Hasta 91.000 televisores LG corren el riesgo de ser confiscados a menos que reciban una actualización de seguridad publicada recientemente que corrija cuatro vulnerabilidades críticas descubiertas a finales del año pasado.
Las vulnerabilidades se encuentran en cuatro modelos de televisores LG que en conjunto representan poco más de 88.000 unidades en todo el mundo. de acuerdo a resultados devueltos por el motor de búsqueda Shodan para dispositivos conectados a Internet. La gran mayoría de estas unidades están ubicadas en Corea del Sur, seguida de Hong Kong, Estados Unidos, Suecia y Finlandia. Los modelos son:
- LG43UM7000PLA con webOS 4.9.7 – 5.30.40
- OLED55CXPUA con webOS 5.5.0 – 04.50.51
- OLED48C1PUB con webOS 6.3.3-442 (kisscurl-kinglake) – 36.03.50
- OLED55A23LA ejecutando webOS 7.3.1-43 (mullet-mebin) – 33.03.85
A partir del miércoles, las actualizaciones están disponibles a través del menú de configuración de estos dispositivos.
¿Tienes raíz?
Según Bitdefender, la empresa de seguridad que descubrió las vulnerabilidades, los piratas informáticos malintencionados pueden aprovecharlas para obtener acceso raíz a los dispositivos e inyectar comandos que se ejecutan en el nivel del sistema operativo. Las vulnerabilidades, que afectan a los servicios internos que permiten a los usuarios controlar sus dispositivos mediante sus teléfonos, permiten a los atacantes eludir las medidas de autenticación diseñadas para garantizar que sólo los dispositivos autorizados puedan utilizar estas funciones.
«Estas vulnerabilidades nos permiten obtener acceso root al televisor después de eludir el mecanismo de autorización», investigadores de Bitdefender. escribió el martes. «Aunque el servicio vulnerable está destinado únicamente al acceso a la red local, Shodan, el motor de búsqueda de dispositivos conectados a Internet, ha identificado más de 91.000 dispositivos que exponen este servicio a Internet».
La principal vulnerabilidad que hace posibles estas amenazas radica en un servicio que permite controlar los televisores mediante la aplicación para teléfonos inteligentes ThinkQ de LG cuando están conectados a la misma red local. El servicio está diseñado para requerir que el usuario ingrese un PIN para demostrar la autorización, pero un error permite que alguien se salte este paso de verificación y se convierta en un usuario privilegiado. Esta vulnerabilidad se rastrea como CVE-2023-6317.
Una vez que los atacantes alcanzan este nivel de control, pueden explotar otras tres vulnerabilidades, entre ellas:
- CVE-2023-6318que permite a los atacantes elevar su acceso a la raíz
- CVE-2023-6319que permite la inyección de comandos del sistema operativo manipulando una biblioteca para mostrar letras de música
- CVE-2023-6320lo que permite a un atacante inyectar comandos autenticados manipulando la interfaz de la aplicación com.webos.service.connectionmanager/tv/setVlanStaticAddress.