Luka w serwerze Samsung MagicINFO 9 pozwala bez logowania zapisać dowolny plik z uprawnieniami systemowymi i przejąć serwer sterujący ekranami. CISA potwierdza ataki. Zaktualizuj do 21.1052 i odetnij serwer od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, które mają ekrany informacyjne lub reklamowe (w witrynach, salach, recepcjach) sterowane serwerem Samsung MagicINFO 9. Werdykt: jeśli serwer MagicINFO 9 ma wersję starszą niż 21.1052, zaktualizuj go dziś i odetnij jego panel od internetu, bo luka pozwala bez logowania zapisać na serwerze dowolny plik z najwyższymi uprawnieniami, a CISA potwierdza ataki.
Amerykańska agencja CISA 22 maja 2025 roku, dziewięć dni po publikacji, dopisała podatność CVE-2025-4632 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w serwerze Samsung MagicINFO 9, który wysyła treści na ekrany w lokalach. Napastnik może, bez logowania, zapisać plik w dowolnym miejscu dysku serwera z uprawnieniami konta systemowego, co w praktyce oznacza przejęcie serwera.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 12 czerwca 2025 roku. Ten sam produkt miał wcześniej niemal identyczną lukę, naprawioną w wersji 21.1050, więc firma, która zaktualizowała serwer raz i uznała sprawę za zamkniętą, może nadal być podatna.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-4632 |
Data dodania do CISA KEV | 2025-05-22 |
Termin naprawy wg CISA | 2025-06-12 |
Produkt | Samsung MagicINFO 9 Server (serwer zarządzania ekranami informacyjnymi i reklamowymi) |
Wersje zagrożone | Wszystkie wersje starsze niż 21.1052 |
Wersje bezpieczne | 21.1052 i nowsze (biuletyn Samsung SVP-MAY-2025). Najnowszą wersję podaje producent |
Typ podatności | Przejście po katalogach (path traversal) prowadzące do zapisu dowolnego pliku z uprawnieniami systemowymi; CWE-22 |
Ocena CVSS | Samsung: 9.8 (CVSS 3.1, KRYTYCZNA). NVD: 9.8 (CVSS 3.1, KRYTYCZNA). ENISA: 9.8. Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie praktykanta w archiwum, który ma odkładać przychodzące dokumenty do teczki wskazanej na kopercie. Ktoś przysyła kopertę z opisem: „teczka numer siedem, dwa piętra wyżej, gabinet prezesa, szafa z umowami”. Praktykant wykonuje polecenie dosłownie, bo nikt mu nie powiedział, że wolno mu chodzić tylko po archiwum. Obca osoba decyduje w ten sposób, gdzie w budynku coś zostanie położone.
Tak działa przejście po katalogach. Serwer MagicINFO przyjmuje wgrywane pliki (np. plansze reklamowe) i zapisuje je pod wskazaną ścieżką. Jeśli ścieżka zawiera oznaczenia „poziom wyżej”, a serwer ich nie sprawdza, plik ląduje poza katalogiem na plansze, np. tam, skąd system sam go potem uruchomi. Zapis odbywa się z najwyższymi uprawnieniami, więc skutkiem jest pełna kontrola nad serwerem, a z nim nad ekranami i widokiem na resztę firmowej sieci.
