Masz telewizor LG? To masz kolejny problem, a hasło ani PIN nic nie dają

W systemie webOS wykryto trzy luki bezpieczeństwa, które pozwalają uzyskać pełne uprawnienia administratora na niektórych telewizorach LG. Atak nie wymaga podania kodu PIN ani żadnej interakcji właściciela urządzenia. Wystarczy, że napastnik ma dostęp do tej samej sieci lokalnej.

LG przygotowało już poprawkę, o czym poinformowano w komunikacie SSD Secure Disclosure opublikowanym 12 października. Nie wiadomo jednak, ile modeli telewizorów jest podatnych na te luki.

Trzy luki pozwalają przejąć kontrolę nad webOS

Podatności zostały sprawdzone na telewizorach LG 32LQ636BPSA oraz 27TQ600SW. Oba urządzenia korzystały z webOS 7.5.7-25 i oprogramowania układowego 04.54.40. Atak rozpoczyna się od usługi działającej na porcie 3001, wykorzystywanej przez aplikację LG ThinQ do parowania urządzeń.

Atak nie wymaga podania kodu PIN ani żadnej interakcji właściciela urządzenia. Wystarczy, że napastnik ma dostęp do tej samej sieci lokalnej.

Napastnik może ponownie wykorzystać manifest wbudowanej aplikacji sync-demo, podpisany certyfikatem testowym uznawanym przez oprogramowanie telewizora za zaufany. Zawarte w nim uprawnienie pozwala ominąć żądanie kodu PIN i uzyskać uprzywilejowany klucz dostępu. Następnie atakujący uruchamia kolejną wbudowaną aplikację, cmp-client, kierując ją na przygotowaną przez siebie stronę internetową.

Problem polega na tym, że aplikacja nie sprawdza docelowego adresu, a załadowana strona zachowuje dostęp do PalmServiceBridge, czyli wewnętrznego interfejsu usług systemowych.

W ostatnim etapie należy wykorzystać usługę rejestrowania zdarzeń pmlogd. Jedno z jej pól wejściowych nie sprawdza prawidłowo przekazywanych danych, umożliwiając wstrzyknięcie poleceń powłoki systemowej. Ponieważ pmlogd działa z uprawnieniami root, polecenia atakującego również są wykonywane z najwyższymi uprawnieniami.

LG miało już podobne problemy

To kolejne luki wykryte w webOS. W 2024 roku badacze Bitdefendera ujawnili podatności pozwalające uzyskać nieautoryzowany dostęp przez sieć. LG usunęło je w marcu tego samego roku. Kolejny łańcuch podatności zaprezentowano podczas TyphoonPWN 2025. Wykorzystywał on błąd path traversal na innym porcie.

Najnowsze luki odkrył anonimowy badacz, który podczas TyphoonPWN 2026 w Seulu, zorganizowanego w maju, zdobył trzecie miejsce w kategorii LG webOS. Podatności nie otrzymały jeszcze identyfikatorów CVE. Nie odnotowano również przypadków ich wykorzystywania w rzeczywistych atakach.