Lỗ hổng webOS trên TV LG có thể bị chiếm quyền root từ mạng nội bộ
"Three chained vulnerabilities in LG webOS allow an attacker on the same local network to achieve pre-authentication root code execution on certain smart TVs without a PIN or user interaction. LG has released a firmware fix; the issue was demonstrated on webOS 7.5.7-25 / firmware 04.54.40, no CVEs have been assigned, and no in-the-wild exploitation has been reported."
root code execution từ mạng nội bộ có thể dẫn đến chiếm quyền điều khiển thiết bị, truy cập dữ liệu và thay đổi cấu hình hệ thống; chưa có CVE và chưa ghi nhận khai thác thực tế.
smart TV LG trong môi trường doanh nghiệp có thể bị lạm dụng như điểm xâm nhập nội bộ hoặc thiết bị trung gian; cần cập nhật firmware và rà soát tài sản IoT để giảm gián đoạn vận hành.
Ba lỗ hổng trong LG webOS có thể bị chuỗi khai thác để cho phép kẻ tấn công trên cùng mạng nội bộ đạt root code execution trên một số smart TV LG mà không cần PIN hay tương tác từ người dùng. Theo công bố của SSD Secure Disclosure ngày 12/10, LG đã phát hành bản sửa lỗi firmware cho vấn đề này.
Khai thác được thử nghiệm trên hai mẫu 32LQ636BPSA và 27TQ600SW, chạy webOS 7.5.7-25 với firmware 04.54.40. Hiện chưa rõ các mẫu hoặc phiên bản khác có bị ảnh hưởng hay không. Người dùng thiết bị liên quan nên kiểm tra và cài đặt firmware update sớm; hiện không có biện pháp khắc phục tạm thời cho trường hợp chưa thể cập nhật.
Chuỗi tấn công bắt đầu từ dịch vụ trên port 3001 dùng cho ghép nối với ứng dụng LG ThinQ. Từ đó, kẻ tấn công có thể lạm dụng một manifest được ký bằng test certificate, bỏ qua bước nhập PIN, rồi kích hoạt ứng dụng nội bộ khác để truy cập PalmServiceBridge và cuối cùng chèn lệnh vào pmlogd đang chạy với quyền root.
Chưa có CVE nào được gán và cũng chưa ghi nhận khai thác ngoài thực tế. Tuy vậy, quản trị viên nên ưu tiên kiểm tra tài sản, xác nhận phiên bản webOS/firmware, và hạn chế thiết bị ở mạng nội bộ tin cậy cho đến khi cập nhật hoàn tất.