plex2shell_pcap

Artefatti pcap per lo sfruttamento di plex2shell

A partire dal 17 ottobre 2026, questa vulnerabilità è sfruttata in the wild, ma i pcap con "lab" nel nome provengono da test di laboratorio!!

riguardo allo sfruttamento in the wild: https://www.boredhackerblog.info/2026/10/plex-vulnerabilities-being-exploited-in.html

Info: https://zmain.info/blog/plex2shell

CVE associati:

• CVE-2026-96652
• CVE-2026-96654
• CVE-2026-96655
• CVE-2026-96656

Exploit/POC: https://github.com/code-zm/plex2shell

Target: immagine Docker: linuxserver/plex:1.42.2 10.98.178.40

Attaccante: 10.98.178.28

docker-compose.yml di destinazione:

---
services:
  plex:
    image: linuxserver/plex:1.42.2
    container_name: plex
    network_mode: host
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Etc/UTC
      - VERSION=docker
    volumes:
      - ./plex/library:/config
      - ./tvseries:/tv
      - ./movies:/movies
    restart: unless-stopped

pcap:

• plex2shell_lab_filtered.pcap - reverse shell interattiva
• plex2shell_lab_one_shot_filtered.pcap - one shot di id e hostname credo
• plex2shell_lab_one_shot_2_filtered.pcap - one shot di id, hostname e cat passwd se non ricordo male

Non credo che --exec o l'interattività contino molto per la parte di rilevamento.

dal codice dell'exploit, queste porte e questo dominio utilizzati possono sempre essere modificati (insieme a molte altre cose come i nomi dei file, ovviamente...):

    attacker_host = "127.0.0.1.%s.sslip.io" % args.attacker_ip.replace(".", "-")
    token_port, carrier_port, lport = 8952, 8933, 9001

Screenshot:

Albero dei processi (di me che eseguo sleep tramite reverse shell interattiva)

Screenshot da wireshark: