Três vulnerabilidades no webOS da LG podem ser encadeadas para permitir que um invasor na mesma rede local obtenha acesso de superusuário a determinadas TVs inteligentes, sem PIN nem interação do proprietário.
A LG lançou uma correção, segundo um comunicado publicado pela SSD Secure Disclosure em 12 de outubro.
A cadeia foi testada em dois modelos de TV, 32LQ636BPSA e 27TQ600SW, com o webOS 7.5.7-25 e o firmware 04.54.40. Ainda não se sabe se outros modelos ou versões de firmware também são afetados.
Quem possui uma TV afetada deve verificar se há uma atualização de firmware disponível. Não há medida alternativa para quem ainda não consegue instalá-la.
O ataque começa por um serviço disponibilizado pela TV na porta 3001, usada pelo aplicativo LG ThinQ para realizar o emparelhamento. O invasor reenvia um manifesto do sync-demo, aplicativo integrado ao dispositivo, assinado com um certificado de teste aceito pelo firmware. Uma permissão no manifesto faz com que o serviço de emparelhamento ignore a solicitação de PIN e forneça uma chave privilegiada.
Com essa chave, o invasor inicia outro aplicativo integrado, o cmp-client, e o direciona para uma página sob seu controle. O aplicativo não verifica o destino para o qual navega, e a página carregada mantém acesso ao PalmServiceBridge, uma interface interna para os serviços do sistema da TV.
Por meio dessa interface, o invasor aciona o serviço de registro do sistema, pmlogd, e envia comandos de shell por um campo de entrada que o serviço não valida. Como o pmlogd é executado com privilégios de superusuário, os comandos injetados também são executados com esses privilégios.
A rede local já foi usada como vetor para obter acesso de superusuário a TVs inteligentes da LG. Em 2024, a Bitdefender divulgou outro conjunto de vulnerabilidades no webOS que também permitia acesso pela rede sem autenticação. As falhas afetavam outros componentes e foram corrigidas em março daquele ano. Outra cadeia, apresentada na TyphoonPWN 2025, explorava uma vulnerabilidade de travessia de diretórios em outra porta.
A nova cadeia foi demonstrada por um pesquisador anônimo, que conquistou o terceiro lugar na categoria webOS da LG na TyphoonPWN 2026, realizada em Seul em maio. Nenhum identificador CVE foi atribuído às falhas, e não há relatos de exploração em ataques reais.
Publicidade
Exclusivo para leitores do CaveiraTech, de R$ 89 por R$ 49/mês, para sempre. Hospedado em São Paulo com AntiDDoS, backup grátis e BGP grátis. Use Linux, Windows ou BSDs. Valide seu projeto agora sem dor de cabeça, sem IOF e com pagamentos via Pix. Ativação em 120s. Saiba mais...