CVE-2025-54438

Path Traversal w Samsung MagicINFO 9 Server umożliwia wgranie web shell

CVSS 9.8v3.1pub. 2025-07-23upd. 2025-07-30

Krytyczna podatność typu path traversal w Samsung MagicINFO 9 Server pozwala nieuwierzytelnionemu atakującemu na wgranie złośliwego pliku (web shell) bezpośrednio na serwer WWW. Ze względu na brak wymagań uwierzytelnienia i sieciowy wektor ataku stanowi poważne zagrożenie dla każdego eksponowanego publicznie systemu.

▸ Pokaż oryginał (EN)

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Samsung Electronics MagicINFO 9 Server allows Upload a Web Shell to a Web Server.This issue affects MagicINFO 9 Server: less than 21.1080.0

🤖 Analiza AI

Jak działa

Podatność wynika z niewłaściwej walidacji ścieżki pliku podczas operacji przesyłania plików — aplikacja nie ogranicza skutecznie docelowego katalogu do dozwolonego obszaru (CWE-22). Atakujący może spreparować żądanie zawierające sekwencje path traversal (np. '../'), aby zapisać plik poza przeznaczonym katalogiem, w tym bezpośrednio w katalogu obsługiwanym przez serwer WWW. W rezultacie możliwe jest umieszczenie wykonywalnego web shell, który następnie może być wywołany przez HTTP.

Skutki

Skuteczne wykorzystanie podatności daje atakującemu pełną zdalną kontrolę nad serwerem — możliwe jest wykonywanie dowolnych poleceń systemowych, kradzież danych, a także wykorzystanie przejętego serwera jako punktu wyjścia do dalszych ataków w sieci wewnętrznej.

Mitygacja

Należy jak najszybciej zaktualizować Samsung MagicINFO 9 Server do wersji 21.1080.0 lub nowszej. Szczegółowe informacje o patchu dostępne są pod adresem https://security.samsungtv.com/securityUpdates. Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu do interfejsu serwera wyłącznie do zaufanych adresów IP przy użyciu firewall oraz monitorowanie katalogu webroot pod kątem nieautoryzowanych plików.