Три уязвимости в webOS можно объединить в цепочку и получить права root на некоторых телевизорах LG. Нападающему нужно подключиться к той же локальной сети, что и телевизор; PIN-код и действия владельца не требуются. LG выпустила исправление, говорится в уведомлении SSD Secure Disclosure от 12 октября. Год публикации в уведомлении не указан.
Точка входа — порт 3001, который использует приложение LG ThinQ для сопряжения с телевизором. Злоумышленник повторно отправляет манифест встроенного приложения sync-demo. Прошивка доверяет тестовому сертификату, которым он подписан, а разрешение в манифесте заставляет службу сопряжения пропустить запрос PIN-кода и выдать привилегированный ключ.
Получив ключ, атакующий запускает другое встроенное приложение — cmp-client — и направляет его на подконтрольную веб-страницу. Приложение не проверяет адрес перехода. Загруженная страница при этом сохраняет доступ к PalmServiceBridge — внутреннему интерфейсу системных служб телевизора.
Через PalmServiceBridge можно обратиться к pmlogd, системной службе журналирования. В одном из её полей ввода не проверяется содержимое, поэтому туда можно передать команду оболочки. Поскольку pmlogd работает с правами root, команда выполняется с теми же привилегиями.
Цепочку проверили на телевизорах LG 32LQ636BPSA и 27TQ600SW с webOS 7.5.7-25 и прошивкой 04.54.40. Затронуты ли другие модели и версии программного обеспечения, неизвестно.
Владельцам этих телевизоров стоит проверить наличие обновления прошивки. Если установить его пока нельзя, обходного решения нет.
Это не первый случай, когда уязвимости webOS позволяют получить сетевой доступ без аутентификации. В 2024 году Bitdefender сообщил о другом наборе проблем в отдельных компонентах; LG закрыла их в марте 2024 года. Ещё одну цепочку показали на TyphoonPWN 2025: она использовала обход пути и другой порт.
Нынешнюю цепочку продемонстрировал анонимный исследователь. В мае он занял третье место в категории LG webOS на TyphoonPWN 2026 в Сеуле. Идентификаторы CVE у уязвимостей отсутствуют; сообщений об эксплуатации в реальных атаках не поступало.
Изображение носит иллюстративный характер
Точка входа — порт 3001, который использует приложение LG ThinQ для сопряжения с телевизором. Злоумышленник повторно отправляет манифест встроенного приложения sync-demo. Прошивка доверяет тестовому сертификату, которым он подписан, а разрешение в манифесте заставляет службу сопряжения пропустить запрос PIN-кода и выдать привилегированный ключ.
Получив ключ, атакующий запускает другое встроенное приложение — cmp-client — и направляет его на подконтрольную веб-страницу. Приложение не проверяет адрес перехода. Загруженная страница при этом сохраняет доступ к PalmServiceBridge — внутреннему интерфейсу системных служб телевизора.
Через PalmServiceBridge можно обратиться к pmlogd, системной службе журналирования. В одном из её полей ввода не проверяется содержимое, поэтому туда можно передать команду оболочки. Поскольку pmlogd работает с правами root, команда выполняется с теми же привилегиями.
Цепочку проверили на телевизорах LG 32LQ636BPSA и 27TQ600SW с webOS 7.5.7-25 и прошивкой 04.54.40. Затронуты ли другие модели и версии программного обеспечения, неизвестно.
Владельцам этих телевизоров стоит проверить наличие обновления прошивки. Если установить его пока нельзя, обходного решения нет.
Это не первый случай, когда уязвимости webOS позволяют получить сетевой доступ без аутентификации. В 2024 году Bitdefender сообщил о другом наборе проблем в отдельных компонентах; LG закрыла их в марте 2024 года. Ещё одну цепочку показали на TyphoonPWN 2025: она использовала обход пути и другой порт.
Нынешнюю цепочку продемонстрировал анонимный исследователь. В мае он занял третье место в категории LG webOS на TyphoonPWN 2026 в Сеуле. Идентификаторы CVE у уязвимостей отсутствуют; сообщений об эксплуатации в реальных атаках не поступало.
