Luka w Samsung MagicINFO 9 Server pozwala zapisać dowolny plik z uprawnieniami systemu i przejąć serwer ekranów. CISA potwierdza ataki, kod demonstracyjny jest publiczny. Zaktualizuj do 21.1052 lub nowszej i odetnij panel od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, które wyświetlają treści na ekranach Samsung (witryny, recepcje, poczekalnie, restauracje) zarządzanych przez serwer MagicINFO 9. Werdykt: jeśli serwer MagicINFO 9 ma wersję starszą niż 21.1052 albo jest dostępny z internetu, zaktualizuj go i odetnij od internetu dziś, bo luka pozwala przejąć serwer z najwyższymi uprawnieniami i jest aktywnie wykorzystywana.
Amerykańska agencja CISA 24 kwietnia 2026 roku dopisała podatność CVE-2024-7399 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Samsung MagicINFO 9 Server, systemu do zarządzania ekranami informacyjnymi i reklamowymi. Pozwala zapisać dowolny plik na serwerze z uprawnieniami systemu, co w praktyce kończy się uruchomieniem kodu napastnika.
To nie pierwsza taka luka w tym produkcie. Rok wcześniej, 22 maja 2025 roku, CISA dodała do katalogu bliźniaczą podatność CVE-2025-4632 w tym samym serwerze, naprawioną dopiero w wersji 21.1052. Termin naprawy CVE-2024-7399 wyznaczony przez CISA minął 8 maja 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-7399 (powiązana: CVE-2025-4632) |
Data dodania do CISA KEV | 2026-04-24 (CVE-2025-4632: 2025-05-22) |
Termin naprawy wg CISA | 2026-05-08 (CVE-2025-4632: 2025-06-12) |
Produkt | Samsung MagicINFO 9 Server (serwer treści dla ekranów Samsung, działający na Windows) |
Wersje zagrożone | MagicINFO 9 Server starszy niż 21.1050. Bliźniacza luka CVE-2025-4632 dotyczy wersji starszych niż 21.1052, w tym 21.1050 |
Wersje bezpieczne | 21.1050 zamyka CVE-2024-7399, ale pozostaje podatna na CVE-2025-4632. Minimalna rozsądna wersja: 21.1052. Zalecenie: najnowsze wydanie dostępne u producenta (numeru najnowszej wersji nie udało się zweryfikować) |
Typ podatności | Przejście po ścieżce katalogów i nieograniczone wysyłanie plików niebezpiecznego typu; CWE-22 i CWE-434 |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA, bez logowania). Samsung: 8.8 (CVSS 3.1, WYSOKA, wymaga konta o niskich uprawnieniach). Obie oceny: atak przez sieć, bez udziału użytkownika |
Wyobraź sobie magazyn, do którego dostawcy zostawiają paczki w wyznaczonym pomieszczeniu. Magazynier przyjmuje paczkę razem z karteczką „gdzie ją położyć” i nigdy nie sprawdza, czy wskazane miejsce to pomieszczenie dla dostaw. Ktoś pisze na karteczce „gabinet prezesa, sejf” i magazynier, który ma klucz generalny, grzecznie zanosi tam paczkę. W środku jest coś, co po otwarciu robi, co zechce nadawca.
Tak działał MagicINFO 9 Server. Program przyjmował plik i ścieżkę zapisu, ale nie sprawdzał, czy ścieżka mieści się w dozwolonym katalogu, ani czy typ pliku jest bezpieczny. Zapis odbywał się z uprawnieniami systemu, czyli najwyższymi na Windows. Według opisu badaczy wystarczy wgrać spreparowany plik strony (JSP), żeby serwer uruchomił kod napastnika. Najbardziej podstępne jest to, że serwer ekranów rzadko jest traktowany jak komputer: stoi na zapleczu, działa całą dobę i nikt go nie aktualizuje.
