Trzy luki w webOS 7.5.7-25 dają root na telewizorach LG z sieci lokalnej, jest poprawka

Trzy luki w systemie webOS można połączyć w atak, który daje osobie w tej samej sieci lokalnej uprawnienia root na telewizorze LG, bez PIN-u i bez żadnej akcji właściciela. LG wydało poprawkę, co podało SSD Secure Disclosure w komunikacie z 12 października. Atak wchodzi przez usługę na porcie 3001, z której aplikacja LG ThinQ korzysta przy parowaniu. Kończy się wstrzyknięciem polecenia do usługi logowania pmlogd, która działa jako root, więc polecenie atakującego też wykonuje się jako root.

Kogo dotyczy

Łańcuch sprawdzono na dwóch modelach, 32LQ636BPSA i 27TQ600SW, z webOS 7.5.7-25 na oprogramowaniu 04.54.40. Nie wiadomo, czy podatne są inne modele lub wersje oprogramowania. Atakujący musi być w tej samej sieci lokalnej co telewizor, na przykład w sieci biurowej albo sali konferencyjnej.

Co zrobić

Sprawdź, czy telewizor ma dostępną aktualizację oprogramowania od LG, i zainstaluj ją. Dla urządzeń, których nie da się jeszcze zaktualizować, obejścia nie ma.