CISA将在LastPass攻击中利用的Plex Media Server漏洞添加到已知利用漏洞目录

美国CISA将Plex Media Server中的远程代码执行漏洞添加到其已知利用漏洞目录中。

美国网络安全和基础设施安全局(CISA)已将Plex媒体服务器中的远程代码执行(RCE)漏洞添加到其已知利用漏洞目录中，该漏洞被跟踪为CVE-2020-5741（CVSS 评分：7.2）  。

这个存在三年的高危漏洞是Windows上Plex Media Server中不可信数据的反序列化，经过身份验证的远程攻击者可以触发它执行任意Python代码。

“这个问题允许攻击者访问服务器管理员的Plex帐户，通过相机上传功能上传恶意文件，并让媒体服务器执行它。这可以通过将服务器数据目录设置为与启用了相机上传的库的内容位置重叠来完成。” Plex发布的公告指出。“如果不先访问服务器的Plex帐户，就无法利用此问题。”

该公司通过2020年5月发布的Plex Media Server 1.19.3解决了该漏洞。

LastPass遭受的安全漏洞是由于未能在其一名工程师的家用计算机上更新Plex造成的。

最近，这家密码管理软件公司披露了“第二次攻击”，威胁行为者使用了从8月的安全漏洞中窃取的数据，并将其与第三方数据泄露中的可用信息相结合。然后，攻击者利用第三方媒体软件包中的漏洞来攻击该公司。

LastPass透露，其一名DevOp工程师的家用电脑在复杂的网络攻击中遭到黑客入侵。

根据Binding Operational Directive(BOD)22-01：降低已知被利用漏洞的重大风险，FCEB机构必须在截止日期前解决已识别的漏洞，以保护其网络免受利用目录中缺陷的攻击。

专家还建议私人组织审查目录并解决其基础设施中的漏洞。

CISA命令联邦机构在2023年3月31日之前修复此漏洞。

本文来源于Lonely Blog -全球网络安全资讯平台, 转载请注明出处： https://blog.wuhao13.xin/4905.html