Η Plex καθυστέρησε τρεις εβδομάδες να ανακοινώσει ευπάθειες ασφαλείας για τον Media Server

Η Plex ενημέρωσε τους χρήστες της μέσω του επίσημου forum υποστήριξης ότι εντοπίστηκαν ευπάθειες ασφαλείας σε προηγούμενες εκδόσεις του Plex Media Server και του Plex Desktop, ζητώντας άμεση ενημέρωση στη νεότερη έκδοση. Η προειδοποίηση αφορά το Plex Media Server έως και την έκδοση 1.43.2, καθώς και όλες τις προηγούμενες εκδόσεις του Plex Desktop.

Τι γνωρίζουμε για τις ευπάθειες

Σύμφωνα με την επίσημη ανακοίνωση στο forum της Plex, η εταιρεία δεν έχει αποκαλύψει ούτε τον αριθμό των ευπαθειών, ούτε τη σοβαρότητά τους, ούτε τον τρόπο με τον οποίο θα μπορούσαν να γίνουν αντικείμενο εκμετάλλευσης. Η ανακοίνωση αναφέρεται σε «έναν αριθμό ζητημάτων ασφαλείας» στον πληθυντικό, χωρίς περαιτέρω εξειδίκευση. Ο υπάλληλος της Plex με το όνομα B. Dettmer επιβεβαίωσε στο forum ότι οι χρήστες θα πρέπει να εγκαταστήσουν τις τελευταίες διαθέσιμες ενημερώσεις το συντομότερο δυνατό.

Η εταιρεία δηλώνει ότι θα δώσει περισσότερες πληροφορίες μόλις οι ευπάθειες λάβουν επίσημα αναγνωριστικά CVE (Common Vulnerabilities and Exposures), τα τυποποιημένα κωδικά αναφοράς που χρησιμοποιούνται διεθνώς για την καταγραφή δημοσίως γνωστών ευπαθειών λογισμικού και hardware. Μέχρι τη δημοσίευσή τους, δεν είναι δυνατό να προσδιοριστεί αν οι ευπάθειες μπορούν να εκμεταλλευτούν απομακρυσμένα, αν απαιτείται πιστοποίηση χρήστη, ή αν κάποιος εισβολέας θα μπορούσε να αποκτήσει πρόσβαση σε βιβλιοθήκες πολυμέσων, αρχεία συστήματος ή στοιχεία λογαριασμού.

Η καθυστέρηση στην ανακοίνωση

Το ζήτημα που ξεχωρίζει σε αυτή την περίπτωση είναι το χρονικό διάστημα ανάμεσα στην κυκλοφορία των διορθωμένων εκδόσεων και τη δημόσια ανάδειξη του προβλήματος. Η Plex κυκλοφόρησε το Plex Media Server 1.43.3 στις 12 Αυγούστου και το Plex Desktop 1.115.0 στις 13 Αυγούστου, αλλά άρχισε να τονίζει δημόσια τις επιπτώσεις ασφαλείας μόλις την 1η Σεπτεμβρίου, περίπου τρεις εβδομάδες μετά. Η εταιρεία δεν έχει εξηγήσει τον λόγο αυτής της χρονικής απόστασης, γεγονός που σημαίνει ότι σημαντικός αριθμός εγκαταστάσεων παρέμεινε εκτεθειμένος χωρίς οι χρήστες να γνωρίζουν τη σοβαρότητα του θέματος.

Ποιες πλατφόρμες επηρεάζονται

Το επηρεαζόμενο λογισμικό διατίθεται για Windows, macOS, Linux, FreeBSD, καθώς και για αρκετές πλατφόρμες συστημάτων αποθήκευσης δικτύου (NAS). Η Plex έχει δημοσιεύσει οδηγίες εγκατάστασης για κατασκευαστές όπως QNAP, TerraMaster, Western Digital, Netgear και Synology, καθώς η ακριβής διαδικασία διαφέρει ανά κατασκευαστή, αλλά περιλαμβάνει συνήθως τη λήψη του σωστού πακέτου για την αρχιτεκτονική της συσκευής, την πρόσβαση στη διαχειριστική διεπαφή και την επιλογή χειροκίνητης εγκατάστασης.

Ιδιαίτερη προσοχή χρειάζονται οι χρήστες που τρέχουν το Plex Media Server σε NAS, καθώς, όπως σημειώνει η Plex, τα νεότερα πακέτα ενδέχεται να μην είναι ακόμη διαθέσιμα μέσω των συνήθων application stores ή package managers που παρέχουν ορισμένοι κατασκευαστές NAS. Σε αυτή την περίπτωση απαιτείται χειροκίνητη λήψη και εγκατάσταση. Η εταιρεία ασφαλείας runZero, που παρακολουθεί εκτεθειμένα συστήματα, επιβεβαιώνει ότι αυτές οι καθυστερήσεις διανομής μέσω package managers των κατασκευαστών NAS εξακολουθούν να υφίστανται.

Τι πρέπει να κάνουν οι χρήστες

Οι χρήστες του Plex Desktop μπορούν συνήθως να εγκαταστήσουν την τελευταία έκδοση μέσα από την ίδια την εφαρμογή ή κατεβάζοντας απευθείας τον εγκαταστάτη από την Plex. Οι εγκαταστάσεις server ενδέχεται να ενημερωθούν μέσα από το λειτουργικό σύστημα, ανάλογα με την πλατφόρμα και τη μέθοδο εγκατάστασης. Επειδή το Plex Media Server εκτίθεται συχνά σε τοπικά δίκτυα ή σε απομακρυσμένες συνδέσεις, η Plex συστήνει να αντιμετωπιστεί η ενημέρωση ως προτεραιότητα, ακόμη και αν το λογισμικό φαίνεται να λειτουργεί κανονικά.

Πηγές

• Plex Urges Users to Install Security Updates After Vulnerabilities Discovered
• Important Security Update for Plex Media Server v1.43.2 and earlier - Announcements - Plex Forum
• Plex Media Server vulnerabilities: find impacted systems