Три уязвимости webOS позволяют получить root на телевизорах LG из локальной сети

Исследователь, пожелавший остаться анонимным, продемонстрировал цепочку из трёх уязвимостей в операционной системе webOS, установленной на телевизорах LG. Связав их воедино, атакующий, находящийся в той же локальной сети, получает полный root-доступ к устройству — без ввода PIN-кода и без единого действия со стороны владельца. О находке 12 октября сообщила платформа SSD Secure Disclosure; LG уже выпустила исправление.

Цепочку проверили на двух моделях — 32LQ636BPSA и 27TQ600SW — с webOS версии 7.5.7-25 на прошивке 04.54.40. Затронуты ли другие модели и версии прошивки, неизвестно. Владельцам стоит проверить наличие обновления; обходного решения для тех, кто не может обновиться, пока нет.

Как устроена атака

Точкой входа служит сервис на порту 3001, который используется приложением LG ThinQ для сопряжения. Атакующий воспроизводит манифест от sync-demo — встроенного приложения, уже имеющегося на устройстве, — подписанный тестовым сертификатом, которому прошивка доверяет. Одно из разрешений в манифесте заставляет сервис сопряжения пропустить запрос PIN-кода и выдать привилегированный ключ.

С этим ключом атакующий запускает другое встроенное приложение, cmp-client, и направляет его на подконтрольную ему страницу. Приложение не проверяет, куда именно переходит, а загруженная страница сохраняет доступ к PalmServiceBridge — внутреннему интерфейсу к системным службам телевизора.

Через этот мост атакующий обращается к службе системного логирования pmlogd, передавая shell-команды через поле ввода, которое служба не проверяет. Поскольку pmlogd работает с правами root, внедрённая команда выполняется от имени root.

Не впервые

Локальная сеть уже не раз становилась путём к root на телевизорах LG. В 2024 году компания Bitdefender раскрыла другой набор уязвимостей webOS, также позволявших неаутентифицированный доступ из сети; они затрагивали иные компоненты и были исправлены в марте 2024 года. Ещё одна цепочка, показанная на TyphoonPWN 2025, опиралась на обход пути на другом порту.

Нынешняя цепочка была продемонстрирована на TyphoonPWN 2026 в Сеуле в мае, где её автор занял третье место в категории LG webOS. Идентификаторы CVE пока не присвоены, случаев эксплуатации в реальных атаках не зафиксировано.

Источник: The Hacker News