Votre téléviseur LG a fait confiance à une application de démonstration, et cela a suffi
Votre téléviseur écoute sur le port 3001. C'est la porte à laquelle frappe l'application LG ThinQ de votre téléphone pour s'appairer avec le poste, et jusqu'à récemment, n'importe qui déjà présent sur votre Wi-Fi pouvait la franchir sans effort.
SSD Secure Disclosure a publié les détails le 12 octobre. Le travail vient d'un chercheur anonyme qui a décroché la troisième place dans la catégorie LG webOS du concours TyphoonPWN à Séoul, en mai dernier. Trois faiblesses s'empilent pour former une attaque nette. webOS est livré avec une application de démonstration appelée sync-demo, dont le manifeste de permissions est signé par un certificat de test auquel le micrologiciel fait toujours confiance. Il suffit de rejouer ce manifeste pour que le service d'appairage saute complètement la demande de code PIN et remette une clé privilégiée. L'attaquant oriente ensuite une autre application intégrée, cmp-client, vers une page web de son choix, et cette page conserve l'accès à un pont interne qui atteint le service de journalisation du système. Ce service accepte des commandes shell via un champ qu'il ne vérifie jamais, et il tourne en root.
Pas de code PIN, pas de message à l'écran, rien à approuver pour le propriétaire. La chaîne a été démontrée sur deux postes, un 32LQ636BPSA et un 27TQ600SW tournant sous webOS 7.5.7-25 avec le micrologiciel 04.54.40. On ne sait pas si d'autres modèles partagent la faille. LG a publié un correctif, et il n'existe aucune parade pour ceux qui ne peuvent pas encore mettre à jour.
Le hic, c'est qu'il faut déjà être sur votre réseau, ce qui paraît rassurant jusqu'à ce que vous comptiez ce qui s'y trouve : le téléphone d'un visiteur, un portable qui a attrapé quelque chose, une prise connectée ou une caméra bon marché d'une marque qui a cessé de publier des micrologiciels il y a des années. Laissez le téléviseur se mettre à jour tout seul, puis allez voir ce qui traîne d'autre. L'analyse réseau de Tendvane liste tous les appareils présents sur votre réseau domestique, et c'est en général la première fois que les gens découvrent combien il y en a.