Vulnerabilidades do Plex sendo exploradas no mundo real para instalar um cryptominer

Artigo original ↗ Discussão no Hacker News ↗

Vulnerabilidades recém-exploradas em versões antigas do Plex Media Server estão sendo usadas para instalar cryptominers e outros malwares em servidores domésticos expostos à internet, muitas vezes saturando a CPU e tornando os sistemas inutilizáveis. Comentadores destacam como o design e as recomendações do Plex incentivam o acesso remoto pela internet aberta, enquanto lacunas de patching e autoatualização — especialmente em plataformas NAS e containers — deixam muitas instâncias defasadas em relação às correções de segurança. Muitos defendem colocar servidores de mídia auto-hospedados atrás de VPNs como Tailscale, endurecer os sistemas desabilitando ferramentas como curl/wget ou montando /tmp com noexec, ou migrar para alternativas como o Jellyfin para reduzir a superfície de ataque e a dependência do ecossistema do Plex.

Detalhes da Vulnerabilidade e do Exploit

  • O exploit atinge versões mais antigas do Plex Media Server; a correção foi lançada na 1.43.3.10861 (ago.). Qualquer versão anterior é vulnerável.
  • A cadeia de exploração (“Plex2Shell”) combina múltiplos CVEs; algumas etapas são criticadas por terem um design de segurança particularmente ruim (por exemplo, verificações de existência de cabeçalho sem validação, verificações de URL localhost baseadas apenas em prefixo de string).
  • Apenas instâncias do Plex expostas à internet são afetadas; usuários cujos servidores não são acessíveis de fora da sua LAN são considerados seguros para este problema, mas ainda assim são aconselhados a aplicar a correção.

Acesso Remoto vs VPN (Tailscale, etc.)

  • Muitos executam o Plex diretamente na internet pública porque:
    • É o caso de uso padrão/intencionado do Plex para streaming e compartilhamento remotos.
    • Amigos/familiares sem conhecimento técnico e dispositivos aleatórios (smart TVs, sticks) não vão usar VPNs de forma confiável.
  • Outros argumentam fortemente que Plex (e aplicativos auto-hospedados semelhantes) deveria apenas ser exposto via VPN (WireGuard/Tailscale/netbird) ou, no mínimo, por meio de reverse proxies e autenticação extra.
  • Vários observam atritos práticos com VPNs: um único slot de VPN em celulares, consumo de bateria, falta de apps para TVs, problemas com CGNAT.

Comprometimentos no Mundo Real

  • Vários usuários relatam ter sido comprometidos: alto uso de CPU, processos de minerador óbvios (“MyLovelyMiner”, nomes falsos de sistema), pools de mineração de Monero em configurações e, em alguns casos, cargas adicionais como nós de DDoS.
  • Algumas máquinas estavam totalmente atualizadas no Plex, mas atrasadas em patches de segurança do SO, gerando incerteza sobre se o Plex ou o sistema operacional foi o ponto de entrada nesses casos.

Mitigações e Hardening

  • Consenso forte: uma vez comprometido, o sistema deve ser considerado não confiável; a melhor prática é reinstalar completamente o SO, e não apenas apagar o minerador.
  • Endurecimento sugerido:
    • Mantenha Plex e o SO totalmente atualizados; corrija repositórios de pacotes quebrados.
    • Evite expor o Plex diretamente; prefira VPNs, túneis Cloudflare ou reverse proxies (nginx/caddy, Authelia, limitação de taxa, fail2ban, bloqueio geográfico).
    • Remova curl/wget se não forem necessários; monte /tmp com noexec; restrinja conexões de saída (por exemplo, firewall por binário, bloqueio de pools de mineração).
    • Use ferramentas de detecção (regras YARA, decloaker, chkrootkit, unhide) para procurar artefatos.

Autoatualizações do Plex e Preocupações com NAS

  • O suporte a autoatualizações é inconsistente:
    • Algumas plataformas têm autoatualizações opcionais.
    • Autoatualizações de containers são descritas como desajeitadas e, em parte, quebram a imutabilidade dos containers.
    • Pacotes da Synology, em particular, atrasam em atualizações de segurança; alguns alertam para nunca expor serviços da Synology à internet.
  • Essa inconsistência provavelmente deixa muitas instâncias antigas e vulneráveis do Plex expostas.

UX do Plex, Estratégia e Alternativas

  • Vários usuários reclamam que a UX do Plex piorou: lenta, poluída e promovendo TV gratuita com anúncios à frente das bibliotecas pessoais; alguns consideram a interface mais recente “inutilizável” em certos dispositivos.
  • Contornos incluem:
    • Apps cliente alternativos (por exemplo, frontends de terceiros para Plex, clientes de outras plataformas onde a UI antiga permanece).
    • Migrar para Jellyfin ou outros servidores, muitas vezes atrás de VPN ou reverse proxy.
    • Configurações altamente restritas (containers Jellyfin efêmeros com montagens de mídia somente leitura).
  • O Jellyfin é elogiado por sua abertura e controle, embora versões anteriores tenham sido criticadas por serem visualmente ásperas; alguns dizem que ele melhorou.
  • Um novo entrante (Pixel Brite) é mencionado como tentando combinar acesso remoto sem atrito com recursos gratuitos generosos.

Cultura de Segurança e Economia dos Atacantes

  • Alguns descartam cargas de cryptomining como pouco criativas/baixa recompensa, mas outros enfatizam que qualquer ponto de entrada pode ser usado para algo pior.
  • Um comentário observa que o Plex teve questões de segurança “pequenas, mas consequentes” ao longo dos anos, reforçando a visão de que servidores de mídia auto-hospedados exigem a mesma mentalidade defensiva que outros serviços expostos à internet.