CVE-2024-7399
Samsung MagicINFO 9 Server Path Traversal Vulnerability
Beschreibung
CVE-2024-7399 ist eine Path-Traversal-Schwachstelle der Stufe HIGH in Samsung MagicINFO 9 Server, der zentralen Digital-Signage- und Content-Management-Plattform, die im Einzelhandel, in Verkehrsbetrieben und Unternehmens-Signage-Netzen weit verbreitet ist. Die Schwachstelle — bewertet mit CVSS 3.1 8.8 durch Samsung und 9.8 (CRITICAL) durch NVD — erlaubt es Angreifern, mit System-Authority beliebige Dateien auf dem Host zu schreiben; in der Praxis ergibt das vollständige Remote Code Execution gegen den MagicINFO-Server. Betroffen sind MagicINFO-9-Server-Versionen vor 21.1050. CISA hat CVE-2024-7399 am 24. April 2026 in den KEV-Katalog aufgenommen, mit Patch-Frist 8. Mai 2026, nachdem Arctic Wolf In-the-Wild-Ausnutzung gegen öffentlich exponierte MagicINFO-Instanzen beobachtet hatte. Der EPSS-Score von 0.823 (99. Perzentil) bestätigt weit verbreitete, anhaltende Ausnutzungsaktivität.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| samsung | magicinfo 9 server | < 21.1050.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://security.samsungtv.com/securityUpdates(Vendor Advisory)
- https://arcticwolf.com/resources/blog-uk/arctic-wolf-observes-exploitation-of-path-traversal-vulnerability-in-samsung-magicinfo-9-server-cve-2024-7399/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-7399(US Government Resource)
Schwachstellentyp
CWE-22: Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
Path Traversal ist eine Schwachstelle, die auftritt, wenn Software externe Eingaben verwendet, um einen Pfadnamen für eine Datei oder ein Verzeichnis unterhalb eines beschränkten Elternverzeichnisses zu konstruieren, ohne Sequenzen wie ../ zu neutralisieren, die den Pfad außerhalb des vorgesehenen Verzeichnisses auflösen lassen. In Samsung MagicINFO 9 Server akzeptiert der verwundbare Upload-Handler vom Angreifer kontrollierte Dateinamen und schreibt die hochgeladenen Daten an einen davon beeinflussten Ort; da der Server mit System-Authority läuft, kann ein Angreifer, der das vorgesehene Upload-Verzeichnis verlässt, eine Datei an beliebiger Stelle auf der Festplatte ablegen — einschließlich Orten, von denen aus die Web-Schicht oder das Betriebssystem sie ausführt.
Mehr erfahren: CWE-22 — Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
CWE-434: Uneingeschränkter Upload von Dateien mit gefährlichem Typ
Uneingeschränkter Upload von Dateien mit gefährlichem Typ tritt auf, wenn Software Benutzern erlaubt, Dateien hochzuladen, ohne die Dateitypen ordnungsgemäß zu validieren, einzuschränken oder zu behandeln — Angreifer können Dateien mit gefährlichem Inhalt wie Web Shells, Skripten oder ausführbaren Dateien hochladen. CVE-2024-7399 kombiniert CWE-434 mit CWE-22: Der Upload-Endpunkt akzeptiert nicht nur gefährliche Dateitypen, sondern beschränkt auch nicht, wohin sie geschrieben werden. Das Ergebnis ist ein beliebiges Datei-Schreib-Primitiv, das der Angreifer in Code Execution überführt, indem er eine bösartige JSP- oder ausführbare Datei in einem web-zugänglichen Pfad ablegt.
