Samsung MagicINFO 9-servers doelwit van botnet, update niet beschikbaar

[Captain Kirk]

Aanvallers maken actief misbruik van een kwetsbaarheid in Samsung MagicINFO 9 en een beveiligingsupdate is niet beschikbaar. Organisaties die van de oplossing gebruikmaken wordt aangeraden hun systeem offline te halen totdat een patch beschikbaar is. Samsung MagicINFO 9 is een contentmanagementsysteem voor het beheer van digitale reclameborden die bijvoorbeeld op gebouwen of in winkels zijn te zien.

Vorig jaar augustus kwam Samsung met een update voor een kwetsbaarheid in de oplossing aangeduid als CVE-2024-7399. Begin januari rapporteerde securitybedrijf SSD Secure Disclosure een kwetsbaarheid aan Samsung. Volgens de elektronicagigant was dit hetzelfde probleem dat het eerder als CVE-2024-7399 had verholpen. Op 30 april maakte SSD Secure Disclosure de details van het beveiligingslek openbaar.

Vervolgens liet securitybedrijf Arctic Wolf op 5 mei weten dat aanvallers actief misbruik van CVE-2024-7399 maakten. De nieuwste versie van Samsung MagicINFO 9 zou echter veilig moeten zijn. Dat is niet het geval, aldus securitybedrijf Huntress. Samsung MagicINFO 9-servers zijn onder andere het doelwit van een Mirai-gebaseerd botnet. Via de kwetsbaarheid kan een ongeauthenticeerde aanvaller JSP-bestanden naar de server uploaden en willekeurige code uitvoeren.

Volgens Huntress wordt de kwetsbaarheid gebruikt voor het uploaden van webshells, waarmee aanvallers toegang tot de server behouden en verdere aanvallen kunnen uitvoeren, ook als het beveiligingslek wel wordt gepatcht. Het securitybedrijf adviseert organisaties die van de oplossing gebruikmaken om ervoor te zorgen dat hun MagicINFO 9-servers niet vanaf het internet toegankelijk zijn, totdat er een werkende update is geïnstalleerd. Wanneer Samsung een nieuwe patch uitbrengt is onbekend.

 

bron: https://www.security.nl