LG webOS: quattro CVE-2023-6317/6320 permettono comandi come root senza autenticazione

• Quattro CVE (2023-6317/6320) in LG webOS 4-7 consentono bypass del PIN e comandi con privilegi quasi root
• Bitdefender ha trovato oltre 91.000 dispositivi esposti su Shodan; LG ha corretto prima della ricerca di aprile 2024
• Attivare gli aggiornamenti automatici, evitare il port forwarding e isolare i dispositivi IoT

Quattro vulnerabilità nelle smart TV LG con webOS dalla versione 4 alla 7 permettono a un aggressore di aggirare l’autenticazione, creare un account con privilegi elevati ed eseguire comandi con accesso di livello root. I difetti sono tracciati come CVE-2023-6317, CVE-2023-6318, CVE-2023-6319 e CVE-2023-6320 e sono stati descritti dai ricercatori di Bitdefender.

La catena di attacco

Il difetto principale è CVE-2023-6317 e riguarda l’abbinamento con l’app mobile LG ThinQ. In condizioni normali l’utente deve inserire un PIN mostrato sul televisore. Nel processo di registrazione degli account di webOS, però, un aggressore poteva saltare questa verifica.

Il problema riguardava la gestione dei valori client-key e companion-client-key. L’attaccante poteva richiedere un account con permessi bassi e ottenerne la chiave. Poteva poi riutilizzarla chiedendo un secondo account con permessi più alti. La TV controllava che la chiave esistesse, ma non che appartenesse all’account in creazione. La richiesta evitava così il PIN a schermo.

Con l’account privilegiato si raggiungevano servizi non accessibili a un utente non autenticato. Qui entrano in gioco le altre vulnerabilità:

• CVE-2023-6318 e CVE-2023-6319: command injection, che consente di eseguire comandi del sistema operativo.
• CVE-2023-6320: riguarda un endpoint di configurazione di rete e permette di eseguire comandi con l’account dbus, che secondo i ricercatori ha permessi vicini a quelli di root.

Versioni e modelli verificati

Bitdefender ha confermato i difetti su più build: webOS 4.9.7, 5.5.0, 6.3.3-442 e 7.3.1-43. I modelli provati sono LG43UM7000PLA, OLED55CXPUA, OLED48C1PUB e OLED55A23LA.

• CVE-2023-6317: tutte e quattro le versioni testate.
• CVE-2023-6318: webOS 5.5.0, 6.3.3-442 e 7.3.1-43.
• CVE-2023-6319: tutte le versioni testate.
• CVE-2023-6320: webOS 5.5.0 e 6.3.3-442.

Esposizione e rischi

L’attacco richiede in genere che il televisore sia raggiungibile dalla stessa rete locale. Il rischio può però estendersi oltre la rete domestica: tramite Shodan, motore di ricerca che indicizza i servizi connessi a internet, i ricercatori hanno trovato oltre 91.000 dispositivi esposti. Bitdefender precisa che LG ha corretto i problemi segnalati prima della pubblicazione della ricerca, avvenuta ad aprile 2024.

Il pericolo sta nella combinazione di un bypass di autorizzazione semplice con l’esecuzione di comandi. L’attaccante non ha bisogno che il proprietario approvi l’abbinamento o inserisca un PIN. Con l’accesso elevato potrebbe modificare le impostazioni, installare software indesiderato, accedere ai servizi collegati o usare la TV come punto d’appoggio nella rete domestica.

Cosa fare

LG afferma che le smart TV ricevono aggiornamenti software e di sicurezza almeno una volta l’anno per almeno due anni dal lancio. Il periodo di aggiornamento di sicurezza dura cinque anni dal lancio della piattaforma webOS. Le indicazioni per gli utenti sono:

• attivare gli aggiornamenti automatici e controllare manualmente la versione del firmware nelle impostazioni;
• aggiornare subito un televisore rimasto a lungo in magazzino, prima di collegarlo a internet;
• non esporre le TV direttamente a internet con il port forwarding del router;
• mantenere aggiornati i router domestici;
• se possibile, isolare i dispositivi IoT su una rete guest o dedicata.

Fonte: Cyber Security News · Foto: Cyber Security News