Plex, 보안 취약점 즉시 패치 촉구

한 줄 요약

Plex가 자사 미디어 서버(Plex Media Server)와 데스크톱 클라이언트에서 여러 보안 취약점이 발견되었다며 사용자들에게 즉시 업데이트를 촉구했습니다. 아직 CVE(취약점 공식 번호)가 부여되지 않은 새로운 취약점들은 Plex Media Server 1.43.2 이하 버전에 영향을 미치며, Plex는 이를 해결한 1.43.3 버전과 Plex Desktop 1.115.0을 이미 배포한 상태입니다. 과거에도 Plex 관련 취약점이 실제 공격에 악용된 사례가 있는데, 2022년 LastPass 대규모 개인정보 유출 사고가 Plex의 원격코드실행(RCE) 취약점을 통해 시작되었다는 점에서 이번 경고의 심각성을 알 수 있습니다. Plex가 특정 취약점 해결을 이유로 사용자에게 직접 이메일을 보내는 것은 매우 드문 일로, 그만큼 중요한 보안 문제임을 시사합니다. 현재 패치가 공개되어 있으므로 영향을 받는 버전 사용자는 즉시 업데이트해야 합니다.

사건

Plex가 Plex Media Server 1.43.2 이하 및 Plex Desktop 구버전에서 다수의 보안 취약점을 발견하고 긴급 업데이트를 권고했다. 신규 취약점은 아직 CVE 번호가 없으며, 별도로 CVE-2025-34158(서버 소유자 자격증명 탈취)도 함께 언급됐다.

영향

공격자가 패치를 역분석해 익스플로잇을 개발할 경우 사용자 자격증명 탈취, 원격 코드 실행 등이 가능하다. 과거 CVE-2020-5741 악용 사례에서는 LastPass 직원 PC 해킹 후 기업 전체 데이터 유출로 이어진 선례가 있다.

원인

Plex Media Server 및 데스크톱 클라이언트의 소프트웨어 취약점으로 인해 인증 우회 또는 원격 코드 실행이 가능한 것으로 추정된다. 구체적인 기술 세부사항은 아직 공개되지 않았다.

대응

Plex는 Plex Media Server 1.43.3(5월 19일 출시)과 Plex Desktop 1.115.0(8월 13일 출시)을 통해 취약점을 패치했다. 영향을 받는 버전 사용자에게 이메일로 직접 업데이트를 촉구하는 이례적인 조치도 취했다.

실무 포인트

NAS 기기에서 Plex를 운영하는 경우 패키지 관리자에 업데이트가 아직 반영되지 않을 수 있으므로 공식 다운로드 페이지에서 수동으로 패키지를 설치해야 한다. 공격자가 패치를 분석해 익스플로잇을 만들기 전에 신속히 업데이트하는 것이 핵심이다.

본문

Plex는 이번 주 사용자들에게 다수의 보안 취약점을 해결하기 위해 데스크톱 클라이언트와 미디어 서버를 즉시 업데이트할 것을 촉구했다.

해당 취약점들은 아직 추적을 위한 CVE ID가 부여되지 않았으며, 화요일 기준으로 Plex가 추가 세부 정보를 제공하지 않았지만, 이 보안 문제들은 Plex Media Server v1.43.2 및 이전 버전에 영향을 미치는 것으로 알려져 있다.

Plex는 또한 영향을 받는 버전을 실행 중인 사용자들에게 이메일을 발송해 이 보안 취약점들을 해결하기 위해 가능한 한 빨리 업데이트할 것을 요청했다.

"저희는 최근 다수의 보안 문제를 해결하기 위해 Plex Media Server 1.43.3과 Plex Desktop 1.115.0을 출시했습니다. 모든 서버 소유자와 Desktop 사용자들이 최신 버전으로 업데이트하시길 권장합니다"라고 회사는 밝혔다.

"CVE는 요청된 상태이며, 게시되는 대로 이 스레드에 추가 세부 정보를 공유할 예정입니다. NAS 기기에서 Plex Media Server를 운영 중이라면 해당 기기의 패키지 관리자에 업데이트 버전이 아직 제공되지 않을 수 있지만, 패키지를 수동으로 설치할 수 있습니다."

영향을 받는 버전을 사용 중인 경우, Plex Media Server를 버전 1.43.3(5월 19일 출시)으로, Plex Desktop 클라이언트를 1.115.0(8월 13일 출시)으로 업데이트해 가능한 한 빨리 시스템을 보호할 것을 권고한다. 공식 다운로드 페이지 또는 서버 관리 페이지에서 다운로드할 수 있다.

Plex가 아직 이 취약점들에 대한 세부 정보를 공유하지 않았지만, 공격자들이 패치를 역분석해 익스플로잇을 개발하기 전에 회사의 권고에 따라 시스템을 보호해야 한다.

Plex는 수년에 걸쳐 여러 치명적인 보안 취약점을 패치해왔지만, 특정 취약점을 해결하기 위한 시스템 업그레이드에 대해 고객에게 이메일을 직접 발송한 것은 이번이 드문 사례 중 하나다.

2025년 8월, 회사는 위협 행위자가 서버 소유자의 자격증명을 탈취할 수 있는 고심각도 취약점인 CVE-2025-34158을 패치하도록 사용자들에게 경고하기도 했다.

2년 전인 2023년 3월, CISA는 Plex Media Server의 원격 코드 실행(RCE, 원격에서 서버에 악성 코드를 실행할 수 있는 공격) 취약점인 CVE-2020-5741이 실제로 악용되고 있다고 지목했으며, 이는 공격자가 서버로 하여금 악성 코드를 실행하도록 만들 수 있는 취약점이다.

CISA는 CVE-2020-5741을 악용한 공격의 세부 사항을 공개하지 않았지만, 해당 공격은 LastPass의 공개 내용과 연관된 것으로 추정된다. LastPass의 한 시니어 DevOps 엔지니어의 컴퓨터가 2022년 서드파티 미디어 소프트웨어의 RCE 취약점을 이용해 해킹당했고, 이를 통해 키로깅 악성코드가 설치되었다는 것이다.

공격자들은 이 접근 권한을 이용해 해당 엔지니어의 자격증명을 탈취하고 LastPass 기업 볼트를 침해했으며, 결국 LastPass의 데이터베이스 백업을 훔친 후 2022년 8월 대규모 데이터 유출 사고로 이어졌다.

같은 달, Plex는 공격자들이 이메일, 사용자 이름, 암호화된 자격증명이 포함된 데이터베이스에 접근한 후 사용자들에게 데이터 침해 사실을 알리고 비밀번호를 재설정할 것을 경고한 바 있다.