Ваш телевізор LG довірився демонстраційному застосунку, і цього виявилося досить

Ваш телевізор слухає порт 3001. Саме в ці двері стукає застосунок LG ThinQ на телефоні, коли створює пару з апаратом, і донедавна будь-хто, хто вже був у вашому Wi-Fi, міг спокійно крізь них пройти.

SSD Secure Disclosure оприлюднила подробиці 12 жовтня. Роботу виконав анонімний дослідник, який у травні посів третє місце в категорії LG webOS на змаганні TyphoonPWN у Сеулі. Три слабкості складаються в одну охайну атаку. У webOS є демонстраційний застосунок sync-demo, і його маніфест дозволів підписано тестовим сертифікатом, якому прошивка досі довіряє. Достатньо відтворити цей маніфест, і служба створення пари повністю пропускає запит PIN-коду та видає привілейований ключ. Далі зловмисник скеровує інший вбудований застосунок, cmp-client, на обрану ним вебсторінку, і ця сторінка зберігає доступ до внутрішнього містка, що дотягується до системної служби журналювання. Та служба приймає команди оболонки через поле, яке ніколи не перевіряє, і працює від імені root.

Жодного PIN-коду, жодного повідомлення на екрані, нічого, що власник мав би підтвердити. Ланцюжок продемонстрували на двох апаратах, 32LQ636BPSA і 27TQ600SW із webOS 7.5.7-25 на прошивці 04.54.40. Чи є та сама вада в інших моделях, не встановлено. LG випустила виправлення, і для тих, хто ще не може оновитися, обхідного шляху немає.

Заковика в тому, що хтось має вже бути у вашій мережі, і це звучить заспокійливо, доки ви не порахуєте, що саме в ній є: телефон гостя, ноутбук, який щось підхопив, дешева розумна розетка чи камера від бренду, який припинив випускати прошивки роки тому. Дайте телевізору оновитися самому, а потім подивіться, що там ще сидить. Сканування мережі в Tendvane показує кожен пристрій, присутній зараз у вашій домашній мережі, і зазвичай саме тоді люди вперше дізнаються, скільки їх насправді.