Plex costringe a patchare server e desktop insieme
Plex ha pubblicato le correzioni per Media Server 1.43.3 e Desktop 1.115.0, e chiede di aggiornare subito dopo aver chiuso più vulnerabilità non divulgate. L’avviso arriva mentre gli identificativi CVE sono ancora in assegnazione, ma una delle falle note nell’ecosistema Plex resta CVE-2020-5741.
Il punto pratico è la copertura mista: in un ambiente con server e client su versioni diverse, la parte non aggiornata resta il punto d’ingresso. Plex segnala anche gli impianti su NAS, dove il pacchetto corretto può arrivare in ritardo nel package manager e lasciare esposta l’istanza finché non viene installato a mano.
Per chi gestisce Plex in modo distribuito, la sicurezza dipende ora dallo stato di entrambi i lati, non dal solo server. Un rilascio parziale non chiude l’esposizione se una delle due componenti resta indietro o se il NAS non ha ancora ricevuto il pacchetto corretto.
CVSS 7.2 HIGH: deserialization of Untrusted Data in Plex Media Server on Windows allows a remote, authenticated attacker to execute… EPSS 73% (99º percentile).
Data di correzione federale CISA 31 mar · data superata
CVSS 8.5 HIGH: plex Media Server (PMS) 1.41.7.x through 1.42.0.x before 1.42.1 is affected by incorrect resource transfer between… EPSS 0.6% (48º percentile).