💡 Przejście po ścieżce katalogów (path traversal) to sztuczka z nazwą pliku typu „../../”, która wyprowadza zapis poza dozwolony folder. Uprawnienia systemu (SYSTEM) to konto Windows mocniejsze niż administrator. JSP to plik strony internetowej, który serwer wykonuje jak program. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Wgranie grafiki na ekran | Plik trafia do katalogu z treściami | Plik może trafić w dowolne miejsce dysku |
Typ wgrywanego pliku | Tylko obrazy i wideo | Także pliki wykonywalne przez serwer (JSP) |
Uprawnienia zapisu | Ograniczone do aplikacji | Uprawnienia systemu Windows |
Kto może wgrać plik | Pracownik lub agencja z kontem | Wg NVD każdy, kto dosięgnie serwera przez sieć; wg Samsunga osoba z dowolnym kontem |
Skutek dla firmy | Nowy cennik na ekranie | Przejęty serwer w sieci firmowej, obok kas i księgowości |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia wykorzystanie jako aktywne i możliwe do zautomatyzowania, a publicznie dostępny kod demonstracyjny ułatwia masowe skanowanie. Najbardziej narażone są serwery MagicINFO dostępne z internetu; serwer widoczny tylko w sieci wewnętrznej wymaga, by napastnik był już w środku.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie w internecie paneli MagicINFO 9 Server | Lista serwerów do ataku |
2. Zapis pliku | T+kilka minut | Wysłanie spreparowanego żądania ze ścieżką wychodzącą poza katalog treści i plikiem JSP | Złośliwy plik na dysku serwera |
3. Uruchomienie kodu | T+kilka minut | Wywołanie wgranego pliku | Kod napastnika działa z uprawnieniami systemu |
4. Utrwalenie | T+godziny | Instalacja narzędzi zdalnego dostępu lub oprogramowania botnetu | Stały dostęp do serwera |
5. Rozpoznanie sieci | T+1 do 3 dni | Przegląd komputerów widocznych z serwera: kasy, księgowość, udziały plikowe | Mapa systemów wartych ataku |
6. Dalsze działania | T+dni do tygodni | Kradzież danych, szyfrowanie, podmiana treści na ekranach | Przestój, wyciek lub kompromitacja w witrynie |
Serwer MagicINFO bywa „niewidzialny”: nie ma go na liście systemów objętych aktualizacjami, a często jest wystawiony do internetu dla wygody agencji przygotowującej treści. Przejęcie go z uprawnieniami systemu daje napastnikowi przyczółek w tej samej sieci, w której pracują kasy, księgowość i serwery plików.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączone ekrany, a przy rozprzestrzenieniu ataku zatrzymana sprzedaż i obsługa klientów | Godziny do dni | 20 tys. do 300 tys. PLN (przestój, odtworzenie systemów) |
Bezpieczeństwo danych | Dostęp do danych z komputerów w tej samej sieci, w tym dokumentów i danych klientów | Dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, wymiany lub reinstalacji serwera, ewentualne żądanie okupu | Dni do tygodni | 20 tys. do 500 tys. PLN łącznie |
Reputacyjny | Podmienione treści na ekranach widoczne dla klientów i przechodniów | Minuty od przejęcia | 10 tys. do 200 tys. PLN (kampania naprawcza, utracona sprzedaż) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z MagicINFO 9 Server
starszym niż 21.1052 i dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: dla serwera wystawionego do internetu ryzyko jest krytyczne (publiczny kod demonstracyjny, ataki potwierdzone, możliwa automatyzacja, uprawnienia systemu); serwer zaktualizowany do najnowszej wersji i dostępny tylko z wydzielonej sieci wewnętrznej spada do poziomu średniego.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w firmie (lub u agencji obsługującej ekrany) działa MagicINFO 9 Server i w jakiej wersji | Dziś | Kierownik IT |
2 | 🔴 NATYCHMIAST | Zablokować dostęp do panelu MagicINFO z internetu; agencja zewnętrzna łączy się przez VPN | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować serwer co najmniej do 21.1052, najlepiej do najnowszego wydania producenta | Dziś lub w najbliższym oknie serwisowym | Administrator / partner IT |
4 | 🟠 PILNIE | Sprawdzić dysk serwera pod kątem nieznanych plików JSP i innych plików wykonywalnych w katalogach aplikacji | Do 3 dni | Dział IT / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przejrzeć logi serwera i zapory pod kątem nietypowych połączeń wychodzących | Do 7 dni | Dział IT |
6 | 🟡 WAŻNIE | Przenieść serwer i ekrany do osobnej, wydzielonej sieci bez dostępu do kas, księgowości i kopii zapasowych | Do 30 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Dopisać serwer ekranów do rejestru systemów objętych comiesięcznymi aktualizacjami | Do 30 dni | CTO |
Producent wydał poprawki (21.1050 dla CVE-2024-7399 i 21.1052 dla bliźniaczej CVE-2025-4632), więc docelowo trzeba je wgrać. Do tego czasu pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie serwera od internetu (zalecenie Arctic Wolf także po aktualizacji) | Wysoka wobec ataków z internetu, nie chroni przed napastnikiem w sieci wewnętrznej | Łatwa |
