三星MagicINFO 9服务器本地权限提升漏洞已修复

执行摘要

在三星 MagicINFO 9 服务器中发现了一个高严重性的本地权限提升漏洞，跟踪编号为 CVE-2026-25203，允许经过身份验证的攻击者获得 SYSTEM 级别的权限。这个漏洞由 Zero Day Initiative (ZDI) 发现，源于 Windows 服务上不正确的默认权限设置。成功利用此漏洞需要攻击者首先获得在目标系统上执行低权限代码的能力。

技术分析

根据 ZDI 咨询报告 ZDI-26-268，漏洞存在于三星 MagicINFO 9 服务器的安装过程中。该软件错误地为其创建的 Windows 服务设置了较弱的默认权限。本地经过身份验证的攻击者可以利用这些过度的权限修改服务的二进制路径或相关配置。通过将服务指向恶意可执行文件，攻击者可以在服务下次启动或系统重启时，使服务以提升的 NT AUTHORITY\SYSTEM 权限运行他们的代码。

该漏洞被分配了 CVSS v3.1 基础得分 7.8，归类为高严重性。攻击向量是本地的，攻击复杂度低，因为它不需要超出标准用户访问和服务操作的高级技术。主要影响是底层主机系统的机密性、完整性和可用性损失。

入侵指标

在源材料中未识别出任何入侵指标。

战术、技术与程序

在这次攻击中使用的核心技术是 滥用提升控制机制 (T1548)。具体来说，它涉及篡改 Windows 服务配置以执行具有更高权限的任意有效载荷。前提是攻击者必须已经获得了 有效账户 (T1078)，拥有目标 MagicINFO 服务器上的本地用户权限，以启动漏洞利用链。

威胁行为者背景

ZDI 咨询报告中没有提到任何特定威胁行为者或积极利用 CVE-2026-25203 的活动。漏洞已由 ZDI 负责任地披露给三星，后者随后发布了补丁。然而，由于漏洞的性质，它很可能成为攻击者在获得系统初始立足点后寻求提升权限和建立持久性的目标。

缓解措施与建议

主要的缓解措施是应用三星为 MagicINFO 9 服务器提供的安全更新。系统管理员应优先对这些系统进行补丁更新，特别是在公共或半受信任环境中部署的系统，这些环境中攻击者获得初始访问权限的风险更高。此外，组织应遵循用户账户的最小权限原则，并定期审计关键系统上的服务权限，以检测类似的配置错误。