Ланцюг помилок webOS для LG Smart TV дає змогу отримати root у локальній мережі

Як працює ланцюг атаки

Ланцюг із трьох вразливостей webOS дає зловмиснику, який перебуває в тій самій локальній мережі, змогу отримати доступ із правами root до певних Smart TV без PIN-коду та будь-якої участі власника. LG випустила виправлення, що підтверджує повідомлення, опубліковане SSD Secure Disclosure 12 жовтня.

Атака починається зі служби, яку телевізор виявляє на порту 3001 і яку використовує застосунок LG ThinQ для сполучення. Зловмискник відтворює sync-demo, маніфест уже вбудованого на пристрій застосунку, підписаний надійним тестовим сертифікатом прошивки. У маніфесті вказане повноваження змушує службу сполучення пропустити запит PIN-коду і передати привілейований ключ.

За допомогою цього ключа зловмискник завантажує ще один вбудований застосунок, cmp-client, і вказує йому на керовану зловмиском сторінку. Застосунок не перевіряє, куди він переходить, і завантажена сторінка зберігає доступ до PalmServiceBridge, внутрішнього інтерфейсу системних служб телевізора. Через цей міст зловмискник звертається до системної служби журналювання, pmlogd, і передає команди shell через поле введення, яку служба не перевіряє. Оскільки pmlogd працює з правами root, інжектована команда також виконується з правами root.

Перевірені пристрої та реакція

Ланцюг перевірили на двох моделях телевізорів, 32LQ636BPSA і 27TQ600SW, де працює webOS 7.5.7-25 з прошивкою 04.54.40. Невідомо, чи постраждали інші моделі або версії прошивки.

Власникам уражених телевізорів слід перевірити оновлення прошивки. Для тих, хто ще не оновився, способу перекрити цей канал не існує.

Передісторія та поточний стан

Це не перший випадок, коли поверхня атаки локальної мережі довела до доступу з правами root на Smart TV LG. У 2024 році Bitdefender виявила інші вразливості webOS, які також дозволяли доступ із мережі без автентифікації, стосувалися інших компонентів і були виправлені у березні 2024 року. Окремий ланцюг, показаний на TyphoonPWN 2025, використовував path traversal на іншому порту.

Ланцюг створив анонімний дослідник, який посів третє місце в категорії LG webOS на TyphoonPWN 2026, який відбувся в травні в Сеулі. Ідентифікатори CVE ще не призначені, а випадків експлуатації в реальних умовах не зафіксовано.

Джерела: The Hacker News