💡 MagicINFO to system Samsung do zarządzania treścią na ekranach reklamowych i informacyjnych (digital signage). Ścieżka to adres pliku na dysku, np. katalog, podkatalog, nazwa pliku. Przejście po katalogach (path traversal) to atak, w którym przez oznaczenia „poziom wyżej” wychodzi się poza dozwolony katalog. Konto systemowe to konto o najwyższych uprawnieniach w Windows. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Wgranie nowej planszy reklamowej | Tylko zalogowany pracownik, do katalogu na plansze | Każdy z dostępem sieciowym, w dowolne miejsce dysku |
Uprawnienia zapisu | Ograniczone do treści ekranów | Najwyższe uprawnienia systemowe |
Treść na ekranach w lokalach | Ustalana przez marketing | Może zostać podmieniona przez napastnika |
Serwer w firmowej sieci | Narzędzie marketingu | Punkt wejścia do reszty systemów |
Poprawka sprzed roku (21.1050) | Zamyka wcześniejszą, podobną lukę | Nie chroni przed tą luką |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia atak jako nadający się do automatyzacji, więc serwery MagicINFO osiągalne z internetu mogą być wyszukiwane i atakowane masowo.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie serwerów MagicINFO dostępnych z internetu | Lista celów |
2. Zapis pliku | T+1 do 5 min | Wysłanie pliku ze ścieżką wychodzącą poza katalog na plansze | Plik napastnika w katalogu, z którego serwer uruchamia kod |
3. Wykonanie kodu | T+5 do 15 min | Wywołanie zapisanego pliku | Kontrola nad serwerem z uprawnieniami systemowymi |
4. Utrwalenie | T+15 min do kilku godzin | Instalacja narzędzi zdalnego dostępu, odczyt zapisanych haseł | Trwały dostęp |
5. Wykorzystanie | T+godziny do dni | Podmiana treści na ekranach lub przejście do innych systemów w sieci firmy | Widoczny incydent albo cichy dalszy atak |
6. Dalsze szkody | T+dni do tygodni | Kradzież danych, szyfrowanie, wykorzystanie serwera do innych ataków | Przestój, wyciek, koszty |
Serwer ekranów jest często najbardziej zapomnianym elementem infrastruktury: postawiła go ekipa montażowa, obsługuje marketing, a dział IT nie czuje się za niego odpowiedzialny. Tymczasem stoi w firmowej sieci, bywa dostępny z internetu, a jego przejęcie daje zarówno widoczne szkody wizerunkowe, jak i ciche wejście do innych systemów.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Niedziałające lub przejęte ekrany we wszystkich lokalach, odbudowa serwera | Godziny | 10 tys. do 150 tys. PLN (dojazdy serwisu, odbudowa, przestój ekranów) |
Bezpieczeństwo danych | Kradzież haseł z serwera i dostęp do innych systemów firmy | Godziny do dni | 20 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utracona sprzedaż promocyjna, koszty dalszego incydentu w sieci | Dni do tygodni | 20 tys. do 500 tys. PLN łącznie |
Reputacyjny | Obraźliwe lub fałszywe treści widoczne dla klientów, zdjęcia w mediach społecznościowych | Minuty do godzin | 30 tys. do 300 tys. PLN (utracone zaufanie, działania PR) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli dotyczy danych osobowych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań); ryzyko roszczeń za treści wyświetlone publicznie | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla MagicINFO 9 Server starszego niż 21.1052
Wpływ
5 | . . . . ■ ← KRYTYCZNE (serwer dostępny z internetu)
4 | . . □ . . ← WYSOKIE (serwer tylko w sieci firmowej)
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy serwerze dostępnym z internetu ryzyko jest krytyczne (atak bez logowania, automatyzowalny, potwierdzony, pełne przejęcie serwera); serwer dostępny tylko z sieci firmowej ma niższe prawdopodobieństwo, ale po przejęciu skutki są podobne.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma ma serwer MagicINFO (własny lub utrzymywany przez firmę montażową) i jaka jest jego wersja | Dziś | CTO / marketing / dostawca ekranów |
2 | 🔴 NATYCHMIAST | Zaktualizować serwer do 21.1052 lub nowszej wersji | Dziś | Administrator / dostawca ekranów |
3 | 🔴 NATYCHMIAST | Sprawdzić, czy panel serwera jest dostępny z internetu, i jeśli nie jest to konieczne, odciąć go | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Przejrzeć serwer pod kątem nieznanych plików, kont i narzędzi zdalnego dostępu | Do 7 dni | Administrator / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zmienić hasła zapisane na serwerze i używane przez niego do innych usług | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Wydzielić serwer ekranów w osobnym segmencie sieci, bez dostępu do systemów finansowych i plików | Do 30 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Wyznaczyć właściciela aktualizacji serwera ekranów i ustalić kwartalny przegląd wersji | Do 30 dni | CTO |
