CVE-2024-7399

Path traversal no Samsung MagicINFO 9 Server (plataforma de gerenciamento de conteúdo para displays/sinalização digital) permite gravar arquivo arbitrário com autoridade de sistema no servidor. Está no catálogo KEV da CISA com exploração confirmada, tem PoC pública, template Nuclei e módulo Metasploit — é exploração real, não teórica. O detalhe crítico é que o CVSS oficial marca PR:L (privilégio baixo necessário), mas pesquisa independente publicada em 2025 demonstrou exploração totalmente não autenticada contra a versão supostamente corrigida, o que eleva o risco real acima do que o vetor sugere.

A falha combina CWE-22 (Improper Limitation of a Pathname to a Restricted Directory) com CWE-434 (Unrestricted Upload of File with Dangerous Type), conforme classificado pela própria entrada do catálogo KEV da CISA. O MagicINFO 9 Server expõe funcionalidade de upload/gerenciamento de conteúdo para os displays gerenciados; a validação do caminho/nome de arquivo fornecido pelo cliente nessa rotina é insuficiente, permitindo que sequências de travessia de diretório escrevam arquivos fora da pasta restrita pretendida.

Como o processo do servidor MagicINFO roda com autoridade de sistema, qualquer arquivo gravado por essa via herda esse contexto de execução. O advisory da Samsung descreve o problema de forma genérica ("the patch modifies verification logic of the input"), sem detalhar o endpoint exato ou o parâmetro vulnerável — informação que não está disponível publicamente nas fontes consultadas.

O impacto prático é escrita de arquivo arbitrário; a escalada para execução de código depende de o atacante conseguir posicionar um arquivo JSP (JavaServer Pages) dentro da árvore web servida pelo MagicINFO, que ao ser requisitado via HTTP é interpretado e executado pelo container de aplicação — isso é o que transforma o path traversal em RCE completo.

O vetor é de rede, sem interação do usuário (AV:N, UI:N). O CVSS oficial (PR:L) indica a necessidade de algum nível de autenticação, mas a pesquisa técnica publicada pela SSD Disclosure e a exploração observada pela Arctic Wolf em maio de 2025 demonstraram ataque completamente não autenticado contra a versão 21.1050 — a mesma indicada pela Samsung como corrigida. Isso sugere que a pré-condição real de exploração é mínima ou inexistente, divergindo do que o vetor CVSS declara oficialmente.

Na prática documentada, o atacante grava um arquivo JSP malicioso dentro da estrutura web do servidor via o mecanismo de path traversal/upload, e em seguida o acessa via HTTP para obter execução de código no contexto de sistema do processo MagicINFO — controle total do host.

A disponibilidade pública de PoC (SSD Disclosure), módulo Metasploit e template Nuclei tornam a varredura e exploração triviais para qualquer atacante com acesso de rede ao serviço exposto. A Arctic Wolf reportou exploração ativa em campanha continuada a partir de maio de 2025, após a publicação de detalhes técnicos, reforçando a listagem no KEV da CISA.

O advisory da Samsung recomenda atualizar para a versão 21.1050 (patch descrito genericamente como correção da lógica de verificação do input, referência interna SVE-2024-50018 / boletim SVP-AUG-2024). Esse é o único remédio oficial documentado para esta CVE específica.

Porém, relatórios independentes (Arctic Wolf, maio de 2025) indicam que a versão 21.1050 permanece explorável pelo mesmo padrão de ataque — o patch foi incompleto ou existe uma falha correlata não coberta. Não há, nas fontes consultadas, confirmação pública de uma versão que elimine definitivamente esse vetor; a Samsung publicou correções adicionais na mesma classe de path traversal/upload no MagicINFO ao longo de 2025 (por exemplo CVE-2025-4632, CVE-2025-54438, CVE-2025-54439), sugerindo uma série de correções incrementais em vez de um fix único e definitivo.

O paliativo real recomendado pela pesquisa é não expor o MagicINFO 9 Server diretamente à internet — mantê-lo em rede interna/segmentada com acesso restrito, atrás de VPN ou controle de acesso de rede. Atualizar para 21.1050 sozinho não deve ser tratado como mitigação suficiente; é necessário controle compensatório de exposição de rede independente da versão instalada.

Procurar por gravação de arquivos com extensão .jsp em diretórios do MagicINFO fora do esperado, sequências de travessia de diretório (../, codificações como %2e%2e) em requisições HTTP dirigidas a endpoints de upload/gerenciamento de mídia do servidor, e execução de processos filhos anômalos (shell, comandos de sistema) a partir do processo do MagicINFO. Não há uma assinatura única e oficialmente confirmada publicada nas fontes consultadas; a disponibilidade de template Nuclei e módulo Metasploit serve para testar exposição, mas os indicadores de comprometimento real dependem de análise específica do ambiente e dos logs do servidor.