जंगली रूप से शोषित Plex कमजोरियों का उपयोग क्रिप्टोमाइनर डालने के लिए किया जा रहा है

मूल लेख ↗ Hacker News चर्चा ↗

Plex Media Server के पुराने संस्करणों में नई तरह से शोषित कमजोरियों का उपयोग इंटरनेट-एक्सपोज़्ड होम सर्वरों पर cryptominers और अन्य malware स्थापित करने के लिए किया जा रहा है, जिससे अक्सर CPU पूरी तरह भर जाता है और सिस्टम अनुपयोगी हो जाते हैं। टिप्पणीकार बताते हैं कि Plex का डिज़ाइन और सिफ़ारिशें खुले इंटरनेट पर remote access को बढ़ावा देती हैं, जबकि patching और auto-update की कमियाँ—विशेषकर NAS platforms और containers पर—कई instances को security fixes से पीछे छोड़ देती हैं। कई लोग self-hosted media servers को Tailscale जैसे VPNs के पीछे रखने, curl/wget जैसे tools को निष्क्रिय करके या /tmp को noexec के साथ mount करके systems harden करने, या attack surface और Plex ecosystem पर निर्भरता कम करने के लिए Jellyfin जैसे विकल्पों पर स्विच करने की वकालत करते हैं।

कमजोरी और शोषण विवरण

  • शोषण पुराने Plex Media Server को लक्षित करता है; सुधार 1.43.3.10861 (अग.) में जारी किया गया था। इससे पुराने सभी संस्करण कमजोर हैं।
  • शोषण श्रृंखला (“Plex2Shell”) कई CVEs को जोड़ती है; कुछ चरणों की विशेष रूप से खराब सुरक्षा डिज़ाइन के रूप में आलोचना की गई है (जैसे, सत्यापन के बिना हेडर मौजूदगी जांच, केवल स्ट्रिंग प्रीफिक्स के आधार पर localhost URL जांच)।
  • केवल इंटरनेट-एक्सपोज़्ड Plex इंस्टेंस प्रभावित होते हैं; जिन उपयोगकर्ताओं के सर्वर उनके LAN के बाहर से पहुँच योग्य नहीं हैं, उन्हें इस समस्या के लिए सुरक्षित माना जाता है, लेकिन फिर भी पैच करने की सलाह दी जाती है।

रिमोट एक्सेस बनाम VPN (Tailscale, आदि)

  • कई लोग Plex को सीधे सार्वजनिक इंटरनेट पर चलाते हैं क्योंकि:
    • यह रिमोट स्ट्रीमिंग और शेयरिंग के लिए Plex का डिफ़ॉल्ट/उद्देश्यित उपयोग मामला है।
    • गैर-तकनीकी मित्र/परिवार और यादृच्छिक डिवाइस (स्मार्ट TV, स्टिक) भरोसेमंद रूप से VPN का उपयोग नहीं करेंगे।
  • अन्य लोग दृढ़ता से तर्क देते हैं कि Plex (और इसी तरह के self-hosted ऐप्स) को केवल VPN (WireGuard/Tailscale/netbird) के माध्यम से, या कम से कम reverse proxies और अतिरिक्त auth के साथ ही एक्सपोज़ किया जाना चाहिए।
  • कई लोग VPN के साथ व्यावहारिक बाधाओं की ओर भी इशारा करते हैं: फ़ोनों पर एकल VPN स्लॉट, बैटरी ड्रेन, TV ऐप्स की कमी, CGNAT समस्याएँ।

वास्तविक दुनिया के समझौते

  • कई उपयोगकर्ता समझौता होने की रिपोर्ट करते हैं: उच्च CPU, स्पष्ट miner प्रक्रियाएँ (“MyLovelyMiner”, नकली system नाम), कॉन्फ़िग्स में Monero mining pools, और कुछ मामलों में DDoS nodes जैसे अतिरिक्त payloads।
  • कुछ मशीनें Plex पर पूरी तरह अद्यतन थीं लेकिन OS सुरक्षा पैच में पीछे थीं, जिससे उन मामलों में यह अनिश्चितता बनी रही कि प्रवेश बिंदु Plex था या OS।

मिटिगेशन और हार्डनिंग

  • मजबूत सहमति: एक बार समझौता हो जाने पर, सिस्टम को अविश्वसनीय माना जाना चाहिए; सर्वोत्तम अभ्यास पूर्ण OS reinstall है, केवल miner हटाना नहीं।
  • सुझाई गई hardening:
    • Plex और OS को पूरी तरह अद्यतन रखें; टूटे हुए package repos ठीक करें।
    • Plex को सीधे एक्सपोज़ करने से बचें; VPNs, Cloudflare tunnels, या reverse proxies (nginx/caddy, Authelia, rate limiting, fail2ban, geoblocking) को प्राथमिकता दें।
    • यदि आवश्यकता न हो तो curl/wget हटाएँ; /tmp को noexec के रूप में mount करें; outbound connections सीमित करें (जैसे, per-binary firewall, mining pools ब्लॉक करना)।
    • artifacts खोजने के लिए detection tools (YARA rules, decloaker, chkrootkit, unhide) का उपयोग करें।

Plex Auto-Updates और NAS चिंताएँ

  • Auto-update समर्थन असंगत है:
    • कुछ platforms में opt‑in auto-updates हैं।
    • Container auto-updates को जटिल बताया गया है और वे आंशिक रूप से container immutability को कमजोर करती हैं।
    • विशेष रूप से Synology packages security updates में पीछे रहते हैं; कुछ लोग चेतावनी देते हैं कि Synology services को कभी भी इंटरनेट पर एक्सपोज़ न करें।
  • यह असंगति संभवतः कई पुराने, कमजोर Plex instances को एक्सपोज़ छोड़े रखती है।

Plex UX, रणनीति, और विकल्प

  • कई उपयोगकर्ता शिकायत करते हैं कि Plex UX खराब हो गया है: धीमा, अव्यवस्थित, और व्यक्तिगत libraries के आगे free ad-supported TV को आगे बढ़ा रहा है; कुछ लोगों को नवीनतम UI कुछ devices पर “unusable” लगता है।
  • Workarounds में शामिल हैं:
    • वैकल्पिक client apps (जैसे, third-party Plex frontends, अलग platform clients जहाँ पुराना UI बना रहता है)।
    • Jellyfin या अन्य servers पर स्विच करना, अक्सर VPN या reverse proxy के पीछे।
    • अत्यधिक locked-down setups (read-only media mounts के साथ ephemeral Jellyfin containers)।
  • Jellyfin को उसकी openness और control के लिए सराहा जाता है, हालांकि पहले के संस्करणों को visually rough माना जाता था; कुछ लोग कहते हैं कि इसमें सुधार हुआ है।
  • एक नया entrant (Pixel Brite) का उल्लेख किया गया है, जिसका लक्ष्य कम-friction remote access को उदार free features के साथ जोड़ना है।

सुरक्षा संस्कृति और हमलावर अर्थशास्त्र

  • कुछ लोग cryptomining payloads को गैर-रचनात्मक/कम-मूल्य वाला खारिज करते हैं, लेकिन अन्य जोर देते हैं कि कोई भी foothold बदतर चीज़ों के लिए उपयोग किया जा सकता है।
  • एक टिप्पणी नोट करती है कि Plex में वर्षों से “small but consequential” सुरक्षा समस्याएँ रही हैं, जो इस दृष्टिकोण को मजबूत करती हैं कि self-hosted media servers को अन्य internet-facing services की तरह ही defensive mindset की आवश्यकता होती है।