Samsung wydał poprawkę w wersji 21.1052, więc docelowo trzeba ją zainstalować. Biuletyn producenta nie wskazuje obejścia, dlatego poniższe miary tylko ograniczają ekspozycję. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie panelu i usług serwera od internetu | Wysoka wobec ataków z internetu | Łatwa, jeśli ekrany łączą się z serwerem przez sieć firmową lub VPN |
Wydzielenie serwera w osobnym segmencie sieci | Średnia: nie chroni serwera, ogranicza dalsze skutki | Średnia |
Dostęp do serwera tylko z adresów lokali i biura | Średnia do wysokiej | Średnia |
Monitorowanie nowych plików w katalogach systemowych serwera | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja MagicINFO 9 Server | Starsza niż 21.1052 | 21.1052 lub nowsza |
Dostęp z internetu | Często otwarty „dla wygody” przy montażu | Tylko z sieci firmowej, lokali lub przez VPN |
Odpowiedzialność za aktualizacje | Nikt: ani IT, ani marketing | Wyznaczony właściciel i kwartalny przegląd |
Położenie w sieci | Obok serwera plików i księgowości | Osobny segment |
Zgodność z terminem CISA | Zaległość od 12 czerwca 2025 roku (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: atak nadaje się do automatyzacji |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg Samsung, NVD i ENISA (CVSS 3.1), bez rozbieżności |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Wcześniejsza podobna luka | Zapis dowolnego pliku z uprawnieniami systemowymi, naprawiony w 21.1050; dopisany do katalogu CISA w kwietniu 2026 roku (wg analizy źródłowej) |
Prognoza EPSS | Około 24%, stabilnie (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-4632
CVSS 3.1 (Samsung/NVD) 9.8/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~24% █████░░░░░░░░░░░░░░░ WYSOKI PERCENTYL
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ możliwa
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-05-13 Publikacja CVE-2025-4632 w NVD (biuletyn Samsung
SVP-MAY-2025, poprawka w 21.1052)
2025-05-22 CISA dodaje lukę do katalogu KEV (9 dni po publikacji)
2025-05-27 Zakończenie analizy w NVD
2025-06-12 Termin naprawy wg CISA dla agencji federalnych
2026-04 Wcześniejsza podobna luka (poprawka 21.1050) trafia
do katalogu CISA
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 15 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Samsung: security.samsungtv.com: SVP-MAY-2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-4632 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma używa MagicINFO i kto utrzymuje serwer (my czy dostawca ekranów) | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji serwera | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację do 21.1052 lub nowszej | CTO | DZISIAJ |
4 | Potwierdzić, czy panel serwera jest dostępny z internetu | CTO | DO JUTRA |
5 | Zlecić przegląd serwera i zmianę zapisanych na nim haseł | CTO | DO JUTRA |
6 | Sprawdzić umowę z dostawcą ekranów pod kątem aktualizacji i reakcji na luki | CFO | DO JUTRA |
7 | Przygotować procedurę szybkiego wyłączenia treści na wszystkich ekranach w razie incydentu | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy serwer Samsung MagicINFO 9 i kto nim zarządza? | TAK / NIE, [osoba lub firma] | 🔴 |
2 | Jaka jest wersja serwera MagicINFO? | [wersja] | 🔴 |
3 | Kiedy zainstalowano wersję 21.1052 lub nowszą? | [data] | 🔴 |
4 | Czy panel lub usługi serwera są dostępne z internetu? | TAK / NIE | 🔴 |
5 | Czy przegląd serwera wykazał nieznane pliki, konta lub narzędzia? | TAK / NIE | 🟠 |
6 | Czy serwer ekranów ma dostęp do serwera plików, księgowości lub innych krytycznych systemów? | TAK / NIE | 🟠 |
7 | Czy potrafimy w kilka minut wyłączyć treść na wszystkich ekranach? | TAK / NIE | 🟡 |
CVE-2025-4632 pozwala bez logowania zapisać dowolny plik na serwerze Samsung MagicINFO 9 z najwyższymi uprawnieniami, czyli przejąć serwer sterujący ekranami i zyskać wejście do firmowej sieci. CISA potwierdza ataki, więc aktualizacja do 21.1052 lub nowszej i odcięcie serwera od internetu to zadania na dziś, a wyznaczenie właściciela aktualizacji i wydzielenie serwera w sieci na najbliższe tygodnie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.