Опасност в хола ви: 90 000 телевизора на LG са се превърнали в нова цел за хакерите

Изследователи на Bitdefender са открили 4 уязвимости в няколко версии на WebOS – операционната система, използвана в смарт телевизорите на LG.

Недостатъците позволяват на нападателите да получат неоторизиран достъп и контрол върху устройствата на няколко нива, включително заобикаляне на разрешенията, увеличаване на привилегиите, и изпълняване на команди.

Уязвимостите се основават на възможността за създаване на произволни акаунти на устройство с помощта на услуга, която работи през портове 3000/3001, предназначени за свързване на смартфони с помощта на ПИН код. Проведените сканирания в интернет идентифицираха 91 000 устройства, достъпни онлайн и потенциално податливи на тези уязвимости.

Ето ги и установените уязвимости в сигурността:

• CVE-2023-6317: Заобикаляне на механизма за оторизация на телевизора с цел добавяне на допълнителен потребител без подходяща оторизация (CVSS оценка 7.2);
• CVE-2023-6318: Повишаване на привилегиите до root след първоначален достъп (CVSS оценка 9,1);
• CVE-2023-6319: Изпълняване на команди на операционната система чрез манипулиране на библиотеката, отговаряща за показването на музикални текстове (CVSS оценка 9,1);
• CVE-2023-6320: удостоверено изпълнение на команди от името на потребител dbus с привилегии, подобни на тези на root (CVSS оценка 9.1).

Идентифицираните уязвимости засягат конкретни версии на операционната система WebOS в следните модели телевизори:

• WebOS 4.9.7 до 5.30.40 на LG43UM7000PLA;
• WebOS от 04.50.51 до 5.5.0 на OLED55CXPUA;
• WebOS от 0.36.50 до 6.3.3-442 на OLED48C1PUB;
• WebOS от 03.33.85 до 7.3.1-43 за OLED55A23LA.

Bitdefender съобщи за тези уязвимости на LG на 1 ноември 2023 година, но едва след повече от четири месеца – на 22 март тази година компанията най-накрая пусна съответните актуализации за сигурност.

Въпреки, че телевизорите на LG уведомяват потребителите за важни актуализации на WebOS, те могат да се забавят за неопределено време. Затова експертите препоръчват незабавно да приложите всички налични актуализации чрез менюто с настройки на телевизора.

Въпреки, че телевизорите не са критични по отношение на цифровата сигурност, възможността за изпълнение на команди от разстояние остава значителна заплаха, тъй като може да даде на нападателите точка за по-нататъшни атаки срещу други устройства в мрежата.

Освен това нападателите могат да откраднат идентификационни данни от услуги за стрийминг или други услуги, които потребителят е въвел в операционната система.

Уязвимите телевизори могат да бъдат използвани и за разпространение на зловреден софтуер, за участие в DDoS атаки или за добив на криптовалута, което може да се отрази пряко на тяхната производителност, а ако работят усилено за дълъг период от време – и на дълготрайността на тяхната работа.