Tres vulnerabilidades en el sistema operativo webOS de LG pueden combinarse para que un atacante presente en la misma red local consiga acceso root en determinados televisores inteligentes, sin necesidad de introducir un PIN ni de que el propietario realice ninguna acción.
LG ha lanzado una solución, según un aviso publicado por SSD Secure Disclosure el 12 de octubre.
La cadena de explotación se probó en dos modelos de televisor, el 32LQ636BPSA y el 27TQ600SW, que ejecutan webOS 7.5.7-25 con firmware 04.54.40. Se desconoce si otros modelos o versiones de firmware están afectados.
Los propietarios de televisores afectados deben buscar una actualización de firmware. No hay una solución alternativa para quienes no puedan actualizar todavía.
El ataque accede a través de un servicio que el televisor expone en el puerto 3001, utilizado por la aplicación LG ThinQ para el emparejamiento. El atacante reenvía un manifiesto de sync-demo, una aplicación integrada en el dispositivo, firmado con un certificado de prueba en el que confía el firmware. Un permiso en el manifiesto hace que el servicio de emparejamiento omita la solicitud de PIN y entregue una clave privilegiada.
Con esa clave, el atacante lanza otra aplicación integrada, cmp-client, y la dirige a una página controlada por él. La aplicación no comprueba a dónde navega, y la página cargada mantiene acceso a PalmServiceBridge, una interfaz interna con los servicios del sistema del televisor.
A través de ese puente, el atacante llama al servicio de registro del sistema, pmlogd, pasando comandos de shell a través de un campo de entrada que el servicio no verifica. Dado que pmlogd se ejecuta como root, el comando inyectado se ejecuta con privilegios de root.
No es la primera vez que la superficie de ataque de la red local conduce a acceso root en televisores inteligentes de LG. En 2024, Bitdefender reveló otro conjunto de vulnerabilidades de webOS que también permitían acceso no autenticado desde la red, afectaban a componentes diferentes y se parchearon en marzo de 2024. Otra cadena demostrada en TyphoonPWN 2025 utilizó un path traversal en un puerto diferente.
La cadena fue demostrada por un investigador anónimo que obtuvo el tercer puesto en la categoría LG webOS en TyphoonPWN 2026, celebrado en Seúl en mayo. No se han asignado identificadores CVE y no se ha reportado explotación en el mundo real.
Deja una respuesta