Smart TVs LG com WebOS estão vulneráveis na net

Investigadores de segurança alertam para mais de 90 mil smart TVs LG com WebOS que estão vulneráveis a ataques a partir da internet.

As Smart TVs são autênticos computadores que, tal como outros dispositivos, podem ter vulnerabilidades que permitem que atacantes assumam o seu controlo. É precisamente isso que acontece com algumas smart TVs LG com determinadas versões do WebOS.

Estes televisores tem sistemas que permitem emparelhar smartphones de modo a que enviem vídeos para serem exibidos no ecrã, mas existem vulnerabilidades que permitem que atacantes consigam obter acesso ao televisor sem a devida autorização, e de seguida obterem acesso root e ficarem com controlo total do dispositivo. Além de poderem usar a smart TV como um ponto de ataque de uma rede botnet, também podem fazer coisas como roubar as credenciais de acesso a serviços de streaming que tenham adicionado na TV.

As vulnerabilidades em questão são:

• CVE-2023-6317 permite que os atacantes ignorem o mecanismo de autorização da TV ao explorar uma configuração de variável, possibilitando adicionar um utilizador ao aparelho de TV sem a devida autorização.
• CVE-2023-6318 é uma vulnerabilidade de elevação de privilégios que permite aos atacantes obter acesso root após o acesso não autorizado inicial fornecido pelo CVE-2023-6317.
• CVE-2023-6319 envolve injecção de comandos no sistema operativo através da manipulação de uma biblioteca responsável por exibir letras de música, permitindo a execução de comandos arbitrários.
• CVE-2023-6320 permite injecção de comandos autenticado ao explorar o endpoint da API com.webos.service.connectionmanager/tv/setVlanStaticAddress, possibilitando a execução de comandos como utilizador dbus, que possui permissões semelhantes ao utilizador root.

Os modelos afectados são:

• LG43UM7000PLA (webOS 4.9.7 – 5.30.40)
• OLED55CXPUA (webOS 04.50.51 – 5.5.0)
• OLED48C1PUB (webOS 0.36.50 – 6.3.3-442)
• OLED55A23LA (webOS 03.33.85 – 7.3.1-43)

As vulnerabilidades foram reportadas à LG em Novembro de 2023, mas a LG só lançou as correcções em a 22 de Março de 2024, tendo demorado uns excessivos quatro meses a fazê-lo. Adicionalmente, apesar dos televisores notificarem os utilizadores de que estão disponíveis actualizações, os utilizadores podem ignorar o alerta e permanecer com o seu televisor vulnerável.

Quem tiver algum destes modelos deverá visitar Settings > Support > Software Update e verificar se existe uma actualização. Podem também escolher a opção para instalar as actualizações automaticamente nessa mesma secção.