plex2shell_pcap

plex2shell 익스플로잇을 위한 pcap 아티팩트

2026년 10월 17일 기준, 이는 실제 환경에서 익스플로잇되고 있으나 이름에 "lab"이 포함된 pcap은 랩 테스트에서 나온 것입니다!!

실제 환경 익스플로잇 관련: https://www.boredhackerblog.info/2026/10/plex-vulnerabilities-being-exploited-in.html

정보: https://zmain.info/blog/plex2shell

관련 CVE:

• CVE-2026-96652
• CVE-2026-96654
• CVE-2026-96655
• CVE-2026-96656

익스플로잇/POC: https://github.com/code-zm/plex2shell

대상: Docker 이미지: linuxserver/plex:1.42.2 10.98.178.40

공격자: 10.98.178.28

대상 docker-compose.yml:

---
services:
  plex:
    image: linuxserver/plex:1.42.2
    container_name: plex
    network_mode: host
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Etc/UTC
      - VERSION=docker
    volumes:
      - ./plex/library:/config
      - ./tvseries:/tv
      - ./movies:/movies
    restart: unless-stopped

pcap:

• plex2shell_lab_filtered.pcap - 대화형 리버스 셸
• plex2shell_lab_one_shot_filtered.pcap - 원샷 id와 hostname인 것 같음
• plex2shell_lab_one_shot_2_filtered.pcap - 원샷 id, hostname, 그리고 cat passwd인 것으로 기억함

탐지 부분에서는 --exec나 대화형 여부가 그다지 중요하지 않다고 생각합니다.

익스플로잇 코드에서 사용되는 이 포트와 도메인은 언제든지 수정될 수 있습니다 (물론 파일 이름 등 다른 많은 것들과 마찬가지로...):

    attacker_host = "127.0.0.1.%s.sslip.io" % args.attacker_ip.replace(".", "-")
    token_port, carrier_port, lport = 8952, 8933, 9001

스크린샷:

프로세스 트리 (대화형 리버스 셸을 통해 sleep을 실행한 내 모습)

wireshark 스크린샷: