Se ha instado a los administradores del servidor Samsung MagicInfo 9 a aislar sus sistemas de internet después de que investigadores detectaran intentos de explotación que afectaban a una versión actualizada recientemente.
El producto de Samsung se describe como un centro para gestionar las populares pantallas de señalización digital del gigante tecnológico, que se encuentran en numerosos lugares públicos como aeropuertos y oficinas corporativas.
Sin embargo, existe cierta confusión sobre si los últimos ataques explotan una vulnerabilidad de día cero (CVE-2024-7399) descubierta por primera vez el año pasado o una vulnerabilidad de día cero descubierta en enero por un investigador que trabaja con SSD Disclosure.
Esta última vulnerabilidad, o conjunto de errores, permite que «un usuario no autenticado cargue una shell web y ejecute código remoto bajo el proceso Apache Tomcat», según Huntress.
Lea más sobre los ataques de día cero de Samsung: Google expone 18 fallos de día cero en chips Samsung Exynos.
Se dice que los fallos afectan a MagicInfo 9 Server 21.1050.0, la última versión del servidor. Sin embargo, aparentemente son muy similares a CVE-2024-7399, publicada en agosto de 2024. De hecho, son tan similares que, cuando se informaron a Samsung, el proveedor los registró como un problema duplicado y aparentemente no tomó ninguna medida.
Como resultado, SSD Disclosure publicó un exploit de prueba de concepto, dentro de su plazo de divulgación de 90 días, el 30 de abril.
En cuestión de días, Arctic Wolf detectó lo que afirmó ser exploits de CVE-2024-7399, indicando que los sistemas afectados eran versiones anteriores a la 21.1050.
«Esto fue rápidamente retomado por los medios de comunicación, con la misma narrativa de que los sistemas con la versión 21.1050 eran seguros», explicó Huntress en una entrada de blog.
«Huntress también observó exploits en la práctica; sin embargo, algunos de los sistemas afectados contaban con el último parche disponible, lo que reforzó la suposición de que la última versión disponible (21.1050.0) seguía siendo vulnerable, como menciona SSD Disclosure».
En resumen, las versiones 21.1050.0 y 21.1040.2 de MagicInfo 9 Server siguen siendo vulnerables y no hay parches disponibles, según Huntress.
“Solo se puede concluir que el parche de agosto de 2024 estaba incompleto o era para una vulnerabilidad distinta, pero similar”, concluyó el proveedor de seguridad.
“Huntress se ha puesto en contacto con el equipo de Samsung para notificarles esto, pero al momento de escribir este artículo, aún no ha recibido respuesta”.
Por lo tanto, se recomienda a los administradores de MagicInfo 9 Server que se aseguren de que las instalaciones no tengan conexión a internet hasta que se publique un parche adecuado.