記事本文（要約）
ハッカーは、Samsung MagicINFO 9 Serverに存在する認証なしでのリモートコード実行（RCE）脆弱性を悪用して、デバイスを乗っ取りマルウェアを展開しています。この脆弱性は、ファイルアップロード機能を悪用して悪意あるコードをアップロードされることで、CVE-2024-7399として追跡されています。8月2024に公表され、バージョン21.1050で修正されました。攻撃者は、この脆弱性を利用して任意のOSコマンドを実行します。最近、Arctic Wolfは、この脆弱性を通じた攻撃が活発化していると報告しており、Miraiボットネットの変種も利用されています。システム管理者は速やかにバージョン21.1050以上にアップグレードすることが推奨されます。
※この要約はChatGPTを使用して生成されました。
公開日: Tue, 06 May 2025 13:10:23 -0400
Original URL: https://www.bleepingcomputer.com/news/security/samsung-magicinfo-9-server-rce-flaw-now-exploited-in-attacks/
詳細な技術情報
以下は提供された文章のセキュリティ分析に基づく詳細情報です：
CVE番号
- CVE-2024-7399: Samsung MagicINFO 9 Serverにおける未認証のリモートコード実行（RCE）脆弱性。
脆弱性の仕組み
- 不適切なディレクトリ制限: Samsung MagicINFO 9 Serverのファイルアップロード機能が不適切に制限されており、攻撃者が任意のファイルを書き込むことが可能です。この脆弱性は、システム権限で任意のファイルを書き込むことを可能にします。
攻撃手法
- ファイルアップロードの悪用: 攻撃者は、認証を必要としないPOSTリクエストを使用して悪意のある.jspファイルをアップロードし、パストラバーサルを利用してこのファイルをウェブからアクセス可能な場所に配置します。
- 任意コード実行: アップロードされたファイルをcmdパラメータと共にブラウザでアクセスすることで、任意のOSコマンドを実行し、その結果をブラウザ上で確認することができます。
潜在的な影響
- デバイス乗っ取り: 攻撃者はRCEを使用してデバイスを乗っ取り、マルウェアを展開することができます。
- ボットネットの加入: Miraiボットネットの変種がこの脆弱性を利用してデバイスを制御下に置くことが確認されています。
推奨される対策
- アップデート: Samsung MagicINFO Serverをバージョン21.1050以上にアップグレードすることが最も重要な対策です。これにより、CVE-2024-7399の脆弱性が修正されます。
- サーバ設定の見直し: ファイルアップロード機能のアクセス制限やディレクトリへの書き込み権限を見直し、不要な権限が与えられていないか確認します。
- ウェブアプリケーションファイアウォール（WAF）の導入: 不正なアップロードやパストラバーサルの試行を検出および防止するために、WAFの導入を検討します。
- ログの監視と分析: 異常なアクセスやファイル操作のログを監視し、即座に対応できるようにする体制を整えます。
- 公開されたPoCの確認と対策強化: 公開されたPoCを基にして攻撃手法を理解し、独自のセキュリティ対策を強化します。
