CISA KEV 警告 25/05/22：Samsung MagicINFO 9 Server の脆弱性 CVE-2025-4632 を登録

U.S. CISA adds a Samsung MagicINFO 9 Server flaw to its Known Exploited Vulnerabilities catalog

2025/05/22 SecurityAffairs — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、Samsung MagicINFO 9 Server の脆弱性 CVE-2025-4632 (CVSS：9.8) を、Known Exploited Vulnerabilities (KEV) カタログに追加した。

この脆弱性は、Samsung MagicINFO 9 Server のバージョン 21.1052 未満に影響を与えるものだ。CISA のアドバイザリには、「Samsung MagicINFO 9 Server には、アクセスが制限されたディレクトリへの、不適切なパス名容認の脆弱性が存在する。この脆弱性の悪用に成功した攻撃者は、システム権限で任意のファイルを書き込む可能性を得る」と記載されている。

拘束力のある運用指令 (BOD) 22-01：米国政府の FCEB 機関は、カタログで特定された脆弱性に対して、定められた期間で対処する必要がある。CISA は連邦政府機関に対して、2025年6月12日までに、この脆弱性を修正するよう命じている。

さらに、専門家たちは、民間組織においても、このカタログを確認し、インフラの脆弱性に対処することを推奨している。

なお、2025/05/19 には、以下の脆弱性が CISA KEV に登録されている：

Samsung MagicINFO 9 Server の脆弱性 CVE-2025-4632 が、CISA KEV に登録されました。この脆弱性については、2025/05/14 の「Samsung MagicINFO の脆弱性 CVE-2025-4632 が FIX：RCE やサーバ乗っ取りの恐れ」が、詳細を報じています。よろしければ、CISA KEV ページと併せて、ご参照ください。