Plex a demandé à tout le monde de mettre à jour. 36 000 serveurs ne l'ont pas fait.
Plex a rompu ses habitudes le 1er septembre en écrivant directement à ses utilisateurs pour leur demander de mettre à jour. Nous en avons parlé à l'époque. Quelqu'un a maintenant compté combien de personnes l'ont réellement fait.
Shadowserver, l'organisation à but non lucratif qui scanne internet et signale aux responsables de réseaux ce qui se voit de l'extérieur, a commencé le 4 septembre un relevé quotidien des installations de Plex Media Server non corrigées. Chaque jour depuis, elle trouve plus de 36 000 instances joignables depuis internet et toujours en 1.43.2 ou antérieure. Le correctif n'est pas récent : Media Server 1.43.3 est sorti le 19 mai, et Plex Desktop 1.115.0 le 13 août. Ce sont donc des machines qui disposaient d'un correctif depuis près de quatre mois.
Les failles n'ont toujours pas d'identifiants CVE. La position de Plex reste que des CVE ont été demandés et que les détails suivront. L'objection de Shadowserver est pratique : sans identifiants, le problème demeure largement invisible pour ceux dont c'est le métier de le suivre, et rien ne remonte dans les scanners et les avis de sécurité qui pousseraient sinon les propriétaires à agir. Le secret est de toute façon un marché à sens unique, car un correctif est un avant-après public. N'importe qui peut comparer 1.43.2 et 1.43.3 et en déduire ce qui a changé, et cette horloge tourne depuis mai.
L'opération prend une minute depuis la page de réglages du serveur. Si votre Plex vit sur un boîtier Synology, QNAP ou Unraid, installez le paquet à la main plutôt que d'attendre la version du magasin, qui a tendance à traîner de plusieurs jours. Et si la vraie raison de votre inaction est que ce serveur n'a jamais vraiment été le vôtre à entretenir, celui installé il y a des années et auquel personne ne pense, alors c'est cela qu'il faut régler. La vérification des mises à jour d'applications de Tendvane passe par winget, l'outil de paquets de Microsoft, et maintient à jour l'essentiel des logiciels de bureau ordinaires ; un serveur multimédia posé sur un NAS au fond d'un placard reste un cas dont vous devez vous occuper vous-même.