Su televisor LG confió en una aplicación de demostración, y con eso bastó

Su televisor escucha en el puerto 3001. Es la puerta a la que llama la aplicación LG ThinQ del móvil cuando se empareja con el aparato, y hasta hace poco cualquiera que ya estuviera en su Wi-Fi podía cruzarla sin esfuerzo.

SSD Secure Disclosure publicó los detalles el 12 de octubre. El trabajo es de un investigador anónimo que en mayo quedó tercero en la categoría LG webOS del TyphoonPWN de Seúl. Tres debilidades se apilan hasta formar un ataque limpio. webOS incluye una aplicación de demostración llamada sync-demo, y su manifiesto de permisos está firmado con un certificado de pruebas en el que el firmware sigue confiando. Basta con reproducir ese manifiesto para que el servicio de emparejamiento se salte por completo la petición del PIN y entregue una clave privilegiada. Desde ahí el atacante dirige otra aplicación integrada, cmp-client, hacia una página web de su elección, y esa página conserva el acceso a un puente interno que llega hasta el servicio de registro del sistema. Ese servicio acepta órdenes de consola por un campo que nunca comprueba, y se ejecuta como root.

Sin PIN, sin aviso en pantalla, sin nada que el propietario tenga que aprobar. La cadena se demostró en dos aparatos, un 32LQ636BPSA y un 27TQ600SW con webOS 7.5.7-25 y firmware 04.54.40. No se ha determinado si otros modelos comparten el fallo. LG ha publicado una corrección, y no hay ninguna solución provisional para quien todavía no pueda actualizar.

El matiz es que alguien tiene que estar ya en su red, lo cual suena tranquilizador hasta que cuenta lo que hay dentro: el móvil de una visita, un portátil que ha cogido algo, un enchufe inteligente barato o una cámara de una marca que dejó de publicar firmware hace años. Deje que el televisor se actualice solo y luego mire qué más está ahí sentado. El escaneo de red de Tendvane enumera todos los dispositivos presentes en ese momento en su red doméstica, y suele ser la primera vez que la gente descubre cuántos son.