Samsung MagicINFO の脆弱性 CVE-2025-4632 が FIX：RCE やサーバ乗っ取りの恐れ

Critical CVE-2025-4632 Flaw in Samsung MagicINFO Puts Global Signage Networks at Risk

2025/05/14 SecurityOnline — Samsung MagicINFO サーバに発見された深刻な脆弱性 CVE-2025-4632 (CVSS：9.8) は、小売／運輸／医療／企業環境などの多様な業界のデジタル・サイネージ・インフラに、重大なリスクをもたらしている。この脆弱性は、制限されたディレクトリへ向けたパス名の不適切な制限に起因し、悪用に成功した未認証の攻撃者は、システム・レベル権限での任意のファイル書込みの可能性を手にする。

MagicINFOは、Samsung が提供する主力の CMS であり、世界中のデジタル・サイネージ・ディスプレイの管理／制御に活用されている。それを活用する組織は、サイネージ・ネットワーク全体に対し、マルチメディア・コンテンツのスケジューリングや、配信／監視などをリモートで実施している。通常において、これらのネットワークは、高い権限でインターネットに接続され、中央集中的に管理されているため、攻撃者にとって価値の高い標的となりやすい。

脆弱性 CVE-2025-4632 は、Samsung MagicINFO Server バージョン 9 の 21.1052 未満に影響する。この脆弱性の悪用に成功した攻撃者は、システム・ユーザーとして任意のファイルを書き込む機会を手にし、リモート・コード実行やサーバ乗っ取りの可能性を得る。

この脆弱性は、ファイル書き込み操作時にファイル・パスの検証が不十分であることに起因する。その結果として、リモートの攻撃者はディレクトリ制限を回避し、想定外のロケーションへのファイル・アップロードを可能にする。それにより、機密性の高いシステム・ディレクトリなどの、ファイル・システム上の任意の場所に、攻撃者は悪意のコードを仕込めるようになる。

Samsung のアドバイザリには、「脆弱性 CVE-2025-4632 のパッチは、入力の検証ロジックを変更する」と記されているため、この脆弱性の原因が、ファイル・パス処理時における入力サニタイズの不備であったことが示唆される。

この脆弱性の悪用に成功した攻撃者は、特権を昇格して SYSTEM ユーザーとしてサーバ上で任意のコード実行を達成し、ホストの環境への無制限のアクセス権を取得するとされる。

2025年の初頭には、同製品の別の RCE 脆弱性 CVE-2024-7399 が、攻撃者により積極的に悪用され、システムの乗っ取りやマルウェアの展開が発生していた。

すでに Samsung は、バージョン 21.1052 の一部としてパッチをリリースし、入力検証ロジックを強化することで、この脆弱性を修正した。MagicINFO Server を使用している組織に推奨されるのは、速やかにバージョン 21.1052 以降へと更新することである。

Samsung MagicINFO サーバに、深刻な脆弱性が発見されたとのことです。ご利用のチームは、ご注意ください。なお、MagicINFO に関する直近のトピックは、2025/05/06 の「Samsung MagicINFO の脆弱性 CVE-2024-7399：PoC 公開と悪用の観測」となります。よろしければ、ご参照ください。