LG zakrpio webOS lanac za root pristup iz lokalne mreže
LG je izdao ispravku za lanac od tri ranjivosti u webOS-u koji napadaču na istoj lokalnoj mreži može omogućiti root pristup određenim pametnim televizorima bez PIN-a i bez interakcije vlasnika. Istraživači su lanac potvrdili na modelima 32LQ636BPSA i 27TQ600SW, sa webOS 7.5.7-25 i firmverom 04.54.40.
SSD Secure Disclosure je savet objavio 12. oktobra, a LG je obezbedio zakrpu. Nije poznato da li su pogođeni i drugi modeli ili verzije firmvera. Vlasnici navedenih uređaja treba da provere dostupnost ažuriranja, dok za sisteme koji još ne mogu da se ažuriraju nije naveden alternativni način zaštite.
Lanac počinje servisom za uparivanje
Ulazna tačka je servis na portu 3001, koji aplikacija LG ThinQ koristi za uparivanje sa televizorom. Napadač može ponovo da iskoristi manifest aplikacije sync-demo, već prisutne na uređaju, potpisan testnim sertifikatom kojem firmver veruje.
Dozvola u tom manifestu navodi servis za uparivanje da preskoči zahtev za PIN-om i preda privilegovani ključ. Tim ključem napadač potom pokreće drugu ugrađenu aplikaciju, cmp-client, i usmerava je na stranicu pod svojom kontrolom.
Od interne veze do izvršavanja komandi
Aplikacija cmp-client ne proverava odredište navigacije, pa učitana stranica zadržava pristup interfejsu PalmServiceBridge za sistemske servise televizora. Napadač preko tog mosta može da pozove sistemski servis za evidentiranje događaja pmlogd.
Problem nastaje jer pmlogd ne proverava sadržaj polja kroz koje prima komande ljuske. Pošto servis radi sa root privilegijama, ubačena komanda se izvršava sa istim nivoom ovlašćenja. Lanac je demonstrirao anonimni istraživač, osvajač trećeg mesta u kategoriji LG webOS na događaju TyphoonPWN 2026, održanom u maju u Seulu.
Šta znači za uređaje u organizaciji
Za ovaj lanac nisu dodeljeni CVE identifikatori, a nisu prijavljene ni zloupotrebe u stvarnim napadima. Ovo nije prvi slučaj u kome je lokalna mrežna površina napada na LG pametnim televizorima vodila do root pristupa: Bitdefender je 2024. prijavio drugačiji skup webOS propusta, zakrpljen u martu iste godine, dok je na TyphoonPWN 2025 prikazan zaseban lanac sa prolaskom kroz putanju na drugom portu.
U organizacijama televizori u salama za sastanke, prijemnim prostorima i drugim zajedničkim zonama treba da budu obuhvaćeni redovnim proverama firmvera. Praktičan zaključak je da se dostupna LG ažuriranja provere bez odlaganja, naročito kada su uređaji povezani na istu lokalnu mrežu sa poslovnim sistemima.