CVE-2025-4632

Falha de path traversal (CWE-22) no Samsung MagicINFO 9 Server que permite a um atacante não autenticado escrever arquivos arbitrários no sistema, com o processo do servidor rodando com privilégios de sistema. Na prática funciona como bypass da correção anterior para a CVE-2024-7399 (mesma descrição, mesmo mecanismo), e está na lista KEV da CISA por exploração confirmada em ambiente real — inclusive para instalação de webshells.

O MagicINFO 9 Server é a plataforma de gestão de conteúdo (CMS) para os displays de sinalização digital da Samsung, tipicamente exposta como aplicação web Java (servlets/Tomcat) para upload e distribuição de conteúdo aos players. A vulnerabilidade está em uma rotina de upload/gravação de arquivo que usa um nome ou caminho fornecido pelo cliente sem sanitizar sequências de travessia de diretório (ex.: '../'), permitindo que o valor controlado pelo atacante escape do diretório de upload pretendido e grave o arquivo em qualquer local do sistema de arquivos acessível ao processo.

A descrição do fornecedor é praticamente idêntica à da CVE-2024-7399, corrigida em agosto de 2024 — indício forte de que essa falha é uma variação ou bypass da mesma classe de bug que não foi eliminada por completo na primeira correção. O próprio boletim de julho de 2025 da Samsung (SVP-JUL-2025) lista mais três CVEs de path traversal/upload no mesmo produto (CVE-2025-54438, entre outras), confirmando que a superfície de escrita de arquivo do MagicINFO teve múltiplas rodadas de patch incompleto.

O CVSS 3.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) reflete que a exploração é remota, sem autenticação, sem interação do usuário e sem complexidade adicional — o atacante só precisa alcançar a porta do serviço web do MagicINFO na rede.

O vetor é uma requisição HTTP para o endpoint de upload/gravação de arquivo do MagicINFO contendo sequências de travessia de diretório no parâmetro de nome de arquivo (ou similar), fazendo o servidor gravar o conteúdo enviado fora do diretório de upload restrito. Como o processo roda com privilégios de sistema no Windows, o atacante consegue depositar um arquivo executável do lado do servidor — por exemplo um JSP — em um diretório acessível via web, e em seguida acioná-lo com uma segunda requisição HTTP simples para obter execução de código.

Não há pré-condição de autenticação (PR:N) nem de configuração não padrão conhecida: o serviço exposto na porta padrão do MagicINFO já é suficiente. Existe PoC pública e template Nuclei, o que torna o ataque trivialmente automatizável e explica a inclusão no catálogo KEV da CISA (adicionada em 22/05/2025, prazo de correção 12/06/2025) — a CISA confirma exploração ativa, sem indicar (à época) uso em campanhas de ransomware conhecidas.

O resultado final típico documentado por pesquisadores é o comprometimento total do servidor MagicINFO — grave uma webshell, execute com privilégios de sistema e a partir daí use o servidor como pivô, já que essas instalações costumam ter conectividade com a rede de displays e, em muitos casos, ficam expostas diretamente à internet para gestão remota de sinalização digital.

Atualizar para a versão 21.1052 ou posterior do MagicINFO 9 Server, conforme o boletim SVP-MAY-2025 da Samsung (SVE-2025-50001), que descreve a correção como ajuste da lógica de validação do caminho de entrada. Como essa falha é essencialmente uma reincidência da CVE-2024-7399, aplicar apenas o patch antigo não é suficiente — é preciso confirmar a versão de build atual, não apenas que 'já foi corrigido uma vez'.

Se a atualização imediata não for possível, o paliativo real é remover o servidor MagicINFO do acesso direto à internet e restringir a rede de gestão a hosts administrativos confiáveis, já que não há flag de configuração documentada pelo fornecedor que desative a rotina de upload vulnerável sem quebrar funcionalidade. Monitorar e restringir permissões de escrita do processo do serviço no sistema de arquivos (privilégio mínimo, não rodar como SYSTEM quando evitável) reduz o impacto, mas não fecha a vulnerabilidade.

Dado o padrão de múltiplos bypasses no mesmo componente (CVE-2024-7399, CVE-2025-4632, e depois CVE-2025-54438/54439/54445/54451/54454 em julho de 2025), tratar qualquer patch anterior de path traversal do MagicINFO como definitivo é o mito a evitar — vale revisar o histórico completo de SVPs da Samsung para esse produto antes de considerar o ambiente seguro.

Procurar em logs do servidor web/aplicação por requisições HTTP para endpoints de upload do MagicINFO contendo sequências de travessia de diretório (literais como '../' ou variantes codificadas em URL/duplamente codificadas) nos parâmetros de nome de arquivo. A presença de arquivos JSP ou executáveis inesperados em diretórios web-acessíveis do MagicINFO, criados fora do fluxo normal de upload de conteúdo de sinalização, é um forte indicador de exploração bem-sucedida.

Como há template Nuclei público para essa CVE, tentativas de exploração automatizada tendem a gerar um padrão de scanning reconhecível (requisições repetidas e sequenciais testando variações de payload de traversal contra o mesmo endpoint) — vale correlacionar com IPs que também testam a CVE-2024-7399 e as CVEs de julho de 2025 no mesmo produto, já que ferramentas de scanning tendem a testar toda a família de bugs de uma vez.