Drie kwetsbaarheden in LG’s tv-besturingssysteem webOS zijn achter elkaar te schakelen tot een volledige rootovername, zonder dat de aanvaller een pincode nodig heeft of de eigenaar van de tv iets hoeft te doen. Voorwaarde is wel dat de aanvaller zich op hetzelfde lokale netwerk bevindt als de televisie. LG heeft inmiddels een update uitgebracht, meldt onderzoeksplatform SSD Secure Disclosure op 12 oktober.
Hoe de aanvalsketen werkt
De keten begint bij een dienst die de tv openzet op poort 3001, bedoeld voor het koppelen van de LG ThinQ-app. Een aanvaller speelt daar een manifest af dat hoort bij sync-demo, een ingebouwde app die op elke tv al aanwezig is, ondertekend met een testcertificaat dat de firmware vertrouwt. Een permissie in dat manifest zorgt ervoor dat de koppeldienst de pincode-vraag overslaat en een bevoegde sleutel afgeeft.
Met die sleutel start de aanvaller een tweede ingebouwde app, cmp-client, en stuurt die naar een eigen, kwaadaardige pagina. De app controleert niet waar hij naartoe navigeert, en de geladen pagina houdt toegang tot PalmServiceBridge, een interne interface naar de systeemdiensten van de tv. Via die brug roept de aanvaller pmlogd aan, de logdienst van het systeem, en stuurt shell-commando’s mee via een invoerveld dat niet wordt gecontroleerd. Omdat pmlogd met rootrechten draait, voert het ingesloten commando ook met rootrechten uit.
De keten is getest op twee modellen, de 32LQ636BPSA en de 27TQ600SW, met webOS 7.5.7-25 op firmware 04.54.40. Of andere modellen of firmwareversies ook kwetsbaar zijn, is niet bekend. Voor wie nog niet kan updaten is geen workaround beschikbaar.
Het is niet de eerste keer dat het lokale netwerk een ingang biedt tot rootrechten op LG-smart-tv’s. Bitdefender onthulde in 2024 al een andere set webOS-kwetsbaarheden die eveneens zonder authenticatie vanaf het netwerk te misbruiken waren; die fouten zaten in andere onderdelen en werden in maart 2024 gepatcht. Op het hackerevenement TyphoonPWN 2025 liet een andere keten zien hoe path traversal op een andere poort tot een vergelijkbaar resultaat leidde.
Deze nieuwste keten werd gedemonstreerd door een anonieme onderzoeker die in mei bij TyphoonPWN 2026 in Seoul de derde plaats behaalde in de categorie LG webOS. Er is geen CVE-nummer toegekend en er zijn geen aanwijzingen dat de kwetsbaarheden al actief worden misbruikt.
Voor Nederlandse huishoudens met een LG-smart-tv is dit vooral een herinnering dat een lokaal netwerk geen synoniem is voor een veilig netwerk. Wie gasten, IoT-apparaten of een matig beveiligd wifinetwerk deelt met de tv, loopt dit risico sneller dan gedacht. Controleer via het instellingenmenu of er een firmware-update beschikbaar is, en overweeg om de tv op een apart gastennetwerk te zetten, gescheiden van routerbeheer en andere gevoelige apparaten.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Heeft u een LG-smart-tv? Controleer in het instellingenmenu op een firmware-update en installeer die. Er is nog geen CVE-nummer toegekend en geen misbruik in het wild bekend, maar zet de tv waar mogelijk op een gescheiden (gasten)netwerk, los van andere apparaten en routerbeheer.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.