webOS Forums - форум пользователей телевизоров на webOS

[JackSparrow]

В смарт-телевизорах LG с webOS обнаружились уязвимости, позволяющие перезаписывать файлы

Специализирующаяся на кибербезопасности немецкая компания Recurity Labs опубликовала информацию по двум уязвимостям платформы webOS, на которой работают смарт-телевизоры LG. Используя эти бреши, злоумышленник может получить возможность скачивать, читать и перезаписывать произвольные файлы на устройстве.

Первая уязвимость затрагивает компонент уведомлений Notification Manager. По умолчанию отправка уведомлений в webOS ограничена только системными службами, в то время как сторонние непривилегированные приложения не имеют доступа к данной функции. Однако это ограничение обходится вызовом команды luna-send-pub (com.webos.lunasendpub), которая позволяет работать с уведомлениями произвольному стороннему ПО.

Вторая уязвимость дополняет первую: через обращение к API «luna://com.webos.notification/createAlert» с использованием параметров onclick, onclose или onfail появляется возможность запускать любой обработчик, в том числе вызывать системную службу Download Manager, привилегии которой достаточно высоки, чтобы загружать и сохранять произвольные файлы. В теории это открывает злоумышленнику неограниченный доступ к системе.

Специалисты Recurity Labs подтвердили возможность эксплуатации уязвимостей на телевизоре модели LG 65SM8500PLA под управлением webOS TV 05.10.30. Подразделение LG Product Security было официально уведомлено о наличии брешей ещё 11 ноября 2021 года, однако никакой ответной реакции не последовало. Уязвимости не были официально зарегистрированы, и меры для их закрытия предприняты не были. Поэтому немецкая компания выждала стандартные 90 дней, которые истекли 10 февраля 2022 года, и предала огласке информацию о своём открытии 2 марта.

[JackSparrow]

Хакеры в вашей гостиной: 90 000 телевизоров LG стали новой мишенью для взлома

Исследователи из Bitdefender обнаружили четыре уязвимости в нескольких версиях webOS - операционной системы, используемой в умных телевизорах LG Electronics. Эти недостатки позволяют злоумышленникам получить несанкционированный доступ и контроль над устройствами на разных уровнях, включая обход авторизации, повышение привилегий и инъекцию команд.

Уязвимости основаны на возможности создавать произвольные аккаунты на устройстве с помощью сервиса, работающего через порты 3000/3001, предназначенные для подключения смартфонов при помощи PIN-кода. Проведённые интернет-сканы выявили 91 000 устройств, доступных онлайн и потенциально подверженных этим уязвимостям.

Итак, среди выявленных недостатков безопасности:

• CVE-2023-6317: обход механизма авторизации телевизора, позволяющий добавить дополнительного пользователя без надлежащей авторизации (оценка CVSS 7.2) ;
• CVE-2023-6318: повышение привилегий до уровня root после получения первоначального доступа (оценка CVSS 9.1) ;
• CVE-2023-6319: внедрение команд операционной системы путём манипулирования библиотекой, отвечающей за отображение текстов музыкальных произведений (оценка CVSS 9.1) ;
• CVE-2023-6320: аутентифицированное выполнение команд от имени пользователя dbus с привилегиями, схожими с root (оценка CVSS 9.1).

Выявленным уязвимостям подвержены конкретные версии операционной системы webOS на следующих моделях телевизоров:

• webOS с 4.9.7 по 5.30.40 на LG 43UM7000PLA;
• webOS с 04.50.51 по 5.5.0 на OLED 55CXPUA;
• webOS с 0.36.50 по 6.3.3-442 на OLED 48C1PUB;
• webOS с 03.33.85 по 7.3.1-43 на OLED 55A23LA.

Bitdefender сообщил об этих недостатках в LG 1 ноября 2023 года, однако лишь через четыре с лишним месяца, 22 марта 2024 года, компания наконец выпустила соответствующие обновления безопасности.

Несмотря на то, что телевизоры LG уведомляют пользователей о важных обновлениях webOS, их можно откладывать на неопределённый срок. Поэтому специалисты рекомендуют немедленно применить все доступные обновления через меню настроек телевизора.

Хотя телевизоры не являются критически важными в плане цифровой безопасности, возможность удалённого выполнения команд остаётся значительной угрозой, поскольку это может дать злоумышленникам точку для дальнейших атак на другие устройства в сети.

Кроме того, злоумышленники могут похитить учётные данные от стриминговых сервисов или других служб, которые пользователь ввёл в операционную систему.

