Emby发布紧急安全更新修复漏洞 同时远程关闭用户自建服务器 – 蓝点网

今天知名媒体服务器提供商 Emby 发布紧急安全更新 4.7.12 版修复已经被黑客利用的发布服务安全漏洞，同时 Emby 警告自托管用户检查安全情况，紧急因为从 5 月中旬开始一名黑客设法渗透了用户自己搭建的安全黑色毛呢百褶裙配啥毛衣 Emby Server，最终可以达到建立后门的更新关闭目的。

事件背景：

从 2023 年 5 月中旬开始，修复一名黑客渗透了 Emby Server 的漏洞私人用户托管实例 (自托管实例 / 自建服务器)，这些实例可以通过公网访问，远程用户并且管理员用户账户的自建配置不安全。

结合最近 beta 通道中修复的器蓝代理标头漏洞，这使得攻击者能够获得对此类系统的点网管理访问权限，最终让攻击者可以安装自定义插件 (恶意插件)，发布服务黑色毛呢百褶裙配啥毛衣从而在 Emby Server 中建立后门。紧急

在进行仔细分析和评估后，安全Emby 团队能够向 Emby Server 推送更新，更新关闭该更新可以检测异常插件并将其封禁。修复鉴于以上情况的严重性和性质，同时基于安全考虑，Emby 更新将会在检测到异常后将自动关闭服务器。

强行关闭服务器目前似乎是最佳做法，因为在禁用异常插件后还可能有其他情况发生，而关闭服务器可以让管理员意识到此次安全问题并着手进行处理。

对恶意插件的分析表明，黑客会窃取 Emby Server 的登录凭据，每次成功登录后账号密码都会发送到黑客的服务器。

以下是总结：

自 2023 年 5 月 25 日起 Emby Server 自建服务器将自动关闭

自 2023 年 5 月 25 日起 Emby Server 自建服务器将无法启动

用户要采取的行动：

1. 删除插件 dll 文件，名为 help.dll 和 EmbyHelper.dll，位于 Emby Server 的 plugins 文件夹中

2. 还需要检查 cache 和 data 子文件夹中是否存在类似名称的 dll

3. 检查服务器 /etc/hosts 文件，该文件中会出现 emmm.spxaebjhxtmddsri.xyz 127.0.0.1，这是黑客的通信域名，删除该条目

4. 检查其他异常：检查是否有可以账户、未知进程、未知网络连接和被开放的端口、SSH 配置、防火墙规则

5. 立即修改所有账户密码

必须在完成以上步骤后，并执行以下操作：(再启动服务器前操作)

1. 禁用外部网络连接，也就是禁止公网访问

2. 转到 Emby Server 数据文件夹的此位置：programdata/plugins/configurations 删除 ReadyState.xml 和 EmbyScripterX.xml (如果没有就忽略)

3. 完成上述步骤后启动 Emby Server，并为所有用户生成新密码、设置不允许没有密码的本地登录、确保所有账户均需要密码登录而不是空密码

4. 重新启动公网连接 (如需要)，考虑更换 IP 地址 (国内用户重启光猫)、端口或 DNS 服务器

最后：

立即检查更新并安装 Emby Server 4.7.12 版。

官方公告：https://emby.media/support/articles/advisory-23-05.html#emby-server-4712-security-update

最新评论