Dostęp dla agencji tylko przez VPN | Wysoka | Średnia: wymaga konfiguracji VPN |
Wydzielenie serwera w osobnej sieci (VLAN) z blokadą ruchu do reszty firmy | Wysoka jako ograniczenie skutków, nie usuwa luki | Średnia |
Ograniczenie i przegląd kont w MagicINFO | Niska do średniej: pomaga tylko wobec wariantu wymagającego konta (ocena Samsunga) | Łatwa |
Tymczasowe wyłączenie serwera (ekrany pokazują ostatnią treść lub są wyłączone) | Wysoka | Łatwa, kosztem braku zmian treści |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp z internetu | Panel otwarty dla każdego skanera | Tylko przez VPN |
Wersja serwera | Starsza niż 21.1052 | Najnowsze wydanie producenta |
Granica sieci | Serwer ekranów obok kas i księgowości | Osobna sieć tylko dla ekranów |
Wiedza o serwerze | Nikt nie pamięta, że istnieje | Wpisany do rejestru z właścicielem |
Skutek udanego ataku | Przyczółek w sieci firmowej | W najgorszym razie problem z treścią ekranów |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Arctic Wolf opisał ataki na MagicINFO 9 Server od początku maja 2025 roku |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 8.8 WYSOKA wg Samsunga (CVSS 3.1) |
PoC dostępny publicznie? | TAK: szczegóły techniczne i kod demonstracyjny opublikował SSD Secure Disclosure (wg Arctic Wolf) |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Możliwa (ocena CISA) |
Prognoza EPSS | 0,919 przy percentylu 0,998 (pomiar z 23 sierpnia 2026 wg analizy źródłowej) |
Różnica ocen CVSS wynika z jednego parametru: NVD przyjmuje, że napastnik nie potrzebuje konta, a Samsung, że potrzebuje konta o niskich uprawnieniach. Opis badaczy cytowany przez Arctic Wolf mówi o zapisie plików bez uwierzytelnienia, dlatego bezpieczniej przyjąć wariant ostrzejszy.
Sygnały zagrożenia dla CVE-2024-7399
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (Samsung) 8.8/10 ██████████████████░░ WYSOKA
EPSS 0,919 ██████████████████░░ BARDZO WYSOKIE
CISA KEV TAK ████████████████████ ataki potwierdzone
PoC publiczny TAK ████████████████████ dostępny
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2024-08-12 Publikacja CVE-2024-7399, poprawka w wersji 21.1050
2025-04/05 SSD Secure Disclosure publikuje szczegóły i kod demonstracyjny
2025-05 Arctic Wolf obserwuje pierwsze ataki; 21.1050 nadal podatna
na bliźniaczy błąd
2025-05-22 CISA dodaje bliźniaczą CVE-2025-4632 do KEV (poprawka 21.1052)
2025-06-12 Termin CISA dla CVE-2025-4632
2026-04-24 CISA dodaje CVE-2024-7399 do katalogu KEV
2026-05-08 Termin naprawy CVE-2024-7399 wg CISA
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 4 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyny bezpieczeństwa Samsung z informacjami o poprawkach: security.samsungtv.com/securityUpdates . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-7399 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma ma ekrany Samsung zarządzane przez MagicINFO (także w oddziałach i u agencji reklamowej) | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja serwera i czy panel jest dostępny z internetu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastowe odcięcie panelu od internetu | CTO | DZISIAJ |
4 | Zatwierdzić aktualizację do najnowszej wersji i ewentualny krótki przestój ekranów | CTO | DO JUTRA |
5 | Poinformować agencję obsługującą ekrany o nowym sposobie dostępu (VPN) | Kierownik marketingu | DO JUTRA |
6 | Zarezerwować budżet na przegląd serwera i wydzielenie sieci dla ekranów | CFO | DO JUTRA |
7 | Sprawdzić umowę z dostawcą lub agencją: kto odpowiada za aktualizacje serwera ekranów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w firmie działa Samsung MagicINFO 9 Server i na jakim komputerze? | TAK / NIE, [lokalizacja] | 🔴 |
2 | Jaka jest dokładna wersja serwera MagicINFO? | [wersja] | 🔴 |
3 | Czy panel MagicINFO jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Kiedy serwer został zaktualizowany do 21.1052 lub nowszej wersji? | [data] | 🟠 |
5 | Czy sprawdzono katalogi aplikacji pod kątem nieznanych plików JSP? | TAK / NIE, [data] | 🟠 |
6 | Jakie komputery i serwery są osiągalne z serwera ekranów? | [lista systemów] | 🟠 |
7 | Kto ma konta w MagicINFO, w tym osoby z firm zewnętrznych? | [lista kont] | 🟡 |
CVE-2024-7399 pozwala zapisać dowolny plik na serwerze Samsung MagicINFO 9 z uprawnieniami systemu i przejąć go, a bliźniacza luka CVE-2025-4632 sprawia, że wersja 21.1050 nie wystarcza. CISA potwierdza ataki, kod demonstracyjny jest publiczny, a termin naprawy minął 8 maja 2026 roku, więc odcięcie serwera od internetu i aktualizacja do najnowszej wersji to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.