İlk sorun, Plex Media Server’da CVE-2020-5741 olarak izlenen ve seriden kaldırma sorunu olarak tanımlanan yüksek önem dereceli bir güvenlik açığıdır. Bu kusur, istismar edilirse rastgele Python kodunu uzaktan yürütmek için kötüye kullanılabilir. Bu güvenlik açığı nedeniyle, sunucu yöneticisinin Plex hesabına erişimi olan bir saldırgan, Kamera Yükleme işlevini kullanarak kötü amaçlı bir dosyayı medya sunucusuna göndererek sunucunun dosyayı yürütmesini sağlayabilmiştir. Güvenlik açığı, Plex Media Server sürüm 1.19.3’ün piyasaya sürülmesiyle yamalandı ve bir saldırganın Plex Media Server’dan başarılı bir şekilde yararlanabilmesi için yönetici erişimine sahip olması gerektiğinden, saldırganların onu hedef alması pek olası değildi.
CISA, vahşi ortamda nasıl istismar edildiğine dair ayrıntıları paylaşmadan bu güvenlik açığını KEV listesine eklerken, son zamanlarda basında çıkan haberler, LastPass’ta kullanıcı kasası verilerinin çalınmasıyla sonuçlanan veri ihlalinin bir Plex hatasıyla ilgili olabileceğini öne sürdü. bir DevOps mühendisinin bilgisayarını hacklemek için kullanıldı. Bu, CISA’nın güvenlik açığından nasıl yararlanıldığına ilişkin ayrıntıları paylaşmadan bu güvenlik açığını KEV listesine eklemesine rağmen gerçekleşti.
Sonunda, saldırganlar mühendisin kimlik bilgilerine ve LastPass’in şirket kasasına erişmeyi başardılar. Tehdit aktörleri, LastPass’tan üretim yedeklerini ve önemli veritabanı yedeklerini çaldıktan sonra, bu olay 2022 Ağustos ayında büyük bir veri ihlaliyle sonuçlandı. yazılım kusuru mühendisin bilgisayarına girmek için kullanıldı. LastPass, mühendisin bilgisayarına girmek için hangi yazılım kusurunun kullanıldığını açıklamadı.
LastPass, Ağustos ayında ikinci bir veri ihlali yaşadığını açıkladığında, Plex ayrıca müşterilerine verilerinin ele geçirildiğini söyledi ve şifrelerini değiştirmelerini istedi.
Şu anda risk altyapısı uzmanı ve araştırmacı olarak çalışan bilgi güvenliği uzmanı.
Risk ve kontrol süreci, güvenlik denetimi desteği, iş sürekliliği tasarımı ve desteği, çalışma grubu yönetimi ve bilgi güvenliği standartları konularında 15 yıllık deneyim.