LG Smart TV-ების webOS-ის ხარვეზები ლოკალურ ქსელში root-ის ხელში ჩაგდების საშუალებას იძლევა

როგორ მუშაობს თავდასხმის ჯაჭვი

LG webOS-ის სამი ხარვეზის ჯაჭვური გამოყენება თავდამსხმელს, რომელიც იმავე ლოკალურ ქსელში იმყოფება, საშუალებას აძლევს, PIN-ისა და მფლობელის რაიმე ჩარევის გარეშე root-ის წვდომა მიიღოს გარკვეულ Smart TV-ებზე. LG-მ გამოსწორება გამოუშვა, რასაც SSD Secure Disclosure-ის მიერ 12 ოქტომბერს გამოქვეყნებული ცნობა ადასტურებს.

შეტევა იწყება სერვისით, რომელსაც ტელევიზორი 3001 პორტზე ამჟღავნებს და რომელსაც LG ThinQ-ის აპი დაწყვილებისთვის იყენებს. თავდამსხმელი იმეორებს sync-demo-ს, მოწყობილობაზე უკვე არსებული ჩაშენებული აპის, მანიფესტს, რომელიც firmware-ისთვის სანდო სატესტო სერტიფიკატითაა ხელმოწერილი. მანიფესტში მითითებული ნებართვა იწვევს იმას, რომ დაწყვილების სერვისმა PIN-ის მოთხოვნა გამოტოვოს და პრივილეგირებული გასაღები გადასცეს.

ამ გასაღებით თავდამსხმელი რთავს კიდევ ერთ ჩაშენებულ აპს, cmp-client-ს, და მას თავდამსხმელის მიერ კონტროლირებად გვერდზე მიუთითებს. აპი არ ამოწმებს, სად გადადის, და ჩატვირთული გვერდი ინარჩუნებს წვდომას PalmServiceBridge-ზე, ტელევიზორის სისტემური სერვისების შიდა ინტერფეისზე. ამ ხიდის მეშვეობით თავდამსხმელი მიმართავს სისტემური ლოგირების სერვისს, pmlogd-ს, და shell-ის ბრძანებებს გადასცემს იმ შეყვანის ველის მეშვეობით, რომელსაც სერვისი არ ამოწმებს. რადგან pmlogd root-ის უფლებებით მუშაობს, ინექცირებული ბრძანებაც root-ის უფლებებით სრულდება.

შემოწმებული მოწყობილობები და რეაგირება

ჯაჭვი შემოწმდა ტელევიზორის ორ მოდელზე, 32LQ636BPSA-სა და 27TQ600SW-ზე, რომლებზეც firmware 04.54.40-ზე webOS 7.5.7-25 მუშაობს. უცნობია, დაზარალდებიან თუ არა სხვა მოდელები ან firmware-ის ვერსიები.

დაზარალებული ტელევიზორების მფლობელებმა firmware-ის განახლება უნდა შეამოწმონ. მათთვის, ვინც ჯერ ვერ განაახლებს, გვერდის ავლის ხერხი არ არსებობს.

წინაისტორია და მიმდინარე მდგომარეობა

ეს პირველი შემთხვევა არ არის, როცა ლოკალური ქსელის შეტევის ზედაპირმა LG-ის Smart TV-ებზე root-ის წვდომამდე მიიყვანა. 2024 წელს Bitdefender-მა webOS-ის სხვა ხარვეზები გაამჟღავნა, რომლებიც ასევე იძლეოდნენ ქსელიდან აუთენტიფიცირებულ წვდომას, სხვა კომპონენტებს ეხებოდნენ და 2024 წლის მარტში გამოსწორდნენ. ცალკე ჯაჭვი, რომელიც TyphoonPWN 2025-ზე აჩვენეს, სხვა პორტზე path traversal-ს იყენებდა.

ჯაჭვი წარადგინა ანონიმურმა მკვლევარმა, რომელმაც მესამე ადგილი მოიპოვა LG webOS-ის კატეგორიაში TyphoonPWN 2026-ზე, რომელიც მაისში სეულში ჩატარდა. CVE-ის იდენტიფიკატორები ჯერ არ არის მინიჭებული და რეალურ პირობებში ექსპლუატაციის შემთხვევები არ დაფიქსირებულა.

წყაროები: The Hacker News