Una vulnerabilità ad alta gravità è stata identificata in Plex Media Server (PMS), che interessa le versioni dalla 1.41.7.x alla 1.42.0.x.
Il problema deriva da una convalida impropria dell’input (CWE-20) e può essere sfruttato da remoto con bassa complessità, potenzialmente portando a conseguenze gravi.
Plex ha pubblicato una correzione nella versione 1.42.1 (1.42.1.10060 o successiva).
| Prodotto | Plex Media Server |
| Data | 2025-08-28 09:40:30 |
| Informazioni | Fix Available |
Riassunto tecnico
La vulnerabilità (CVE-2025-34158) consente a un attaccante di sfruttare una convalida impropria dell’input all’interno di PMS.
È sfruttabile da remoto tramite la rete, non richiede interazione dell’utente, e può richiedere privilegi bassi o nulli a seconda del percorso d’attacco.
Impatto potenziale:
Esposizione di dati sensibili (perdita di riservatezza)
Modifica non autorizzata dei dati (compromissione dell’integrità)
Interruzione del servizio o potenziale esecuzione di codice da remoto (rischio per la disponibilità)
A causa dell’elevata esposizione dei server Plex su internet, si ritiene altamente probabile un tentativo di sfruttamento.
Raccomandazioni
- Aggiornare immediatamente
- Aggiornare Plex Media Server alla versione 1.42.1 (o successiva).
- Assicurarsi di eseguire almeno 1.42.1.10060.
- Ridurre l’esposizione
- Evitare di esporre Plex Media Server direttamente su internet.
- Limitare l’accesso utilizzando firewall, VPN o segmentazione di rete.
- Monitorare i sistemi
- Verificare i log del server per eventuali attività sospette.
- Monitorare traffico anomalo verso gli endpoint PMS.
- Mantenere l’igiene della sicurezza
- Applicare regolarmente gli aggiornamenti Plex non appena vengono rilasciati.
- Seguire gli avvisi di sicurezza ufficiali di Plex per eventuali nuove mitigazioni.