LG webOS: tre falle concatenabili danno accesso root alle smart TV dalla rete locale

• Tre falle in LG webOS concatenate danno accesso root da rete locale, senza PIN né interazione
• Testate le TV 32LQ636BPSA e 27TQ600SW con webOS 7.5.7-25, firmware 04.54.40
• Nessun CVE assegnato e nessuno sfruttamento in the wild segnalato
• LG ha rilasciato un fix: aggiornare il firmware, non esistono workaround

Tre vulnerabilità in webOS, il sistema operativo di LG per le smart TV, possono essere concatenate per ottenere accesso root a determinati televisori da parte di un attaccante presente sulla stessa rete locale. Non servono PIN né interazioni da parte del proprietario. L’avviso è stato pubblicato il 12 ottobre da SSD Secure Disclosure, e LG ha già rilasciato una correzione.

Modelli e versioni coinvolti

La catena è stata testata su due modelli, 32LQ636BPSA e 27TQ600SW, con webOS 7.5.7-25 e firmware 04.54.40. Non è noto se altri modelli o versioni siano interessati. Non sono stati assegnati identificativi CVE.

Come funziona la catena

L’attacco parte da un servizio esposto sulla porta 3001, usato dall’app LG ThinQ per l’abbinamento con la TV. I passaggi, in sintesi:

• l’attaccante riproduce un manifest di sync-demo, un’app già presente sul dispositivo, firmato con un certificato di test considerato attendibile dal firmware;
• un permesso contenuto nel manifest induce il servizio di pairing a saltare la richiesta del PIN e a consegnare una chiave con privilegi elevati;
• con quella chiave si avvia un’altra app integrata, cmp-client, indirizzata verso una pagina controllata dall’attaccante. L’app non verifica la destinazione e la pagina caricata mantiene l’accesso a PalmServiceBridge, un’interfaccia interna verso i servizi di sistema;
• tramite questo ponte si raggiunge il servizio di logging pmlogd, che non controlla un campo di input e permette di iniettare comandi di shell. Poiché il servizio gira come root, i comandi vengono eseguiti con privilegi massimi.

Il contesto

La superficie d’attacco della rete locale ha già portato ad accessi root sulle TV LG. Nel 2024 Bitdefender aveva reso note altre vulnerabilità di webOS, anch’esse sfruttabili senza autenticazione dalla rete, su componenti diversi e corrette a marzo 2024. Una catena distinta, presentata a TyphoonPWN 2025, sfruttava invece un path traversal su un’altra porta.

La nuova catena è stata dimostrata da un ricercatore anonimo, arrivato terzo nella categoria LG webOS a TyphoonPWN 2026, svoltosi a Seul a maggio. Non risultano sfruttamenti in the wild.

Cosa fare

I proprietari dei modelli interessati devono verificare la disponibilità di un aggiornamento del firmware e installarlo. Per chi non può aggiornare subito non esistono mitigazioni alternative.

Fonte: The Hacker News · Foto: The Hacker News