Три уязвимости в webOS от LG могут быть объединены для предоставления злоумышленнику в той же локальной сети корневого доступа к некоторым смарт-телевизорам без PIN-кода или какого-либо взаимодействия со стороны владельца. LG выпустила исправление, согласно консультативному уведомлению, опубликованному SSD Secure Disclosure 12 октября. Цепочка была протестирована на двух моделях телевизоров — 32LQ636BPSA и 27TQ600SW — с webOS 7.5.7-25 на прошивке 04.54.40. Затронуты ли другие модели или версии прошивки, неизвестно. Владельцам затронутых телевизоров следует проверить наличие обновления прошивки. Для тех, кто пока не может обновиться, обходных путей нет. Атака осуществляется через службу, которую телевизор предоставляет на порту 3001 и которая используется приложением LG ThinQ для сопряжения. Злоумышленник воспроизводит манифест из sync-demo, встроенного приложения, уже имеющегося на устройстве, подписанный тестовым сертификатом, которому доверяет прошивка. Разрешение в манифесте заставляет службу сопряжения пропустить запрос PIN-кода и передать привилегированный ключ. С помощью этого ключа злоумышленник запускает другое встроенное приложение, cmp-client, и направляет его на страницу, контролируемую злоумышленником. Приложение не проверяет, куда оно переходит, а загруженная страница сохраняет доступ к PalmServiceBridge — внутреннему интерфейсу системных служб телевизора. Через этот мост злоумышленник вызывает службу системного журналирования pmlogd, передавая команды оболочки через поле ввода, которое служба не проверяет. Поскольку pmlogd работает с правами root, внедренная команда выполняется с правами root. Это не первый случай, когда поверхность атаки в локальной сети приводит к получению корневого доступа к смарт-телевизорам LG. В 2024 году Bitdefender раскрыла другой набор уязвимостей webOS, который также позволял неаутентифицированный доступ из сети, затрагивал другие компоненты и был исправлен в марте 2024 года. Отдельная цепочка, продемонстрированная на TyphoonPWN 2025, использовала обход пути на другом порту. Цепочка была продемонстрирована анонимным исследователем, занявшим третье место в категории LG webOS на TyphoonPWN 2026, проходившем в Сеуле в мае. Идентификаторы CVE не присвоены, и сообщений об эксплуатации в реальных условиях не поступало.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
