plex2shell_pcap

artefacts pcap pour l'exploitation de plex2shell

Depuis le 17 octobre 2026, cette vulnérabilité est exploitée dans la nature, mais les pcaps dont le nom contient « lab » proviennent de tests en laboratoire !!

concernant l'exploitation dans la nature : https://www.boredhackerblog.info/2026/10/plex-vulnerabilities-being-exploited-in.html

Infos : https://zmain.info/blog/plex2shell

CVE associées :

• CVE-2026-96652
• CVE-2026-96654
• CVE-2026-96655
• CVE-2026-96656

Exploit/POC : https://github.com/code-zm/plex2shell

Cible : Image Docker : linuxserver/plex:1.42.2 10.98.178.40

Attaquant : 10.98.178.28

docker-compose.yml cible :

---
services:
  plex:
    image: linuxserver/plex:1.42.2
    container_name: plex
    network_mode: host
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Etc/UTC
      - VERSION=docker
    volumes:
      - ./plex/library:/config
      - ./tvseries:/tv
      - ./movies:/movies
    restart: unless-stopped

pcaps :

• plex2shell_lab_filtered.pcap - reverse shell interactive
• plex2shell_lab_one_shot_filtered.pcap - one shot id et hostname je crois
• plex2shell_lab_one_shot_2_filtered.pcap - one shot id, hostname et cat passwd si je me souviens bien

Je ne pense pas que --exec ou le mode interactif aient beaucoup d'importance pour la partie détection.

d'après le code de l'exploit, ces ports et ce domaine utilisés peuvent toujours être modifiés (tout comme beaucoup d'autres choses, comme les noms de fichiers, évidemment...) :

    attacker_host = "127.0.0.1.%s.sslip.io" % args.attacker_ip.replace(".", "-")
    token_port, carrier_port, lport = 8952, 8933, 9001

Captures d'écran :

Arborescence des processus (de moi exécutant sleep via un reverse shell interactif)

Captures d'écran de Wireshark :