Twój telewizor LG zaufał aplikacji demonstracyjnej i to w zupełności wystarczyło

Twój telewizor nasłuchuje na porcie 3001. To właśnie tam puka aplikacja LG ThinQ z telefonu, gdy paruje się z odbiornikiem, i do niedawna każdy, kto był już w twojej sieci Wi-Fi, mógł przez te drzwi po prostu wejść.

SSD Secure Disclosure opublikowało szczegóły 12 października. Pracę wykonał anonimowy badacz, który w maju zajął trzecie miejsce w kategorii LG webOS podczas TyphoonPWN w Seulu. Trzy słabości składają się w jeden czysty atak. webOS zawiera aplikację demonstracyjną o nazwie sync-demo, a jej manifest uprawnień podpisano certyfikatem testowym, któremu firmware wciąż ufa. Wystarczy odtworzyć ten manifest, a usługa parowania całkowicie pomija pytanie o PIN i wydaje uprzywilejowany klucz. Dalej atakujący kieruje inną wbudowaną aplikację, cmp-client, na wybraną przez siebie stronę internetową, a ta strona zachowuje dostęp do wewnętrznego mostka sięgającego usługi dzienników systemowych. Usługa ta przyjmuje polecenia powłoki przez pole, którego nigdy nie sprawdza, i działa jako root.

Żadnego PIN-u, żadnego komunikatu na ekranie, nic do zatwierdzenia przez właściciela. Cały łańcuch zademonstrowano na dwóch odbiornikach, 32LQ636BPSA i 27TQ600SW z webOS 7.5.7-25 i firmware 04.54.40. Nie ustalono, czy inne modele mają tę samą lukę. LG wydało poprawkę, a dla tych, którzy nie mogą jeszcze zaktualizować, nie ma żadnego obejścia.

Haczyk polega na tym, że ktoś musi być już w twojej sieci, co brzmi uspokajająco, dopóki nie policzysz, co w niej siedzi: telefon gościa, laptop, który coś złapał, tania wtyczka albo kamera marki, która przestała wydawać firmware lata temu. Pozwól telewizorowi samemu się aktualizować, a potem sprawdź, co jeszcze tam jest. Skanowanie sieci w Tendvane wypisuje każde urządzenie obecne w danej chwili w twojej sieci domowej i zwykle dopiero wtedy ludzie odkrywają, ile ich jest.