Также уязвимые телевизоры могут быть использованы для распространения вредоносного ПО, участия в DDoS-атаках или для криптовалютного майнинга, что может напрямую сказаться на их производительности, а при долгой работе на износ, и на долговечности этой работы.

p.s.Bitdefender - это румынская компания, которая разрабатывает и производит программное обеспечение для защиты от вредоносного ПО и интернет-угроз, включая антивирусное ПО, фаерволы, VPN и инструменты для безопасности сетей и мобильных устройств.Bitdefender использует инновационные технологии машинного обучения и искусственного интеллекта для обнаружения и блокировки угроз. Компания была основана в 2001 году и зарекомендовала себя как одна из ведущих производителей антивирусов. "

p.p.s. Насколько я понимаю, CVE-2023-6318 - это известный многим crashd.
Остальные уязвимости не интересны, так как рут-доступа они не дают.

[JackSparrow]

Как пишут в комментариях к этим "дырам" на хоботе, самое главное, чтобы ТВ (как, впрочем, и вся "умная" бытовая техника) был в локальной сети за NAT и не светил в интернет открытыми портами (3000/3001), потому как одна из "дыр" достаточно неприятная и позволяет получить доступ к ТВ через сервис LG ThinkQ без ввода пин-кода.

[narpol]

Чего тут пытаться обезопаситься, года сам ТВ тебя сливает
Cмарт–телевизоры Samsung и LG направляют скриншоты изображения

Смарт-телевизоры делают снимки того, что вы смотрите, несколько раз в секунду Смарт-телевизоры Samsung и LG делают снимки того, что вы смотрите, даже когда вы используете их для отображения изображений с подключенного ноутбука или видеоигры для последующего их использования компаниями в своих системах автоматического распознавания контента для последующего показа людям таргетированной рекламы и продажи собранных данных третьим лицам.

Исследователь Яш Векария и его коллеги подключили телевизоры Samsung и LG к своему серверу с ПО для анализа сетевого трафика. Он выступал в качестве посредника, чтобы увидеть, какие визуальные скриншоты или аудиоданные загружают телевизоры.

Они заметили, что смарт–телевизоры не загружали ничего при стриминге с Netflix или других сторонних приложений. Однако смарт–ТВ загружали снимки экрана при показе трансляций с телевизионной антенны или контента с устройства, подключенного по HDMI.

Проблема заключается в том, что эти скриншоты могут содержать конфиденциальную информацию.

Пользователи могут отказаться от такого отслеживания. Но этот процесс требует включения или выключения от 6 до 11 различных опций в настройках телевизора. Они отличаются во всех моделях, так что универсального решения нет.

[AMETKO]

LG Electronics укрепляет кибербезопасность подключённых устройств

Недавно лаборатория тестирования программного обеспечения LG получила аккредитацию на проведение тестирования кибербезопасности устройств IoT в рамках Корейской системы аккредитации лабораторий (KOLAS), которая является частью Корейского агентства по технологиям и стандартам (KATS). Эта аккредитация признана на международном уровне в рамках Соглашения о взаимном признании аккредитации Международной кооперации аккредитационных лабораторий (ILAC-MRA). Таким образом, отчёты о тестировании, выданные лабораторией LG, соответствуют стандартам кибербезопасности Европейского института стандартов связи (ETSI) для устройств IoT и имеют такую же силу, как и отчёты других аккредитованных лабораторий в более чем 100 странах, включая США и Японию.

Аккредитация KOLAS подтверждает надёжность процессов тестирования LG. Теперь, имея возможность проводить внутренние тесты кибербезопасности, LG значительно сократит затраты и время, необходимые для получения аккредитованных отчётов для своих новых продуктов.

С учётом растущего числа продуктов IoT и ИИ, а также установления связанных с ними норм безопасности, LG будет эффективно управлять и быстро реагировать на требования к тестированию кибербезопасности на различных глобальных рынках.

Лаборатория тестирования программного обеспечения LG стала первой лабораторией, управляемой производителем, которая получила международную аккредитацию KOLAS в Южной Корее. Лаборатория также расширила свои компетенции на безопасность программного обеспечения для бытовой техники и автомобилей.LG намерена использовать свою аккредитацию и возможности тестирования кибербезопасности для обеспечения надёжности и высокого качества своих продуктов.

LG активно развивает концепцию Ответственного Интеллекта, которая является одним из ключевых направлений компании, и усиливает меры безопасности для продуктов с ИИ.LG применяет современные процессы и решения кибербезопасности для защиты сетевых продуктов и данных клиентов.

Компания использует комплексный набор протоколов кибербезопасности на всех этапах жизненного цикла продукта — от планирования и разработки до использования после запуска. Этот подход минимизирует риск утечек данных и защищает как личную информацию, так и данные пользователей.

Кроме того, LG расширяет внедрение системы "LG Shield" — продвинутой системы безопасности на базе ИИ — для своих продуктов с ИИ.LG Shield защищает продукты, программные платформы и данные пользователей, используя различные современные методы и технологии.

https://www.lgnewsroom.com/2025/01/lg-s ... editation/