O seu televisor LG confiou numa aplicação de demonstração, e isso bastou

O seu televisor está à escuta na porta 3001. É a porta a que a aplicação LG ThinQ do telemóvel bate quando emparelha com o aparelho, e até há pouco tempo qualquer pessoa já ligada ao seu Wi-Fi podia atravessá-la sem esforço.

A SSD Secure Disclosure publicou os detalhes a 12 de outubro. O trabalho é de um investigador anónimo que em maio ficou em terceiro lugar na categoria LG webOS do TyphoonPWN, em Seul. Três fraquezas empilham-se num ataque limpo. O webOS inclui uma aplicação de demonstração chamada sync-demo, cujo manifesto de permissões está assinado com um certificado de teste em que o firmware ainda confia. Basta repetir esse manifesto para que o serviço de emparelhamento salte por completo o pedido de PIN e entregue uma chave privilegiada. A partir daí o atacante aponta outra aplicação integrada, a cmp-client, para uma página à sua escolha, e essa página mantém acesso a uma ponte interna que chega ao serviço de registo do sistema. Esse serviço aceita comandos de consola através de um campo que nunca verifica, e corre como root.

Sem PIN, sem aviso no ecrã, sem nada que o dono tenha de aprovar. A cadeia foi demonstrada em dois aparelhos, um 32LQ636BPSA e um 27TQ600SW com webOS 7.5.7-25 e firmware 04.54.40. Não se apurou se outros modelos partilham a falha. A LG lançou uma correção e não existe qualquer solução temporária para quem ainda não consiga atualizar.

O senão é que alguém tem de estar já na sua rede, o que soa tranquilizador até contar o que lá está: o telemóvel de uma visita, um portátil que apanhou alguma coisa, uma tomada inteligente barata ou uma câmara de uma marca que deixou de publicar firmware há anos. Deixe o televisor atualizar-se sozinho e depois veja o que mais ali está. A análise de rede do Tendvane lista todos os dispositivos presentes naquele momento na sua rede doméstica, e costuma ser a primeira vez que as pessoas descobrem quantos são.