A Bitdefender biztonsági kutatói négy, az LG okostévékben használt operációs rendszer, a WebOS több verzióját érintő sebezhetőséget fedeztek fel.
A hibák különböző mértékű jogosulatlan hozzáférést és irányítást tesznek lehetővé az érintett modellek felett, mint például az engedélyezés megkerülését, a jogosultságok kiterjesztését és a parancsinjekciót.
A potenciális támadások alapja, hogy az okostelefonok csatlakoztatásához rendelkezésre álló 3000/3001-es portokon futó szolgáltatás segítségével tetszőleges fiókokat lehet létrehozni a készüléken.
Bár a sebezhető LG WebOS szolgáltatást elvileg csak a helyi hálózatok (LAN) beállításaiban lehet használni, a Shodan vizsgálatok 91000 olyan eszközt mutatnak, amelyek potenciálisan sebezhetőek a hibákkal szemben.
A négy hiba a következő:
- A CVE-2023-6317 lehetővé teszi a támadók számára, hogy egy változó beállításának kihasználásával megkerüljék a tévé engedélyezési mechanizmusát, és így megfelelő engedélyezés nélkül egy további felhasználó hozzáadását tegyék lehetővé a tévékészülékhez.
- A CVE-2023-6318 egy jogosultságnövelő sebezhetőség, amely lehetővé teszi a támadók számára, hogy a CVE-2023-6317 által biztosított kezdeti jogosulatlan hozzáférést követően root hozzáférést szerezzenek.
- A CVE-2023-6319 operációs rendszer parancs injekciót tartalmaz egy zenei dalszövegek megjelenítéséért felelős könyvtár manipulálásán keresztül, ami tetszőleges parancsok végrehajtását teszi lehetővé.
- A CVE-2023-6320 a com.webos.service.connectionmanager/tv/setVlanStaticAddress API végpont kihasználásával lehetővé teszi a hitelesített parancsinjekciót, ami a root felhasználóhoz hasonló jogosultságokkal rendelkező dbus felhasználóként teszi lehetővé a parancsok végrehajtását.
A webOS sebezhető az LG43UM7000PLA 4.9.7 – 5.30.40, az OLED55CXPUA 04.50.51 – 5.5.0, az OLED48C1PUB 0.36.50 – 6.3.3-442 és az OLED55A23LA 03.33.85 – 7.3.1-43 készülékek esetében.
Az érintett felhasználóknak a frissítést a tévé Beállítások > Támogatás > Szoftverfrissítés menüpontjában a “Frissítés ellenőrzése” menüpont kiválasztásával kell alkalmazniuk. A WebOS frissítések automatikus alkalmazása, amikor azok elérhetők, ugyanebből a menüből engedélyezhető.
Az okostévék gyakran rendelkeznek olyan alkalmazásokkal, amelyekhez fiókok szükségesek, és a támadó ellophatja (például streaming szolgáltatások). A sebezhető tévékészülékeket olyan rosszindulatú botnetek támadhatják meg, amelyek DDoS-támadásokban vesznek részt, vagy kriptobányászatra használják őket.