安全研究人员近日披露，三星广泛部署的数字标牌管理平台 MagicINFO 9 Server 存在多达 18 个严重安全漏洞，其中部分漏洞的 CVSS 评分高达 9.8。这些漏洞允许攻击者执行远程代码注入、上传 Web shell、绕过身份验证等高危攻击，可能导致服务器被完全接管。
所有漏洞均影响 MagicINFO 9 Server 21.1080.0 之前版本，安全专家强烈建议用户尽快升级补丁。
MagicINFO 是三星推出的数字标牌集中管理平台，广泛应用于零售、交通枢纽等场景，用于创建、调度、分发和监控屏幕内容。正因其部署范围广泛，这些漏洞的潜在风险尤为严重。
以下是本次披露漏洞的关键类别及代表性 CVE 编号和影响：
1. 远程代码执行（RCE）——通过文件上传
多数漏洞与服务端对文件类型检查不严有关，攻击者可上传 .jsp、.exe 等可执行恶意文件，注入并远程执行任意代码。
涉及 CVE：
• CVE-2025-54439
• CVE-2025-54444
• CVE-2025-54440
• CVE-2025-54441
• CVE-2025-54442
• CVE-2025-54448
• CVE-2025-54449
CVSS 评分： 8.8–9.8（高危至严重）
2. 路径穿越 + Web Shell 上传
3 个路径穿越漏洞可使攻击者将 Web Shell 上传至服务器执行目录，实现远程访问控制。
涉及 CVE：
• CVE-2025-54438
• CVE-2025-54443
• CVE-2025-54446
问题类型： 路径限制不当，允许跳出预期目录。
3. 身份验证绕过 + 硬编码凭据
两项漏洞涉及硬编码的账户凭据，可直接绕过认证系统：
涉及 CVE：
• CVE-2025-54454（CVSS 9.1）
• CVE-2025-54455（CVSS 9.1）
此外，CVE-2025-54452（CVSS 7.3） 也存在身份验证机制缺陷，可能被用于冒充合法用户。
4. XML 外部实体注入（XXE）和 SSRF
• CVE-2025-54445（CVSS 8.2）
该漏洞允许服务端请求伪造（SSRF），可能暴露内网服务或访问敏感文件。
5. 其他漏洞
CVE-2025-54450、CVE-2025-54453、CVE-2025-54451
涉及代码生成、路径处理等多种问题，进一步扩大攻击面。
组合攻击路径示例：
攻击者可先通过 CVE-2025-54454 使用硬编码账号绕过认证，再利用 CVE-2025-54438 执行路径穿越上传 Web Shell，最后结合 CVE-2025-54444 实现远程代码执行，取得高权限控制权。
对于将 MagicINFO 服务器暴露在公网，或连接至内网中含有敏感数据的组织而言，这一系列漏洞可能带来严重安全后果。
三星官方已发布安全更新，建议用户立即升级至 MagicINFO 9 Server v21.1080.0 或更高版本。
