Açık bug bounty ile bildirildi
Plex, hatayı hata ödül programı aracılığıyla öğrendiğini ve hızlıca gidererek yeni sürümü yayımladığını açıkladı. Güvenlik açığına ilişkin CVE kimliği henüz atanmamış olsa da, şirket 1.41.7.x–1.42.0.x sürümlerini çalıştıran tüm sunucuların risk altında olduğunu belirtti.

Yamalanan sürüm
Güvenlik açığını kapatan sürüm Plex Media Server 1.42.1.10060 olarak yayımlandı. Kullanıcılar, sunucu yönetim paneli veya resmi indirme sayfası üzerinden bu sürüme geçiş yapabiliyor.

Acil güncelleme çağrısı
Plex, etkilenen kullanıcılara gönderdiği e-postalarda, sistemlerinin eski sürüm çalıştırdığını belirterek “en kısa sürede güncelleme yapın” uyarısında bulundu. Şirket, saldırganların yamaları analiz ederek istismar geliştirmesinden önce önlem alınması gerektiğini vurguladı.

Plex geçmişte de hedef olmuştu
Mart 2023’te CISA, Plex Media Server’daki üç yıllık bir RCE açığını (CVE-2020-5741) “aktif istismar edilen” açıklar listesine almıştı. Bu zafiyetin, LastPass’in 2022’de yaşadığı büyük veri sızıntısıyla bağlantılı olabileceği düşünülüyor. Aynı yıl Plex de kullanıcı veritabanına sızıldığını ve şifrelerin sıfırlanması gerektiğini duyurmuştu.

Kullanıcılar için öneriler

• Plex Media Server’ınızı 1.42.1.10060 sürümüne güncelleyin.

• Güncellemeleri düzenli takip edin.

• Sunucunuzu internet üzerinden erişime açık bırakmamaya özen gösterin.

Kaynak: CUMHA – CUMHUR HABER AJANSI