Vulnerabilidades de Plex explotadas en la naturaleza para dejar un cryptominero

Artículo original ↗ Discusión en Hacker News ↗

Vulnerabilidades recién explotadas en versiones antiguas de Plex Media Server se están usando para instalar cryptominers y otro malware en servidores domésticos expuestos a Internet, a menudo saturando la CPU y dejando los sistemas inutilizables. Los comentaristas destacan cómo el diseño y las recomendaciones de Plex fomentan el acceso remoto por Internet abierto, mientras que las lagunas en parches y autoactualizaciones —especialmente en plataformas NAS y contenedores— dejan muchas instancias atrasadas respecto a las correcciones de seguridad. Muchos abogan por poner los servidores multimedia autoalojados detrás de VPN como Tailscale, endurecer los sistemas deshabilitando herramientas como curl/wget o montando /tmp con noexec, o cambiar a alternativas como Jellyfin para reducir la superficie de ataque y la dependencia del ecosistema de Plex.

Detalles de la vulnerabilidad y del exploit

  • El exploit apunta a versiones antiguas de Plex Media Server; la corrección se publicó en 1.43.3.10861 (ago.). Cualquier versión anterior es vulnerable.
  • La cadena de exploit (“Plex2Shell”) combina múltiples CVE; algunas etapas son criticadas por un diseño de seguridad particularmente deficiente (p. ej., comprobaciones de existencia de cabeceras sin validación, comprobaciones de URL de localhost basadas solo en el prefijo de la cadena).
  • Solo se ven afectadas las instancias de Plex expuestas a Internet; los usuarios cuyos servidores no son accesibles desde fuera de su LAN se consideran seguros frente a este problema, aunque aun así se les recomienda aplicar el parche.

Acceso remoto frente a VPN (Tailscale, etc.)

  • Muchos ejecutan Plex directamente en Internet porque:
    • Es el caso de uso predeterminado/deseado de Plex para streaming remoto y compartir contenido.
    • Amigos/familia no técnicos y dispositivos aleatorios (smart TVs, sticks) no usarán VPN de forma fiable.
  • Otros sostienen firmemente que Plex (y apps similares autoalojadas) debería exponerse solo mediante VPN (WireGuard/Tailscale/netbird) o, como mínimo, a través de reverse proxies y autenticación adicional.
  • Varios señalan fricciones prácticas con las VPN: un solo slot de VPN en los teléfonos, consumo de batería, falta de apps para TV y problemas de CGNAT.

Compromisos en el mundo real

  • Varios usuarios informan haber sido comprometidos: CPU alta, procesos de minerado obvios (“MyLovelyMiner”, nombres de sistema falsos), pools de minería de Monero en las configuraciones y, en algunos casos, cargas útiles adicionales como nodos de DDoS.
  • Algunas máquinas estaban totalmente actualizadas en Plex pero retrasadas en parches de seguridad del sistema operativo, lo que genera incertidumbre sobre si Plex o el SO fue el punto de entrada en esos casos.

Mitigaciones y endurecimiento

  • Consenso fuerte: una vez comprometido, el sistema debe considerarse no confiable; la mejor práctica es reinstalar por completo el SO, no solo eliminar el miner.
  • Endurecimiento sugerido:
    • Mantener Plex y el SO completamente actualizados; corregir repositorios de paquetes rotos.
    • Evitar exponer Plex directamente; preferir VPN, túneles de Cloudflare o reverse proxies (nginx/caddy, Authelia, limitación de tasa, fail2ban, geobloqueo).
    • Eliminar curl/wget si no son necesarios; montar /tmp como noexec; restringir conexiones salientes (p. ej., firewall por binario, bloqueo de pools de minería).
    • Usar herramientas de detección (reglas YARA, decloaker, chkrootkit, unhide) para buscar artefactos.

Autoactualizaciones de Plex y preocupaciones en NAS

  • El soporte de autoactualización es inconsistente:
    • Algunas plataformas tienen autoactualizaciones opcionales.
    • Las autoactualizaciones en contenedores se describen como torpes y, en parte, contrarias a la inmutabilidad de los contenedores.
    • Los paquetes de Synology, en particular, van retrasados en las actualizaciones de seguridad; algunos advierten que nunca se deben exponer los servicios de Synology a Internet.
  • Es probable que esta inconsistencia deje expuestas muchas instancias antiguas y vulnerables de Plex.

UX de Plex, estrategia y alternativas

  • Varios usuarios se quejan de que la UX de Plex ha empeorado: lenta, recargada y promoviendo la TV gratuita con anuncios por encima de las bibliotecas personales; algunos consideran que la UI más reciente es “inutilizable” en ciertos dispositivos.
  • Las soluciones alternativas incluyen:
    • Apps cliente alternativas (p. ej., frontends de Plex de terceros, clientes de otras plataformas donde la UI antigua sigue disponible).
    • Pasarse a Jellyfin u otros servidores, a menudo detrás de VPN o reverse proxy.
    • Configuraciones muy restringidas (contenedores efímeros de Jellyfin con montajes de medios de solo lectura).
  • Se elogia a Jellyfin por su apertura y control, aunque versiones anteriores fueron criticadas por ser visualmente toscas; algunos dicen que ha mejorado.
  • Se menciona un nuevo competidor (Pixel Brite) con el objetivo de combinar acceso remoto sin fricción con funciones gratuitas generosas.

Cultura de seguridad y economía del atacante

  • Algunos desestiman las cargas útiles de cryptomining por poco creativas/de bajo valor, pero otros subrayan que cualquier punto de apoyo podría usarse para algo peor.
  • Un comentario señala que Plex ha tenido problemas de seguridad “pequeños pero con consecuencias” a lo largo de los años, reforzando la idea de que los servidores multimedia autoalojados requieren la misma mentalidad defensiva que otros servicios expuestos a Internet.