21.07.2026
1 хв
289
Дослідники кібербезпеки виявили п’ять серйозних вразливостей у платформі webOS, які дозволяють зловмисникам обійти захист телевізорів LG та отримати найвищі привілеї в системі. Для атаки достатньо перебувати в одній мережі з пристроєм, причому вводити PIN-код, підтверджувати підключення чи виконувати будь-які дії на самому телевізорі не потрібно. Компанія LG уже випустила виправлення.
Про небезпечні помилки повідомила платформа SSD Secure Disclosure, яка займається розкриттям інформації про вразливості. Дослідники продемонстрували ланцюжок із кількох проблем безпеки, що дозволяє обійти автентифікацію та виконати довільні команди з правами root.
Root-доступ надає найвищий рівень привілеїв в операційній системі. Отримавши його, зловмисник потенційно може змінювати системні файли, запускати власний код і втручатися в роботу пристрою без дозволу власника.
Атаку перевірили на двох моделях телевізорів: LG 32LQ636BPSA та LG 27TQ600SW. Обидва пристрої працювали на webOS 7.5.7-25 із прошивкою 04.54.40. Точна кількість моделей, які могли постраждати від цих вразливостей, поки невідома.
Найнебезпечнішим виявилося те, що для експлуатації помилок не потрібна взаємодія з користувачем. Зловмисник, який має доступ до тієї самої мережі, що й телевізор, може провести атаку без запиту на сполучення пристроїв, введення PIN-коду або підтвердження на екрані.
Для початкового доступу дослідники використали вбудований застосунок webOS під назвою sync-demo. У ньому зберігався цифрово підписаний маніфест, спеціальний файл, який визначає дозволи та привілеї застосунку.
Зазвичай підключення нового клієнта до телевізора має супроводжуватися процедурою сполучення, під час якої власник підтверджує доступ. Однак дослідники виявили, що маніфест sync-demo містив дозвіл STB_INTERNAL_CONNECTION, який дозволяв пропустити цей етап.
Використовуючи вже наявний у системі підписаний маніфест, вони змогли повторно передати його телевізору. Система перевірила цифровий підпис, визнала документ довіреним і створила новий клієнтський профіль із відповідними привілеями.
У технічному звіті дослідники пояснили:
«Після перевірки підписані дозволи копіюються до нового клієнтського профілю».
У результаті телевізор видавав новий ключ доступу client-key без необхідності підтверджувати підключення. Це дозволяло обійти стандартний механізм захисту від несанкціонованого керування пристроєм.
Отримавши доступ до телевізора, дослідники використали інший довірений застосунок webOS під назвою cmp-client. Він мав широкі системні привілеї та міг взаємодіяти з внутрішніми службами операційної системи.
Проблема полягала в тому, що cmp-client приймав передану йому вебадресу через параметр interactiveUrl без належної перевірки. Застосунок міг відкрити сторонній сайт, не переконавшись, що його адреса належить довіреному джерелу.
Як зазначили дослідники:
«Немає перевірки схеми URL, списку дозволених хостів або обмежень за походженням ресурсу. Після цього застосунок переходить до контенту, контрольованого атакувальником».
Це дозволяло змусити довірений системний застосунок завантажити сторінку, підготовлену зловмисником. При цьому відкритий сайт зберігав доступ до спеціального інтерфейсу PalmServiceBridge, який використовується для взаємодії з внутрішніми службами webOS.
Через цей механізм сторонній код міг звертатися до системних функцій телевізора з привілеями cmp-client. Зокрема, він отримував можливість викликати методи Luna Services, які були недоступні звичайному віддаленому клієнту через WebSocket-з’єднання.
Таким чином, друга вразливість дозволяла розширити початковий доступ і перейти до внутрішніх компонентів операційної системи.
Останнім етапом атаки стала помилка у службі журналювання webOS. Дослідники встановили, що компонент pmlogd, який працює з найвищими системними привілеями, недостатньо перевіряв шляхи до файлів, передані під час виконання команд.
Зокрема, метод collectAllLog використовував параметри targetDir і targetFile для формування системних команд оболонки. Однак передані значення не очищувалися належним чином від спеціальних символів.
Через це зловмисник міг передати спеціально сформований шлях, який система інтерпретувала не лише як назву каталогу, а й як додаткову команду.
Оскільки служба PmLogDaemon працювала з правами root, впроваджена команда також виконувалася з максимальними привілеями. У результаті дослідники змогли об’єднати три окремі недоліки в один ланцюжок атаки, який забезпечував повний контроль над вразливим пристроєм.
Фактично атака проходила кілька етапів: спочатку телевізор видавав ключ доступу без підтвердження власника, потім довірений застосунок відкривав шкідливу сторінку, а на завершення помилка у службі журналювання дозволяла виконати системну команду від імені root.
У вересні 2026 року компанія LG випустила оновлення безпеки, яке усуває загалом п’ять вразливостей високого рівня небезпеки у webOS.
Водночас дослідники опублікували готовий Proof of Concept (PoC), який демонструє можливість експлуатації знайдених помилок. Це означає, що технічні подробиці атаки вже доступні публічно, а не лише розробникам та фахівцям із кібербезпеки.
У звіті SSD Secure Disclosure, оприлюдненому 12 жовтня 2026 року, описано повний ланцюжок експлуатації. Також зазначено, що незалежний дослідник, який продемонстрував атаку, посів третє місце в категорії LG webOS на змаганнях TyphoonPWN 2026.
Автори дослідження запропонували кілька заходів для усунення причин вразливостей. Зокрема, прибрати вбудований підписаний маніфест із sync-demo, заборонити використання тестового сертифіката підписування в робочих прошивках і посилити перевірку дозволів під час сполучення пристроїв.
Для cmp-client дослідники рекомендували перевіряти вебадреси перед їх відкриттям і не надавати зовнішнім сторінкам доступ до PalmServiceBridge. Окремо вони наголосили на необхідності безпечної обробки шляхів до файлів у службі журналювання та відмови від формування системних команд через неперевірені текстові параметри.
Головна рекомендація для власників пристроїв LG на webOS полягає у встановленні актуального оновлення прошивки. Перевірити його наявність можна через системні налаштування телевізора, хоча точний шлях до відповідного розділу залежить від моделі та версії операційної системи.
Якщо для конкретного пристрою виправлення поки недоступне, дослідники рекомендують відключити телевізор від мережі до встановлення оновлення. Саме мережеве підключення є необхідною умовою для продемонстрованого сценарію атаки.
Важливо, що описані вразливості не означають можливості злому будь-якого телевізора LG через інтернет. Для продемонстрованої атаки зловмисник повинен мати доступ до тієї самої мережі, що й пристрій. Водночас це не зменшує небезпеки для телевізорів, які працюють у спільних або недостатньо захищених мережах.
LG уже усунула знайдені помилки, проте публікація готового експлойту робить своєчасне оновлення особливо важливим. Поки точний перелік уразливих моделей залишається невідомим, власникам телевізорів на webOS варто перевірити доступність нової прошивки та не відкладати її встановлення.
