Samsung製デジタルサイネージの脆弱性狙う攻撃に注意
米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)は、韓Samsungが提供するデジタルサイネージの統合管理ソリューション「MagicINFO 9」の脆弱性が悪用されているとして注意喚起を行った。
コンテンツのスケジュール管理や配信、デバイスの状態監視などを行う同製品の管理サーバに、本来制限された領域へシステム権限でファイルの書き込みが可能となるパストラバーサルの脆弱性「CVE-2025-4632」が判明し、悪用されているもの。
同脆弱性は、共通脆弱性評価システム「CVSSv3.1」のベーススコアが「9.8」と評価されており、重要度は「クリティカル(Critical)」と高い。Samsungでは2025年5月13日にセキュリティアドバイザリを公開し、修正パッチを提供している。
同脆弱性に関しては、現地時間4月30日に概念実証コード(PoC)が公開され、直後よりゼロデイ攻撃が観測されているとの指摘もあり、ボットネット「Mirai」による悪用の報告などもある。
このような状況を受け、CISAでは現地時間5月22日、「悪用が確認された脆弱性カタログ(KEV)」に同脆弱性を追加した。
脆弱性が悪用されていることを受け、米行政機関へ対策を促すとともに、広く悪用されるおそれがあるとして注意を呼びかけている。
(Security NEXT - 2025/05/23 )
ツイート
PR
関連記事
「XenServer 8.4」に脆弱性 - アップデートをリリース
APIゲートウェイ「Apache APISIX」に認証回避おそれ
「Apache Seata」脆弱性、対象版に誤り - 一部で「クリティカル」との評価も
ITインフラ監視ツール「Pandora FMS」に脆弱性 - アップデートで修正
「Active! mail 6」に「XSS」や「CSRF」脆弱性 - 修正版へ更新を
「PHP」に複数脆弱性 - セキュリティリリースが公開
ブラウザ「Chrome」の「Cookie暗号化保護」を破壊する「C4攻撃」
「Chromium」の脆弱性狙う攻撃 - 派生ブラウザ利用者も注意を
「Lucee」にクリティカル脆弱性 - 悪用コード公開済み
「MS Edge」にアップデート - ゼロデイ脆弱性などに対応