三星 MagicINFO 9 服务器曝出 18 个严重漏洞（CVSS 最高达 9.8），恐致系统完全失控

安全研究人员近日披露，三星广泛部署的数字标牌管理平台 MagicINFO 9 Server 存在多达 18 个严重安全漏洞，其中部分漏洞的 CVSS 评分高达 9.8。这些漏洞允许攻击者执行远程代码注入、上传 Web shell、绕过身份验证等高危攻击，可能导致服务器被完全接管。

所有漏洞均影响 MagicINFO 9 Server 21.1080.0 之前版本，安全专家强烈建议用户尽快升级补丁。

MagicINFO 是三星推出的数字标牌集中管理平台，广泛应用于零售、交通枢纽等场景，用于创建、调度、分发和监控屏幕内容。正因其部署范围广泛，这些漏洞的潜在风险尤为严重。

以下是本次披露漏洞的关键类别及代表性 CVE 编号和影响：

    1. 远程代码执行（RCE）——通过文件上传

多数漏洞与服务端对文件类型检查不严有关，攻击者可上传 .jsp、.exe 等可执行恶意文件，注入并远程执行任意代码。

涉及 CVE：

• CVE-2025-54439

• CVE-2025-54444

• CVE-2025-54440

• CVE-2025-54441

• CVE-2025-54442

• CVE-2025-54448

• CVE-2025-54449

CVSS 评分： 8.8–9.8（高危至严重）

    2. 路径穿越 + Web Shell 上传

3 个路径穿越漏洞可使攻击者将 Web Shell 上传至服务器执行目录，实现远程访问控制。

涉及 CVE：

• CVE-2025-54438

• CVE-2025-54443

• CVE-2025-54446

问题类型： 路径限制不当，允许跳出预期目录。

    3. 身份验证绕过 + 硬编码凭据

两项漏洞涉及硬编码的账户凭据，可直接绕过认证系统：

涉及 CVE：

• CVE-2025-54454（CVSS 9.1）

• CVE-2025-54455（CVSS 9.1）

此外，CVE-2025-54452（CVSS 7.3） 也存在身份验证机制缺陷，可能被用于冒充合法用户。

    4. XML 外部实体注入（XXE）和 SSRF

• CVE-2025-54445（CVSS 8.2）

该漏洞允许服务端请求伪造（SSRF），可能暴露内网服务或访问敏感文件。

    5. 其他漏洞

CVE-2025-54450、CVE-2025-54453、CVE-2025-54451

涉及代码生成、路径处理等多种问题，进一步扩大攻击面。

 

组合攻击路径示例：

攻击者可先通过 CVE-2025-54454 使用硬编码账号绕过认证，再利用 CVE-2025-54438 执行路径穿越上传 Web Shell，最后结合 CVE-2025-54444 实现远程代码执行，取得高权限控制权。

对于将 MagicINFO 服务器暴露在公网，或连接至内网中含有敏感数据的组织而言，这一系列漏洞可能带来严重安全后果。

三星官方已发布安全更新，建议用户立即升级至 MagicINFO 9 Server v21.1080.0 或更高版本。