Mehr erfahren: CWE-434 — Uneingeschränkter Upload von Dateien mit gefährlichem Typ
Auswirkungsanalyse
CVE-2024-7399 wird von Samsung mit 8.8 HIGH (Vektor AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) und vom NVD mit 9.8 CRITICAL (Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bewertet. Die Differenz betrifft die Frage, ob Authentifizierung erforderlich ist: Das primäre NVD-Scoring behandelt den verwundbaren Endpunkt in beobachteter Ausnutzung als faktisch unauthentifiziert — übereinstimmend mit öffentlichen Berichten. In beiden Bewertungen ist die Wirkung einheitlich High auf Vertraulichkeit, Integrität und Verfügbarkeit, weil die Schwachstelle dem Angreifer das Schreiben beliebiger Dateien als System-Authority — der höchsten Berechtigung unter Windows — erlaubt. Eine erfolgreiche Ausnutzung ergibt die vollständige Übernahme des MagicINFO-Servers, der typischerweise angemeldete Administrator-Anmeldedaten, Content-Pakete, geplante Bereitstellungen und persistente Verbindungen zu entfernten Signage-Endpunkten hält. Von dort kann der Angreifer in das Unternehmensnetz pivotieren, Digital-Signage-Inhalte ersetzen (ein Marken- und Vertrauensrisiko in Einzelhandel und Verkehr) oder den MagicINFO-Server als Brückenkopf nutzen, um Folge-Payloads auszurollen. In Verbindung mit der KEV-Listung und beobachteter Ausnutzung ist CVE-2024-7399 unabhängig vom konsultierten CVSS-Score als kritisch zu behandeln.
Exploit-Reifegrad
Aktive Ausnutzung: CISA hat CVE-2024-7399 am 24. April 2026 in den KEV-Katalog aufgenommen, nachdem Arctic Wolf In-the-Wild-Ausnutzung gegen öffentlich exponierte MagicINFO-Instanzen veröffentlicht hatte. Ausnutzungswahrscheinlichkeit: Mit einem EPSS-Score von 0.823 (99. Perzentil) bewertet das Modell die Wahrscheinlichkeit fortgesetzter Ausnutzung in den nächsten 30 Tagen als nahezu sicher. Exploit-Komplexität: Die Path-Traversal-/Datei-Upload-Kette ist einfach zu weaponisieren — Angreifer schicken eine einzelne HTTP-Anfrage mit einem präparierten Dateinamen, um eine JSP- oder Web-Shell abzulegen, und rufen anschließend die abgelegte Datei ab, um Code Execution als System-Authority zu erreichen. Praktisches Risiko: MagicINFO 9 Server wird häufig auf einem öffentlich zugänglichen Port für die Fernverwaltung von Signage-Netzen bereitgestellt, was ihn für opportunistische Scanner besonders attraktiv macht. Verteidiger sollten annehmen, dass jeder ungepatchte, internet-exponierte MagicINFO 9 Server bereits durchsucht wird.
Behebung
- Auf MagicINFO 9 Server 21.1050 oder später aktualisieren. Dies ist der offizielle Fix von Samsung — siehe die Samsung-TV-Security-Updates-Seite für das Advisory. Bestätigen Sie nach dem Upgrade, dass die Build-Nummer den gepatchten Release widerspiegelt.
- Internet-Exposition entfernen. MagicINFO 9 Server sollte nicht aus dem öffentlichen Internet erreichbar sein. Platzieren Sie den Server hinter einem VPN oder beschränken Sie die Management-Schnittstelle auf bestimmte administrative IP-Bereiche. Falls Exposition unvermeidbar ist, deployen Sie eine WAF vor dem Server mit Regeln, die
..-Sequenzen und unerwartete Datei-Endungen in Upload-Pfaden blockieren. - Indikatoren für Kompromittierung suchen. Inspizieren Sie das MagicINFO-Web-Root und die Upload-Verzeichnisse auf unerwartete
.jsp-,.war-,.bat- oder.exe-Dateien. Prüfen Sie IIS- oder Tomcat-Access-Logs auf anomale POST-Anfragen an Upload-Endpunkte, insbesondere mit Datei-Parametern, die..enthalten. Kontrollieren Sie Windows-Event-Logs auf neue Dienste, geplante Aufgaben oder lokale Konten, die rund um die verdächtigen Anfragen erstellt wurden. - Anmeldedaten rotieren und Signage-Kompromittierung annehmen. Behandeln Sie Administrator-Anmeldedaten, SMB-Freigaben, Content-Source-Konnektoren und Zertifikate auf dem MagicINFO-Server als exponiert. Rotieren Sie sie und auditieren Sie alle nachgelagerten Signage-Endpunkte, die während der Verwundbarkeitszeit Inhalte synchronisiert haben.
