Schwachstellen in WebOS: Hacker können Kontrolle über LG-Fernseher übernehmen
Sicherheitsforscher von Bitdefender haben vier Schwachstellen aufgedeckt, die mehrere Versionen des auf Smart TVs von LG laufenden Betriebssystems WebOS betreffen. Wie die Forscher in einem am Dienstag veröffentlichten Bericht(öffnet im neuen Fenster) erklären, können Angreifer damit einen Autorisierungsmechanismus umgehen und sich auf anfälligen LG-Fernsehern einen Root-Zugriff verschaffen.
Zur Umgehung der Autorisierung kommt zunächst CVE-2023-6317 zum Einsatz. "Durch das Setzen einer Variablen kann der Angreifer ein zusätzliches Nutzerkonto zum TV-Gerät hinzufügen" , erklären die Forscher diesbezüglich. Anschließend lasse sich die Schwachstelle CVE-2023-6318 ausnutzen, um den neuen Benutzer mit Root-Rechten auszustatten und das Zielgerät damit "vollständig zu übernehmen" .
Dem Bericht zufolge lassen sich durch Manipulation einer Bibliothek, die für die Anzeige von Songtexten zuständig ist, Systembefehle einschleusen (CVE-2023-6319). Die vierte Sicherheitslücke (CVE-2023-6320) bezieht sich auf die Manipulation eines speziellen API-Endpunktes, wodurch ein Angreifer authentifizierte Befehle an das System übermitteln kann.
In der Regel nur über das lokale Netzwerk ausnutzbar
Die für den Erstzugriff erforderliche Schwachstelle CVE-2023-6317 bezieht sich nach Angaben der Forscher auf einen Dienst, der auf den Ports 3000/3001 (HTTP/HTTPS/WSS) läuft und von der Smartphone-App LG ThinQ zur Steuerung der WebOS-Geräte verwendet wird. Dieser ist zwar nur für die Verwendung in lokalen Netzwerken gedacht, mit einer Shodan-Suche hat Bitdefender aber dennoch weltweit mehr als 91.000 Geräte identifiziert, auf denen der Dienst über das Internet erreichbar ist.
Ist ein Fernseher erstmal kompromittiert, so kann der Angreifer den Zugriff beispielsweise nutzen, um darüber DDoS-Angriffe auszuführen, weitere Geräte im lokalen Netzwerk zu infiltrieren oder Anmeldeinformationen für auf dem Smart-TV verwendete Streamingdienste abzugreifen.
Betroffene Modelle und WebOS-Versionen
Zu den betroffenen Geräten zählt Bitdefender vier verschiedene Smart-TV-Modelle von LG auf, jeweils mit unterschiedlichen WebOS-Versionsnummern:
- LG43UM7000PLA mit WebOS 4.9.7 - 5.30.40
- OLED55CXPUA mit WebOS 5.5.0 - 04.50.51
- OLED48C1PUB mit WebOS 6.3.3-442 (kisscurl-kinglake) - 03.36.50
- OLED55A23LA mit WebOS 7.3.1-43 (mullet-mebin) - 03.33.85
Die Sicherheitsforscher meldeten die genannten Schwachstellen nach eigenen Angaben schon am 1. November 2023 an LG. Patches wurden wohl am 22. März 2024 bereitgestellt. Besitzer der genannten TV-Modelle sollten prüfen, ob ein Update für ihren Fernseher zur Verfügung steht und dieses gegebenenfalls zeitnah installieren. Eine Anleitung dafür ist auf der Webseite von LG(öffnet im neuen Fenster) zu finden.