QNAP waarschuwt gebruikers die Plex Media Server op een NAS-systeem draaien voor actief misbruik van de kwetsbaarheden die samen bekendstaan als Plex2Shell. De fabrikant adviseert om de beschikbare update onmiddellijk te installeren. Volgens QNAP heeft Plex bevestigd dat de kwetsbaarheden op grote schaal worden aangevallen.
De waarschuwing is relevant voor particulieren en organisaties die een NAS gebruiken als mediaserver. Plex Media Server wordt vaak ingezet om films, muziek en andere media binnen het netwerk of via internet naar apparaten te streamen. Plex stelt wereldwijd meer dan 25 miljoen gebruikers te hebben. Wanneer zo’n mediaserver vanaf internet bereikbaar is, kan een kwetsbare installatie volgens de melding op afstand worden overgenomen zonder dat de aanvaller zich hoeft aan te melden.
Vier kwetsbaarheden onder één naam
Plex2Shell is geen enkele fout, maar een combinatie van vier kwetsbaarheden. Samen maken die het mogelijk voor ongeauthenticeerde aanvallers om kwetsbare Plex-mediaservers op afstand te compromitteren. De broninformatie noemt geen afzonderlijke CVE-nummers of technische details per lek, maar beschrijft wel dat de impact neerkomt op volledige overname van kwetsbare servers.
De dreiging nam toe nadat op 16 oktober proof-of-concept-exploitcode voor Plex2Shell online verscheen. Sindsdien zijn mediaservers volgens de melding doelwit geworden van grootschalige aanvallen. QNAP zegt meerdere meldingen van gebruikers te hebben ontvangen waarbij Plex Media Server op een QNAP-NAS via Plex2Shell is gehackt.
Cryptominers en proxysoftware op gehackte systemen
Bij succesvolle aanvallen worden gecompromitteerde mediaservers volgens QNAP onder meer voorzien van cryptominers. Zulke software gebruikt de rekenkracht van het NAS-systeem om cryptovaluta te delven. Dat kan leiden tot hogere belasting, slechtere prestaties en mogelijk meer stroomverbruik of slijtage van hardware.
Daarnaast installeren aanvallers proxysoftware. Daarmee kunnen anderen activiteiten via de gehackte mediaserver laten lopen. Voor de eigenaar van het systeem is dat riskant: netwerkverkeer lijkt dan afkomstig van de eigen internetverbinding of infrastructuur, terwijl de daadwerkelijke gebruiker iemand anders is. De broninformatie beschrijft niet welke activiteiten via deze proxy’s plaatsvinden, maar het gebruik van een overgenomen server als tussenstation vergroot wel de operationele en juridische risico’s voor beheerders.
Update naar Plex Media Server 1.43.3.10861 of nieuwer
QNAP roept gebruikers met Plex op hun installatie via het App Center bij te werken naar versie 1.43.3.10861 of een nieuwere release. Het App Center is de omgeving waarmee third-party applicaties op QNAP-NAS-systemen kunnen worden geïnstalleerd en bijgewerkt.
Voor systemen die vanaf internet bereikbaar waren, is alleen patchen volgens QNAP niet genoeg. De fabrikant stelt dat gebruikers hun NAS in dat geval als mogelijk gehackt moeten beschouwen. QNAP raadt dan een schone herinstallatie aan en adviseert ook om wachtwoorden van zowel Plex als de NAS te resetten.
Remote toegang beperken
QNAP adviseert verder om externe toegang tot Plex uit te schakelen wanneer die niet nodig is. Ook waarschuwt de fabrikant om poort 32400 niet door te sturen naar internet. Die poort wordt veel gebruikt voor Plex-toegang van buiten het lokale netwerk.
Wanneer remote toegang wel noodzakelijk is, adviseert QNAP om een vpn te gebruiken. Daarnaast moeten zowel de Plex-software als het besturingssysteem van de NAS actueel zijn. Dat verkleint niet alleen de blootstelling aan Plex2Shell, maar beperkt ook het risico dat andere bekende kwetsbaarheden in de NAS-omgeving worden misbruikt.
Analyse: mediaservers blijven aantrekkelijk doelwit
Bevestigd is dat QNAP waarschuwt voor actief en grootschalig misbruik, dat Plex volgens QNAP de aanvallen heeft bevestigd en dat QNAP meldingen van getroffen gebruikers heeft ontvangen. De technische details achter de vier kwetsbaarheden worden in de beschikbare informatie niet verder uitgewerkt.
De situatie laat wel zien waarom mediaservers op NAS-systemen een aantrekkelijk doelwit zijn. Ze staan vaak langdurig aan, beschikken over netwerk- en opslagtoegang en worden regelmatig vanaf internet bereikbaar gemaakt voor gemak. Als zo’n dienst kwetsbaar is, kan een aanvaller een relatief stille positie krijgen binnen een thuisnetwerk of kleine bedrijfsomgeving. Voor organisaties en particulieren is daarom niet alleen de update zelf belangrijk, maar ook de vraag of de dienst überhaupt direct vanaf internet bereikbaar moet zijn.
Bron: security.nl
