure da remoto via internet. Proprio questa diffusione rende il problema piuttosto serio. La CISA ha chiesto alle agenzie federali di dare priorità all’aggiornamento dei sistemi coinvolti, o in alternativa di applicare misure di mitigazione, entro il 23 ottobre.
Come funziona la catena di attacco Plex2Shell
Le falle sono state individuate dal ricercatore Zach Main, che le ha segnalate a Plex in modo responsabile il 27 luglio. Le singole vulnerabilità hanno una gravità che va da media ad alta, ma l’intera catena di exploit ottiene secondo il ricercatore un punteggio critico di 9.8. Il motivo sta tutto nel modo in cui i difetti si incastrano uno dopo l’altro.
Il primo anello è una falla di tipo SSRF nell’endpoint dedicato alla timeline del player, che consente a un aggressore senza alcuna autenticazione di far inviare a Plex richieste POST verso destinazioni arbitrarie, comprese le sue stesse API interne. Segue una vulnerabilità di URL injection nella funzione searchOne, grazie alla quale è possibile richiamare funzioni di altri plugin passando parametri scelti dall’attaccante. Il terzo difetto è un’altra SSRF, stavolta autenticata, nell’endpoint del transcoder, che permette di far contattare a Plex indirizzi interni o esterni a piacere. L’ultimo tassello riguarda le impostazioni del transcoder, dove una falla di scrittura arbitraria dei file consente a un amministratore di piazzare librerie condivise malevole. Plex poi le carica, e a quel punto si arriva all’esecuzione di codice.
Il 16 ottobre il ricercatore ha pubblicato tutti i dettagli tecnici di Plex2Shell e tre giorni dopo è arrivato anche un exploit dimostrativo, il cosiddetto proof of concept. Nel frattempo, già dal 17 ottobre, hanno iniziato a circolare segnalazioni di attacchi reali, inizialmente rivolti contro honeypot Plex allo scopo di installare un miner di criptovalute. Sono vulnerabili tutte le versioni di Plex Media Server precedenti alla 1.43.3.10861, rilasciata il 4 agosto.
Nel mirino anche Siemens Software Center e SiteGuard
Insieme a Plex2Shell, la CISA ha inserito nel suo catalogo delle vulnerabilità sfruttate attivamente, noto come KEV, anche una falla legata a un elemento del percorso di ricerca non controllato in Siemens Software Center. Il colosso tecnologico tedesco aveva avvertito il 19 ottobre che alcuni hacker la stavano usando in campagne collegate a Romulus, una piattaforma di distribuzione ClickFix capace di veicolare più payload.
Secondo una recente ricerca di Forescout, società specializzata nella sicurezza delle tecnologie operative, Romulus potrebbe essere un pannello gestito privatamente, un servizio commerciale di distribuzione per criminali informatici, un sistema di affiliazione oppure un software copiato e passato da un operatore all’altro. L’avviso di Siemens include gli indicatori di compromissione e alcuni consigli per riconoscere i sistemi colpiti, oltre all’invito agli amministratori ad aggiornare il software alla versione 4.0.9.8 o successive.
L’elenco KEV si allunga poi con una vulnerabilità di command injection a livello di sistema operativo che interessa SiteGuard Server Edition, un web application firewall. Sia il produttore sia il CERT giapponese l’hanno segnalata come sfruttata attivamente alla fine della scorsa settimana. Il fornitore raccomanda di passare a SiteGuard Server Edition per Apache httpd, Nginx e IIS versione 8.00 Update 5 e a SiteGuard Server Edition per Apache httpd e Nginx su FreeBSD versione 7.00 Update 6 o successive.
Fonte: TecnoAndroid