Plex objavio bezbednosne zakrpe za Media Server i Desktop
Plex je pozvao vlasnike servera i korisnike desktop aplikacije da što pre pređu na Plex Media Server 1.43.3 i Plex Desktop 1.115.0, verzije koje ispravljaju više bezbednosnih propusta. Kompanija nije objavila tehničke pojedinosti o ranjivostima, ali je navela da su za njih zatražene CVE oznake.
Preporuka se odnosi na sve administratore Plex servera i korisnike Desktop klijenta. Za instalacije na NAS uređajima ažurirani paket možda još nije dostupan kroz upravljač paketa proizvođača, ali Plex navodi da se može instalirati ručno.
Zašto je ažuriranje važno
Nedostatak javnih detalja ne umanjuje potrebu za brzom primenom zakrpa. Plex je izričito preporučio ažuriranje svih servera i Desktop klijenata na najnovije verzije, dok se za propuste čekaju zvanične identifikacione oznake.
Javno dostupni Plex Media Server interfejsi predstavljaju važan operativni kontekst. Censys evidentira više od 360.000 uređaja koji izlažu web interfejs ovog servera, mada taj broj ne znači da su svi uređaji pogođeni konkretnim ranjivostima.
Raniji propusti pokazuju značaj kontrole pristupa
U avgustu 2025. Plex je otklonio ranjivost visoke ozbiljnosti CVE-2025-34158, sa CVSS ocenom 8,5. Greška u autentikaciji bila je povezana sa endpointom /myplex/account, koji je autentifikovanom korisniku bez vlasničkih ili administrativnih ovlašćenja mogao da otkrije detalje naloga vlasnika servera, uključujući administratorski pristupni token.
Naknadni poziv API-ja /api/resources mogao je da prikaže druge servere kojima vlasnik ima pristup. Kombinacija ta dva API poziva mogla je da omogući otkrivanje infrastrukture dostupne vlasniku.
Operativni koraci za administratore
Raniji bezbednosni događaji vezani za Plex pokazuju da je održavanje verzija naročito važno kada je servis dostupan sa interneta. Plex je 2021. objavio hitnu zakrpu za problem koji je mogao da se zloupotrebi za reflektovanje UDP paketa u napadima uskraćivanja usluge. Kompanija LastPass je saopštila da je napad iz avgusta 2022. započeo kompromitovanjem kućnog računara zaposlenog preko ranjivosti Plex Media Servera CVE-2020-5741.
Praktičan zaključak za poslovanje je da treba bez odlaganja instalirati verzije 1.43.3 i 1.115.0, proveriti ručni postupak ažuriranja na NAS uređajima i popisati Plex instance izložene javnoj mreži. Kontrola privilegija, ograničavanje nepotrebnog pristupa i redovno ažuriranje smanjuju prostor za zloupotrebu dok tehnički detalji novih propusta nisu objavljeni.