- Langfristige Härtung. Erzwingen Sie Least-Privilege auf dem MagicINFO-Service-Konto (vermeiden Sie SYSTEM/System-Authority, wenn möglich), wenden Sie die Mitigationshinweise zu CWE-22 und CWE-434 an — Pfade serverseitig kanonisieren, Dateitypen über Inhaltsprüfung statt Endung validieren, hochgeladene Dateien außerhalb des Web-Roots speichern und den MagicINFO-Server vom restlichen Unternehmensnetz segmentieren.
Technische Details
CVE-2024-7399 ist eine verkettete CWE-22-/CWE-434-Schwachstelle in Samsung MagicINFO 9 Server vor 21.1050. Der verwundbare Code-Pfad nimmt einen Datei-Upload über HTTP entgegen und schreibt die Payload mit einem aus angreifer-kontrollierten Daten abgeleiteten Dateinamen, ohne den resultierenden Pfad gegen das vorgesehene Upload-Verzeichnis zu kanonisieren. Da MagicINFO 9 Server mit System-Authority läuft, kann der resultierende beliebige Datei-Schreibvorgang jeden vom SYSTEM-Konto erreichbaren Ort treffen — einschließlich des Web-Application-Roots, wo eine abgelegte JSP- oder vergleichbare server-ausführbare Datei beim nächsten Request vom eingebetteten Application Server (Tomcat) ausgeführt wird. Die Differenz im CVSS-3.1-Vektor zwischen Samsung (PR:L, Score 8.8) und NVD (PR:N, Score 9.8) reflektiert, ob der Upload-Endpunkt ohne Authentifizierung erreichbar ist; beobachtete Ausnutzung legt nahe, dass mindestens ein gering privilegiertes Konto ausreicht und in manchen Konfigurationen keines erforderlich ist. Mit Scope:Unchanged und High-Wirkung über alle drei CIA-Eigenschaften ist die praktische Folge unauthentifizierte Remote Code Execution auf dem MagicINFO-Host. Da die Schwachstelle in ein Datei-Schreib-Primitiv auf SYSTEM-Authority übergeht, sind klassische Pfad-Beschränkungs-Verteidigungen auf Anwendungsebene allein unzureichend — eine vollständige Behebung erfordert den gepatchten Build plus operative Kontrollen (Netzwerk-Exposition, WAF, Segmentierung).
Häufig gestellte Fragen
Wird CVE-2024-7399 aktiv ausgenutzt?
Ja. CISA hat CVE-2024-7399 am 24. April 2026 in den KEV-Katalog aufgenommen — unter Verweis auf Arctic Wolfs Beobachtung von In-the-Wild-Ausnutzung gegen öffentlich exponierte Samsung-MagicINFO-9-Server-Instanzen. Der EPSS-Score von 0.823 (99. Perzentil) spiegelt nahezu sichere fortgesetzte Ausnutzungsaktivität wider.
Welche Produkte sind von CVE-2024-7399 betroffen?
Samsung MagicINFO 9 Server in Versionen vor 21.1050 ist verwundbar. Der Fix ist in MagicINFO 9 Server 21.1050.0 oder höher verfügbar. Ältere MagicINFO-Produktlinien (z. B. MagicINFO 8) sollten gegen den Hersteller-Support-Status geprüft werden.
Wie behebe ich CVE-2024-7399?
Aktualisieren Sie auf MagicINFO 9 Server 21.1050 oder höher, entfernen Sie die Internet-Exposition (Server hinter ein VPN oder auf bekannte IP-Bereiche beschränken), und durchsuchen Sie MagicINFO-Verzeichnisse und Access-Logs nach Indikatoren für vorherige Kompromittierungen — etwa unerwartete JSP/Web-Shell-Dateien oder anomale Upload-Anfragen.
Wie schwerwiegend ist CVE-2024-7399?
CVE-2024-7399 ist von Samsung als HIGH (CVSS-3.1-Score 8.8) und vom NVD als CRITICAL (Score 9.8) bewertet. Zusammen mit KEV-Listung, EPSS-99.-Perzentil-Wahrscheinlichkeit und bestätigter Beobachtung in freier Wildbahn durch Arctic Wolf sollten Verteidiger jeden ungepatchten, internet-exponierten MagicINFO 9 Server als kritisch zu behebende Priorität betrachten.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.