plex2shell_pcap

plex2shell エクスプロイト用の pcap アーティファクト

2026年10月17日現在、これは実際の攻撃で悪用されていますが、名前に「lab」を含む pcap はラボでのテストによるものです!!

実際の攻撃での悪用について: https://www.boredhackerblog.info/2026/10/plex-vulnerabilities-being-exploited-in.html

情報: https://zmain.info/blog/plex2shell

関連する CVE:

• CVE-2026-96652
• CVE-2026-96654
• CVE-2026-96655
• CVE-2026-96656

エクスプロイト/POC: https://github.com/code-zm/plex2shell

ターゲット: Dockerイメージ: linuxserver/plex:1.42.2 10.98.178.40

攻撃者: 10.98.178.28

対象の docker-compose.yml:

---
services:
  plex:
    image: linuxserver/plex:1.42.2
    container_name: plex
    network_mode: host
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Etc/UTC
      - VERSION=docker
    volumes:
      - ./plex/library:/config
      - ./tvseries:/tv
      - ./movies:/movies
    restart: unless-stopped

pcap:

• plex2shell_lab_filtered.pcap - インタラクティブなリバースシェル
• plex2shell_lab_one_shot_filtered.pcap - ワンショットの id と hostname だと思う
• plex2shell_lab_one_shot_2_filtered.pcap - ワンショットの id、hostname、そして確か cat passwd

検出の観点では --exec かインタラクティブかはあまり重要ではないと思います。

エクスプロイトコードから、使用されているこれらのポートとドメインは常に変更可能です（もちろんファイル名など他の多くのものと同様に...）:

    attacker_host = "127.0.0.1.%s.sslip.io" % args.attacker_ip.replace(".", "-")
    token_port, carrier_port, lport = 8952, 8933, 9001

スクリーンショット:

プロセスツリー（インタラクティブなリバースシェル経由で sleep を実行したときのもの）

Wireshark からのスクリーンショット: