Компания Plex обратилась к пользователям своего программного обеспечения с рекомендацией незамедлительно установить свежие обновления для Plex Media Server и Plex Desktop. Данный шаг необходим в связи с обнаружением ряда уязвимостей в предыдущих версиях продуктов. На текущий момент компания не раскрывает детальную техническую информацию о характере данных проблем, их общем количестве, степени критичности или возможных способах эксплуатации злоумышленниками.
Актуальные версии ПО и затронутые системы
Уведомление касается пользователей Plex Media Server версии 1.43.2 и более ранних, а также всех предыдущих сборок Plex Desktop. Сотрудник компании B. Dettmer в официальном сообщении на форуме поддержки подтвердил необходимость установки последних версий программного обеспечения в кратчайшие сроки.
Исправления безопасности вошли в состав Plex Media Server версии 1.43.3 и Plex Desktop версии 1.115.0. Обновления для сервера были выпущены 12 августа, а версия для десктопных систем стала доступна 13 августа. При этом публичный акцент на важности установки патчей с точки зрения безопасности был сделан компанией лишь 1 сентября. Причины столь длительного временного разрыва между выпуском исправлений и официальным предупреждением пользователей пока не уточняются.
Проблема затрагивает программное обеспечение, работающее под управлением операционных систем Windows, macOS, Linux, FreeBSD, а также на ряде платформ сетевых хранилищ (NAS).
Особенности обновления для сетевых хранилищ
Пользователям настоятельно рекомендуется проверить текущую версию установленного ПО и при необходимости выполнить обновление вручную. В то время как для десктопных версий процесс обновления обычно автоматизирован через само приложение или загрузку инсталлятора с сайта Plex, ситуация с NAS требует особого внимания. Разработчики отмечают, что новейшие пакеты могут быть еще недоступны в стандартных магазинах приложений или менеджерах пакетов некоторых производителей сетевых накопителей.
В подобных случаях пользователям необходимо загрузить актуальный пакет вручную. Компания Plex предоставила руководства по установке для устройств таких производителей, как QNAP, TerraMaster, Western Digital, Netgear и Synology. Несмотря на различия в процедурах, процесс обычно включает загрузку пакета, соответствующего архитектуре конкретного устройства, и установку через панель администрирования. Пользователям рекомендуется тщательно проверять соответствие пакета модели своего NAS и версии операционной системы.
Ожидание официальных данных CVE
Поскольку Plex пока не предоставила дополнительной информации, невозможно сделать выводы о том, могут ли уязвимости быть использованы для удаленной атаки, требуется ли для этого авторизация, и существует ли риск компрометации медиабиблиотек, системных файлов или учетных данных. Тем не менее, учитывая, что Plex Media Server зачастую подключен к локальным сетям или удаленному доступу, данное обновление следует рассматривать как приоритетное.
В компании заявили, что полная информация будет предоставлена после того, как выявленным уязвимостям будут присвоены официальные идентификаторы CVE. Стандартизированные номера CVE служат общепринятыми ссылками для отслеживания уязвимостей в программном и аппаратном обеспечении. До того момента пользователям следует поддерживать софт в актуальном состоянии, даже если работа сервисов кажется стабильной.
