Raport opublikował zespół SSD Secure Disclosure. Według badaczy połączenie błędów pozwala uzyskać uprawnienia „root”, czyli najwyższy poziom dostępu do systemu i możliwość wykonywania poleceń.
Dalszy ciąg artykułu pod materiałem wideo
Luki wykryto w dwóch modelach
Podatność potwierdzono w telewizorach LG 32LQ636BPSA i LG 27TQ600SW. Oba działały na webOS 7.5.7-25 i oprogramowaniu 04.54.40.
Atak zaczyna się od usługi parowania z aplikacją LG ThinQ. Błąd pozwala ominąć PIN i uzyskać uprzywilejowany klucz. Następnie napastnik może wykorzystać wbudowaną aplikację do otwarcia przygotowanej strony. Kolejna luka pozwala uruchomić polecenia systemowe z uprawnieniami administratora.
Nie oznacza to, że każdy telewizor LG można przejąć przez internet. Napastnik musi być w tej samej sieci lokalnej, choć nie potrzebuje kliknięcia ani potwierdzenia ze strony użytkownika. The Hacker News podaje, że nie odnotowano wykorzystania luk w rzeczywistych atakach.
LG udostępniło poprawkę
SSD Secure Disclosure informuje, że LG przygotowało poprawkę. Właściciele telewizorów powinni sprawdzić dostępność aktualizacji w ustawieniach i zainstalować najnowszą wersję. Informacje publikuje biuletyn bezpieczeństwa LG.
Nie wiadomo, jak szeroki jest zasięg problemu. Raport opisuje dwa przetestowane modele, więc nie ma podstaw, by uznać wszystkie telewizory LG za podatne. Warto jednak sprawdzić aktualizacje także na innych urządzeniach tej marki.
To nie pierwszy taki przypadek. W 2024 r. Bitdefender ujawnił inne luki w webOS, które również pozwalały na nieautoryzowany dostęp z sieci. Był to jednak odrębny zestaw błędów.