LG-Fernseher: Sicherheitslücken in webOS 4 bis 7 erfordern Updates

Bitdefender hat Informationen zu Sicherheitslücken in den Smart-TVs von LG bekannt gemacht, nachdem man dem Hersteller ausreichend Zeit zur Behebung der Probleme gegeben hatte. Nutzer von LG Smart-TVs mit webOS sollten prüfen, ob das Update vom 22. März dieses Jahres bereits aufgespielt wurde und sonst zügig aktualisieren.

Die bereits mit einem Push-Patch von LG geschlossenen Lücken erlaubten Hackern laut Bitdefender das Hinzufügen neuer Nutzer, den Root-Zugriff und damit die Kompromittierung des gesamten Smart-Home-Netzwerks.

Die von LG behobenen Schwachstellen (CVE-2023-6317, CVE-2023-6318, CVE-2023-6319, CVE-2023-6320) betreffen den LG-webOS-Dienst in verschiedenen Versionen von webOS 4 bis webOS 7. Obwohl LG webOS als Local-Area-Network-Dienst ausgelegt ist, lassen sich mit dem auch von Hackern eingesetzten Shodan-Tool über 91.000 dem Internet exponierte Geräte finden. Bitdefender geht daher von einer Summe von betroffenen Geräten im fast sechsstelligen Bereich aus und nennt dies eine „konservative Schätzung“.

Bei ungepatchten Geräten können Hacker die Authentifikation in den LG webOS-Versionen 4 bis 7 umgehen und sich als neuer Nutzer hinzufügen. Im Anschluss können sie ihre Zugriffsrechte auf eine Root-Kontrolle ausweiten. Über die Schwachstellen infizieren sie Kommando-gesteuert das angegriffene Heim-Netzwerk mit jeder Art von Malware, wie etwa Tools zur Exfiltration von Informationen oder Ransomware. Bei der Schwachstelle CVE-2023-6319 nutzt der Angreifer dafür die Manipulation einer Library, die für die Anzeige von Liedtexten zuständig ist.

Bitdefender hat die Schwachstellen am 1. November 2023 an LG gemeldet, der Hersteller hat die Sicherheitslücken am 15. November 2023 bestätigt und am 14. Dezember des letzten Jahres wiederum um mehr Zeit bis zur Schließung der Sicherheitslücken gebeten. Nachdem der Patch am 22. März 2024 veröffentlicht wurde, hat Bitdefender die Informationen heute öffentlich gemacht.

• webOS 4.9.7 - 5.30.40 auf dem LG 43UM7000PLA
• webOS 5.5.0 - 04.50.51 auf dem LG OLED55CXPUA
• webOS 6.3.3-442 (kisscurl-kinglake) - 03.36.50 auf dem LG OLED48C1PUB
• webOS 7.3.1-43 (mullet-mebin) - 03.33.85 auf dem LG OLED55A23LA

Weitere Einzelheiten zu den Schwachstellen und Angriffsmöglichkeiten hält Bitdefender bereit.