Impatto Sistemico

Critico (79.23)

Sintesi

Rilevato lo sfruttamento attivo in rete delle vulnerabilità CVE-2026-96652 CVE-2026-96654 CVE-2026-96655 e CVE-2026-96656 – già sanate dal vendor – relative a Plex Media Server. Si evidenzia che risulta disponibile in rete un Proof of Concept (PoC) per lo sfruttamento concatenato di tali vulnerabilità.

Tipologia

• Remote Code Execution
• Arbitrary File Write
• Security Restrictions Bypass
• Information Disclosure

Descrizione e potenziali impatti

È stato rilevato lo sfruttamento in rete di una catena di attacco, denominata Plex2Shell, che coinvolge le vulnerabilità CVE-2026-96652 , CVE-2026-96654 , CVE-2026-96655 e CVE-2026-96656 , presenti in Plex Media Server. Tali vulnerabilità, qualora sfruttate in sequenza, potrebbero consentire a un attaccante remoto non autenticato di effettuare richieste verso servizi interni tramite l’interfaccia di loopback, richiamare funzioni arbitrarie dei plugin, acquisire il token amministrativo e utilizzarlo per indurre il server a recuperare un contenuto multimediale opportunamente predisposto e scriverne i dati sotto forma di libreria condivisa nella directory dei codec. Il successivo caricamento della libreria potrebbe consentire l’esecuzione di codice arbitrario con i privilegi del servizio sui sistemi target.

Di seguito la descrizione delle vulnerabilità:

CVE-2026-96652 : di tipo “ Server-Side Request Forgery (SSRF) “ e con score CVSS v3.1 pari a 4.3, costituisce il primo anello della catena di sfruttamento e interessa l’endpoint /player/timeline , utilizzato dal protocollo Companion di Plex Media Server. Tale vulnerabilità è dovuta a meccanismi di controllo non adeguati riguardanti l’header X-Plex-Token e all’inserimento non sanificato del parametro protocol nell’URL di callback . Un attaccante remoto non autenticato, registrando un dispositivo con un token fittizio e indicando un URL opportunamente predisposto nel parametro protocol , potrebbe indurre il server a effettuare una richiesta POST dall’interfaccia di loopback verso un endpoint interno.

CVE-2026-96654 : di tipo “ Improper Neutralization “ e con score CVSS v3.1 pari a 6.5, costituisce il secondo anello della catena e riguarda l’endpoint searchOne dell’API /system/agents/* , accessibile senza token da loopback. Tale vulnerabilità è dovuta a meccanismi di controllo non adeguati dell’identificatore dell’Agent e nell’URL interno utilizzato per richiamare le funzionalità dei plugin. Un attaccante, mediante richieste POST dall’interfaccia di loopback opportunamente predisposte e consentite dalla CVE-2026-96652, potrebbe controllare il percorso e i parametri delle successive richieste e richiamare funzioni arbitrarie dei plugin presenti. In particolare, potrebbe abusare della funzione GetResultFromNetwork dell’Agent TheTVDB e di un controllo incompleto sul prefisso http://127.0.0.1 per indurre il server a trasmettere a un sistema controllato il token amministrativo inserito nell’header X-Plex-Token .

CVE-2026-96655 : di tipo “ Server-Side Request Forgery (SSRF) “ e con score CVSS v3.1 pari a 4.3, costituisce il terzo anello della catena e interessa l’endpoint /video/:/transcode/universal . Tale vulnerabilità è dovuta a controlli non adeguati sulle destinazioni indicate nel parametro path e sul percorso di scrittura specificato mediante l’opzione dump-yuv della preferenza TranscoderH264Options . Un attaccante in possesso del token amministrativo, acquisito mediante lo sfruttamento delle precedenti vulnerabilità, potrebbe indurre il server a recuperare un documento XML e un video opportunamente predisposti da un sistema sotto il proprio controllo. Configurando dump-yuv con un percorso nella directory Codecs , potrebbe quindi fare in modo che la transcodifica scriva i dati contenuti nei fotogrammi del video sotto forma di libreria condivisa .so in una posizione arbitraria.

CVE-2026-96656 : di tipo “ External Control of File Name or Path ” e con score CVSS v3.1 pari a 7.2 (9.8 se concatenata alle precedenti vulnerabilità), costituisce l’ultimo anello della catena e interessa il caricamento delle librerie dalla directory Codecs . Tale vulnerabilità è dovuta al caricamento mediante dlopen dei file .so presenti nella directory dei codec senza adeguate verifiche della firma e dei permessi di esecuzione. Una successiva transcodifica determinerebbe il caricamento della libreria scritta mediante la CVE-2026-96655 e l’esecuzione automatica del relativo costruttore, consentendo a un attaccante l’esecuzione remota di codice con i privilegi del servizio Plex Media Server.

Prodotti e/o versioni affette

Plex Media Server, versioni precedenti alla 1.43.3.10861

Azioni di mitigazione

Ove non già provveduto, si raccomanda di aggiornare tempestivamente i prodotti vulnerabili all’ultima versione disponibile, seguendo le indicazioni fornite ai link disponibili nella sezione Riferimenti.

Infine, si raccomanda di valutare l’implementazione sui propri apparati di sicurezza degli Indicatori di Compromissione (IoC) ^[1] disponibili al link nella sezione Riferimenti.

[1] Per definizione, non tutti gli indicatori di compromissione sono malevoli. Questo CSIRT non ha alcuna responsabilità per l’attuazione di eventuali azioni proattive (es. inserimento degli IoC in blocklist) relative agli indicatori forniti. Le informazioni contenute in questo documento rappresentano la migliore comprensione della minaccia al momento del rilascio.