- ひとことでPlex Media Server で、管理者のアカウントを奪われるとプログラムを動かされる弱点
- 深刻度7.2 重要CVSS v3.1
- まずやることPlex Media Server を 1.19.3 以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2020-5741 |
|---|---|
| 製品 | Plex Media Server |
| 深刻度（CVSS） | 7.2 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2023-03-10 |
| 米国政府機関の対応期限 | 2023-03-31 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-502（信頼できないデータのデシリアライズ） |
何が起きた
Plex の Media Server（Windows 版）に、信頼できないデータを復元（デシリアライズ）してしまう弱点が見つかり、実際に悪用が確認されています。サーバー管理者の Plex アカウントに入れる攻撃者は、Camera Upload の機能で悪意のあるファイルを送り、サーバーに実行させることができます。悪用には、管理者などの高い権限が必要です。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Windows で Plex Media Server を使っている人が影響を受けます。CVE の記録では、1.19.3 より前のバージョンが対象です。
何をすればいい
Plex の案内に従い、Plex Media Server を 1.19.3 以降に更新してください。Plex は、管理者アカウントへのアクセスに気をつけることも勧めています。公式の案内を確認し、使っているバージョンを確かめてください。
やることチェックリスト
- Plex Media Server を 1.19.3 以降に更新する
- 管理者の Plex アカウントを厳重に管理する
- 使っている Plex のバージョンを確認する
用語メモ
- デシリアライズ 用語集で見る
- 保存や送信のために変換したデータを、元のプログラムのデータに戻す処理です。信頼できないデータを戻すと、攻撃に使われることがあります。
- Camera Upload
- スマートフォンなどで撮った写真を Plex のサーバーに送る機能です。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Plex Media Server Remote Code Execution Vulnerability
概要
Plex Media Server contains a remote code execution vulnerability that allows an attacker with access to the server administrator's Plex account to upload a malicious file via the Camera Upload feature and have the media server execute it.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る