← Zur Übersicht aller Beiträge
Plex-Server werden aktiv angegriffen: CISA warnt vor bereits geschlossenen Lücken
US-Behörde und Plex warnen vor Angriffen auf öffentlich erreichbare, ungepatchte Media Server. Der Fix ist seit August verfügbar; Betreiber sollten auch auf mögliche Kompromittierung prüfen.
Plex-Server werden aktiv angegriffen: CISA warnt vor bereits geschlossenen Lücken
US-Behörde und Plex warnen vor Angriffen auf öffentlich erreichbare, ungepatchte Media Server. Der Fix ist seit August verfügbar; Betreiber sollten auch auf mögliche Kompromittierung prüfen.
Internet-erreichbare Plex Media Server geraten durch eine kombinierte Schwachstellenkette unter Beschuss. Sicherheitsberichte vom 21. Oktober ordnen die Angriffe in eine neue Warnrunde der US-Behörde CISA über nachweislich ausgenutzte Lücken ein. Plex selbst bestätigt breit angelegte Angriffe auf nicht aktualisierte Server. Anders als die derzeit viel berichteten PHP2Shell-Lücken betrifft das einen eigenständigen Dienst mit bereits länger verfügbarem Update.
Alte Software bleibt das eigentliche Risiko
Nach Angaben des Herstellers können mehrere Lücken in Plex Media Server 1.43.2 und älter miteinander kombiniert werden, um bei entsprechend erreichbaren Installationen ohne Anmeldung Code mit den Rechten des Plex-Dienstes auszuführen. In bekannten Angriffen sollen kompromittierte Server zum Schürfen von Kryptowährungen oder als fremde Netzwerk-Proxys missbraucht worden sein.
Version 1.43.3.10861 oder neuer ist laut Plex von dieser Angriffskette nicht betroffen. Das Update erschien bereits Anfang August. Die Oktoberwarnung ist deshalb kein neuer Hersteller-Patch, sondern eine aktuelle Bestätigung, dass weiterhin angreifbare Altinstallationen im Netz stehen.
Welche Anlagen müssen geprüft werden?
Relevant ist vor allem die Verbindung aus verwundbarer Version und öffentlicher Erreichbarkeit. Betreiber sollten zunächst die tatsächlich gestartete Serverversion prüfen und ungenutzte Freigaben nach außen abschalten. Eine aktualisierte Version reduziert das künftige Risiko, beseitigt aber keine bereits erfolgte Kompromittierung.
Plex empfiehlt bei möglichen Einbrüchen, unter anderem unbekannte Prozesse, Dateien im Codec-Verzeichnis, ungewöhnliche ausgehende Verbindungen und erhöhte CPU-Last zu untersuchen. Bei konkreten Spuren reicht ein normales Update möglicherweise nicht: Dann sind eine saubere Neuinstallation sowie die Prüfung von Zugängen und eingebundenen Freigaben angezeigt.
Auch andere Softwarelieferketten betroffen
Die aktuelle CISA-Warnrunde nennt außerdem bereits missbrauchte Schwachstellen bei Siemens Software Center und SiteGuard. Siemens bestätigt einen Angriff, bei dem eine echte signierte Programmdatei zusammen mit einer manipulierten DLL verbreitet wurde; betroffen sind Versionen vor 4.0.9.8. Daraus folgt keine generelle Infektion sämtlicher Siemens-Installationen.
Konzept und redaktionelle Auswahl basieren auf Vorgaben von Christian Hohlfeld; Recherche und Formulierung wurden durch KI unterstützt. Eine individuelle menschliche Freigabe steht noch aus.
Für IT-Betreiber zählt das Prinzip: Erst Herstellerwarnung und konkrete Version prüfen, dann externe Erreichbarkeit und tatsächliche Kompromittierung bewerten. Vor allem Internetdienste und signierte Hilfsprogramme dürfen nicht pauschal als sicher eingestuft werden.
Internet-erreichbare Plex Media Server geraten durch eine kombinierte Schwachstellenkette unter Beschuss. Sicherheitsberichte vom 21. Oktober ordnen die Angriffe in eine neue Warnrunde der US-Behörde CISA über nachweislich ausgenutzte Lücken ein. Plex selbst bestätigt breit angelegte Angriffe auf nicht aktualisierte Server. Anders als die derzeit viel berichteten PHP2Shell-Lücken betrifft das einen eigenständigen Dienst mit bereits länger verfügbarem Update.
Alte Software bleibt das eigentliche Risiko
Nach Angaben des Herstellers können mehrere Lücken in Plex Media Server 1.43.2 und älter miteinander kombiniert werden, um bei entsprechend erreichbaren Installationen ohne Anmeldung Code mit den Rechten des Plex-Dienstes auszuführen. In bekannten Angriffen sollen kompromittierte Server zum Schürfen von Kryptowährungen oder als fremde Netzwerk-Proxys missbraucht worden sein.
Version 1.43.3.10861 oder neuer ist laut Plex von dieser Angriffskette nicht betroffen. Das Update erschien bereits Anfang August. Die Oktoberwarnung ist deshalb kein neuer Hersteller-Patch, sondern eine aktuelle Bestätigung, dass weiterhin angreifbare Altinstallationen im Netz stehen.
Welche Anlagen müssen geprüft werden?
Relevant ist vor allem die Verbindung aus verwundbarer Version und öffentlicher Erreichbarkeit. Betreiber sollten zunächst die tatsächlich gestartete Serverversion prüfen und ungenutzte Freigaben nach außen abschalten. Eine aktualisierte Version reduziert das künftige Risiko, beseitigt aber keine bereits erfolgte Kompromittierung.
Plex empfiehlt bei möglichen Einbrüchen, unter anderem unbekannte Prozesse, Dateien im Codec-Verzeichnis, ungewöhnliche ausgehende Verbindungen und erhöhte CPU-Last zu untersuchen. Bei konkreten Spuren reicht ein normales Update möglicherweise nicht: Dann sind eine saubere Neuinstallation sowie die Prüfung von Zugängen und eingebundenen Freigaben angezeigt.
Auch andere Softwarelieferketten betroffen
Die aktuelle CISA-Warnrunde nennt außerdem bereits missbrauchte Schwachstellen bei Siemens Software Center und SiteGuard. Siemens bestätigt einen Angriff, bei dem eine echte signierte Programmdatei zusammen mit einer manipulierten DLL verbreitet wurde; betroffen sind Versionen vor 4.0.9.8. Daraus folgt keine generelle Infektion sämtlicher Siemens-Installationen.
Konzept und redaktionelle Auswahl basieren auf Vorgaben von Christian Hohlfeld; Recherche und Formulierung wurden durch KI unterstützt. Eine individuelle menschliche Freigabe steht noch aus.
Quellen
Transparenz: Konzept, Auswahlkriterien und inhaltliche Vorgaben stammen von Christian Hohlfeld. Recherche und Formulierung wurden nach diesen Vorgaben mit KI-Werkzeugen unterstützt. Redaktionell geprüft und freigegeben von Christian Heinrich Hohlfeld am .