Kaj se je zgodilo
V operacijskem sistemu LG webOS, ki poganja pametne televizorje, so raziskovalci odkrili štiri ranljivosti, sledene kot CVE-2023-6317, CVE-2023-6318, CVE-2023-6319 in CVE-2023-6320. Po navedbah The Hacker News je mogoče tri od teh ranljivosti verižiti tako, da napadalec v istem lokalnem omrežju pridobi root dostop do določenih televizorjev brez vnosa PIN kode ali kakršne koli interakcije lastnika. Verigo so testirali na modelih 32LQ636BPSA in 27TQ600SW z različico webOS 7.5.7-25. LG je po navedbah vira popravek že izdal, objavljen v obvestilu SSD Secure Disclosure 12. oktobra.
Po podatkih Cyber Security News ranljivosti vplivajo na izbrane modele televizorjev z različicami webOS od 4 do 7. Raziskovalci Bitdefenderja so ugotovili, da lahko napadalec z dostopom do istega lokalnega omrežja pridobi popoln nadzor nad ranljivim televizorjem. Bitdefender je tudi navedel, da je bilo prek iskalnika Shodan mogoče najti več kot 91.000 izpostavljenih naprav, kar nakazuje, da tveganje v nekaterih primerih presega okvire domačega omrežja. LG naj bi težave odpravil, preden je Bitdefender raziskavo javno objavil aprila 2024.
Najpomembnejša ranljivost: CVE-2023-6317
CVE-2023-6317 ima oceno CVSS 3.1 9.8 (kritično) in je najresnejša med štirimi razkritimi napakami. Prizadene postopek seznanjanja mobilne aplikacije LG ThinQ s televizorjem. Običajno mora uporabnik pri nastavitvi aplikacije vnesti PIN kodo, prikazano na zaslonu televizorja. Po ugotovitvah Bitdefenderja napaka v postopku registracije računa v webOS omogoča obid tega preverjanja in ustvarjanje uporabniškega profila s povišanimi pravicami. EPSS vrednost za to ranljivost znaša 1,1 % (stanje 12. 10. 2026). V NVD je zabeležena referenca z oznako Exploit, kar pomeni javno dostopno PoC referenco, ne pa potrditve dejanskega izkoriščanja v naravi.
Preostale tri ranljivosti
- CVE-2023-6319 – CVSS 7,2 (visoko), EPSS 6,4 %, v NVD prisotna referenca z oznako Exploit.
- CVE-2023-6318 – CVSS 7,2 (visoko), EPSS 4,7 %, v NVD prisotna referenca z oznako Exploit.
- CVE-2023-6320 – CVSS 7,2 (visoko), EPSS 3,9 %, v NVD prisotna referenca z oznako Exploit.
Vse tri ranljivosti so po navedbah vira del verige, ki skupaj s CVE-2023-6317 napadalcu v lokalnem omrežju omogoči dostop na ravni root brez prijave ali kakršnega koli opozorila lastniku naprave.
Kaj to pomeni za slovenska in evropska podjetja
Pametni televizorji so pogosto prisotni v sejnih sobah, čakalnicah, recepcijah in drugih skupnih prostorih podjetij, kjer so povezani v isto omrežje kot druge naprave. Če je televizor dostopen iz omrežja, do katerega imajo dostop obiskovalci ali gostujoče naprave, lahko opisana veriga ranljivosti predstavlja vstopno točko za nadaljnje gibanje po omrežju. Podatek o več kot 91.000 izpostavljenih napravah, zaznanih prek Shodana, kaže, da del naprav ni zgolj v zasebnih domačih omrežjih, temveč je dosegljiv tudi od drugod.
Priporočeni ukrepi
- Posodobite programsko opremo LG pametnih televizorjev na najnovejšo različico webOS, ki vsebuje popravek LG.
- Televizorje in druge pametne naprave ločite od glavnega poslovnega omrežja z ločenim VLAN-om ali gostujočim omrežjem.
- Preverite, ali so pametni televizorji v poslovnih prostorih dostopni iz javnega interneta, in po potrebi omejite njihovo izpostavljenost.
- Spremljajte obvestila proizvajalca glede nadaljnjih varnostnih popravkov za naprave z webOS.
Vprašanja in odgovori
Ali je ranljivost CVE-2023-6317 aktivno izkoriščana? To ni potrjeno. V NVD je zabeležena javno dostopna PoC referenca z oznako Exploit, kar ni enako potrditvi dejanskega izkoriščanja v naravi.
Kateri modeli televizorjev so bili testirani? Veriga ranljivosti je bila testirana na modelih 32LQ636BPSA in 27TQ600SW z različico webOS 7.5.7-25, ranljivosti pa po navedbah vira vplivajo na izbrane modele z različicami webOS od 4 do 7.
Ali je LG popravek že na voljo? Da, po navedbah vira je LG popravek izdal, obvestilo pa je bilo objavljeno 12. oktobra prek SSD Secure Disclosure.
Pogosta vprašanja
Ali je ranljivost CVE-2023-6317 aktivno izkoriščana?
To ni potrjeno. V NVD je zabeležena javno dostopna PoC referenca z oznako Exploit, kar ni enako potrditvi dejanskega izkoriščanja v naravi.
Kateri modeli televizorjev so bili testirani?
Veriga ranljivosti je bila testirana na modelih 32LQ636BPSA in 27TQ600SW z različico webOS 7.5.7-25, ranljivosti pa po navedbah vira vplivajo na izbrane modele z različicami webOS od 4 do 7.
Ali je LG popravek že na voljo?
Da, po navedbah vira je LG popravek izdal, obvestilo pa je bilo objavljeno 12. oktobra prek SSD Secure Disclosure.
Sorodne objave
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- Napaka v npm Trusted Publishing izpostavila več kot 1.500 paketov ugrabitvi
- Geopolitika in vrzel v kibernetski odpornosti: zakaj sodita v vaš model groženj