I criminali sfruttano la vulnerabilità in Samsung MagicINFO 9 Server

Samsung MagicINFO è una piattaforma di gestione centralizzata per contenuti digitali nei monitor Samsung, ampiamente usati in ambienti come negozi, aeroporti, ospedali e aziende. La versione 9 del server presenta una vulnerabilità critica di tipo Remote Code Execution (RCE), catalogata come CVE-2024-7399.

Questa falla consente a un attaccante non autenticato di caricare file arbitrari sul server, sfruttando una funzionalità di upload destinata all’aggiornamento dei contenuti dei display. La vulnerabilità è stata corretta da Samsung con il rilascio della versione 21.1050 nel 2024 .

Upload maligno che porta a controllo completo

Il problema risiede in una limitazione errata del percorso dei file caricati che permette a un attaccante di scrivere con privilegi di sistema file in directory teoricamente precluse. In particolare, l’attaccante può inviare una richiesta POST non autenticata contenente un file JSP maligno che viene poi eseguito dal server consentendo l’esecuzione di comandi arbitrari con i privilegi del sistema operativo. Questa tecnica sfrutta la mancanza di controlli adeguati sul percorso dei file e sull’autenticazione degli utenti che effettuano l’upload.

Attacchi su larga scala

L’exploit di questa vulnerabilità può portare a compromissioni complete del sistema, inclusa l’installazione di malware, il furto di dati sensibili e l’interruzione dei servizi di digital signage. Data la natura centralizzata di MagicINFO, un attacco riuscito può avere un impatto significativo su vasta scala, soprattutto in ambienti con numerosi display distribuiti. Inoltre, l’accesso non autenticato amplifica il rischio, rendendo possibile l’attacco da parte di qualsiasi attore malintenzionato con accesso alla rete.

Mitigare si può

Si consiglia vivamente di aggiornare Samsung MagicINFO Server alla versione 21.1050 o successiva che corregge la vulnerabilità CVE-2024-7399. Inoltre, è fondamentale implementare controlli di accesso rigorosi, monitorare le attività sospette e limitare l’accesso al server solo a indirizzi IP fidati. L’adozione di pratiche di sicurezza come l’analisi regolare dei log e l’uso di firewall applicativi può ulteriormente ridurre il rischio di exploit.