Trusted Design

CVE-2025-4632 の詳細

CVEの情報

説明:
Improper limitation of a pathname to a restricted directory vulnerability in Samsung MagicINFO 9 Server version before 21.1052 allows attackers to write arbitrary file as system authority.

CVE更新日: 2025-05-13 06:15:36.537000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2025-05-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.240660000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-4632は、Samsung MagicINFO 9 Serverに存在する深刻な脆弱性です。

1. 脆弱性の概要

CVE-2025-4632は、Samsung MagicINFO 9 Serverにおけるパストラバーサル（ディレクトリトラバーサル）の脆弱性です。これは、制限されたディレクトリへのパス名の不適切な制限に起因し、攻撃者がシステム権限で任意のファイルを書き込むことを可能にします。この脆弱性は、以前に修正されたCVE-2024-7399のパッチバイパスとして機能します。

1.1 影響

攻撃者は、この脆弱性を悪用して、任意のファイル書き込みを通じてシステムレベルのアクセス権を取得し、リモートコード実行 (RCE) を実現する可能性があります。これにより、データ完全性、機密性、可用性が完全に侵害される恐れがあります。実際に、MiraiボットネットやXMRigなどのクリプトマイナーが展開された事例も報告されています。

1.2 深刻度

この脆弱性は「Critical（緊急）」と評価されており、CVSSv3.1のベーススコアは9.8です（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンではなく、Samsung MagicINFO 9 Serverのソフトウェア自体に存在します。

2.2 影響を受ける設定

Samsung MagicINFO 9 Serverのバージョン21.1052より前のバージョンが影響を受けます。MagicINFO Serverのバージョン8から9（21.1052より前）も含まれます。 脆弱性は、パス名の検証が不適切であること、およびアクセス制御が不十分であることに起因します。認証されていない攻撃者がネットワーク経由で悪用可能です。

3. 影響を受けた時の兆候

以下のような兆候が影響を受けた環境で確認される可能性があります。

  • 制限されたディレクトリ内での不正なファイルの作成または変更。
  • 書き込み成功を示す疑わしいサーバー応答。
  • 予期しないパス名要求を示すログエントリ。
  • Miraiボットネットに関連する既知のコマンド＆コントロール (C2) サーバーへの異常なネットワークトラフィック。
  • システムディレクトリ内での不正なファイル変更。
  • システムパフォーマンスの低下やクラッシュ。
  • システムログに記録された、不正なアクセス試行や不明なスクリプトの実行。
  • 接続されたデバイスでの予期しない再起動や設定変更。
  • tomcat9.exeプロセスの悪用、AnyDeskなどのリモート管理ツールのインストール、XMRigなどのクリプトマイナー（例: smi2.exe）の展開。
  • 「srvany.exe」や「services.exe」などの追加ペイロードのダウンロードと実行。

4. 推奨対策

4.1 本対策

  • Samsung MagicINFO 9 Serverをバージョン21.1052以降にアップグレードしてください。
    • MagicINFO v8からv9 21.1052.0へアップグレードする場合、最初に21.1050.0へアップグレードする必要がある場合があります。

4.2 暫定回避策（緩和策）

  • 厳格な入力検証とサニタイズを実装する。
  • 機密性の高いディレクトリへのアクセスを監視し、制限する。
  • 重要なシステムを、セキュリティの低いネットワークから隔離する（ネットワークセグメンテーション）。
  • システムログとネットワークトラフィックを継続的に監視し、異常な活動を検出する。
  • Samsung MagicINFO 9 Serverの公開されているインスタンスをインターネットから削除する。
  • 次世代アンチウイルス（NGAV）またはエンドポイント検出および対応（EDR）ソリューションを利用する。
  • リモート管理ツールの使用とインストールを監視し、制限する。
  • 疑わしいRDP接続や不正な特権アカウントの作成を監視する。
  • 疑わしいドライバーのインストールを監視する。
  • Symantec Data Center Security (DCS) のデフォルトの防御ルールは、ウェブシェル（この場合はJSP）のアップロードと実行を阻止できます。

その他に解説すべき観点

  • 積極的な悪用: この脆弱性は、概念実証 (PoC) が公開された直後から活発に悪用されています。
  • CISA KEVリストへの追加: 米国サイバーセキュリティ・インフラセキュリティ庁 (CISA) は、2025年5月22日にCVE-2025-4632を既知の悪用されている脆弱性（KEV）カタログに追加しました。これにより、連邦行政機関は2025年6月12日までにパッチを適用することが義務付けられました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る