Il vostro televisore LG si fidava di un'app dimostrativa, ed è bastato questo
Il vostro televisore resta in ascolto sulla porta 3001. È la porta a cui bussa l'app LG ThinQ del telefono quando si associa all'apparecchio, e fino a poco fa chiunque fosse già sul vostro Wi-Fi poteva attraversarla senza difficoltà.
SSD Secure Disclosure ha pubblicato i dettagli il 12 ottobre. Il lavoro è di un ricercatore anonimo che a maggio si è classificato terzo nella categoria LG webOS del TyphoonPWN di Seul. Tre debolezze si sommano in un attacco pulito. webOS include un'app dimostrativa chiamata sync-demo, il cui manifesto dei permessi è firmato con un certificato di test di cui il firmware si fida ancora. Basta riproporre quel manifesto perché il servizio di associazione salti del tutto la richiesta del PIN e consegni una chiave privilegiata. Da lì l'attaccante indirizza un'altra app integrata, cmp-client, verso una pagina web a sua scelta, e quella pagina conserva l'accesso a un ponte interno che arriva fino al servizio di log di sistema. Quel servizio accetta comandi shell attraverso un campo che non controlla mai, e gira come root.
Nessun PIN, nessun messaggio a schermo, niente da approvare per il proprietario. La catena è stata dimostrata su due apparecchi, un 32LQ636BPSA e un 27TQ600SW con webOS 7.5.7-25 e firmware 04.54.40. Non si sa se altri modelli condividano la falla. LG ha rilasciato una correzione, e non esiste alcuna soluzione temporanea per chi non può ancora aggiornare.
Il punto è che qualcuno deve già trovarsi sulla vostra rete, cosa che sembra rassicurante finché non contate che cosa c'è sopra: il telefono di un ospite, un portatile che ha preso qualcosa, una presa intelligente o una telecamera economica di una marca che ha smesso di pubblicare firmware anni fa. Lasciate che il televisore si aggiorni da solo, poi andate a vedere che altro c'è. La scansione di rete di Tendvane elenca ogni dispositivo presente in quel momento sulla rete di casa, e di solito è la prima volta che le persone scoprono quanti sono.