Grube podatności w LG webOS TV. Tysiące urządzeń zagrożonych

Raport Bitdefendera szczegółowo opisuje znalezione podatności. Odkryto ich aż cztery, każdej nadano stosowne CVE ID. Szczęśliwie dla użytkowników luka w oprogramowaniu powinna być możliwa do wykorzystania tylko w sieci lokalnej, ponieważ takie działanie sprzętu przewiduje producent. Niestety, można znaleźć wiele telewizorów wystawionych do publicznej sieci.

Jak duże jest zagrożenie?

Przede wszystkim warto podkreślić, że podatności zostały znalezione przez zespół Bitdefendera, który zajmuje się analizowaniem bezpieczeństwa urządzeń IoT (ang.Internet of things, Internet rzeczy). Podczas analizy udało się wykryć:

• CVE-2023-6317 (CVSS Score: 7.1/10) – możliwość utworzenia konta z podwyższonymi uprawnieniami, omijając przy tym weryfikację za pomocą PIN-u;
• CVE-2023-6318 i CVE-2023-6319 (CVSS Score: 9.1/10) – możliwość wysłania specjalnie przygotowanego zapytania, które poskutkuje wykonaniem polecenia jako root (użytkownik o największych uprawnieniach);
• CVE-2023-6320 (CVSS Score: 9.1/10) – możliwość wysłania specjalnie przygotowanego zapytania do API, co prowadzi do wykonywania poleceń jako użytkownik dbus.

Jakie oprogramowanie jest zagrożone?

Luki bezpieczeństwa dotyczą webOS, czyli systemu operacyjnego telewizorów od LG. Dostawca oprogramowania został o nich poinformowany w listopadzie 2023 roku, zaś poprawki zostały opublikowane 22 marca 2024r. Niecałe dwa i pół tygodnia później informacja została podana do publicznej wiadomości.

Co ciekawe, korzystanie z danej wersji oprogramowania nie oznacza od razu bycia podatnym na wspomniane zagrożenia. Ogromne znaczenie ma również dany model telewizora, ponieważ wersje różnią się dla każdego rodzaju sprzętu.

Wszystko zostało wyszczególnione w raporcie Bitdefendera.

Niezależnie od wersji oprogramowania warto je zaktualizować.

Ile urządzeń jest zagrożonych?

Ciężko określić liczbę urządzeń, które dotknięte są wspomnianymi lukami bezpieczeństwa. Jeżeli za pomocą shodan.io wyszukamy wszystkie telewizory LG webOS, zobaczymy, że ich liczba to niecałe 90 tysięcy.

Nie oznacza to jednak, że wszystkie z tych urządzeń korzystają z podatnych wersji oprogramowania. Pozostaje mieć nadzieję, że nie pojawi się w najbliższym czasie publicznie dostępny exploit, zaś telewizory będą stale aktualizowane.

Warto również pamiętać, że nie każde urządzenie musi być widoczne z poziomu internetu, szczególnie urządzenia IoT.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].