Vulnerabilità di LG Smart TV consente takeover root locale
Una catena di vulnerabilità in LG Smart TV in webOS può consentire a un attacker sulla stessa local network di ottenere root access su determinati televisori senza PIN e senza alcuna azione da parte del proprietario, secondo un advisory pubblicato da SSD Secure Disclosure il 12 ottobre.
LG ha rilasciato una fix, afferma l’advisory. La catena segnalata è stata testata su due modelli, 32LQ636BPSA e 27TQ600SW, entrambi con webOS 7.5.7-25 su firmware 04.54.40. SSD Secure Disclosure afferma che non è noto se altri modelli o versioni di firmware siano interessati. I proprietari dei TV interessati dovrebbero verificare la presenza di un firmware update. L’advisory non elenca un workaround per i proprietari che non possono ancora aggiornare.
Il problema è rilevante perché l’attacco non parte da un sito web dannoso, da un messaggio di phishing o dall’accesso fisico al televisore. Parte dalla local network, il che significa che l’attacker deve essere già connesso alla stessa rete domestica, aziendale o guest del TV. In termini pratici, questo rende importanti la separazione della rete e gli aggiornamenti dei dispositivi per le aziende che collocano smart display, TV o dispositivi di signage sulle stesse reti di workstation, telefoni o altri sistemi interni.
Il primo passaggio della catena raggiunge un service esposto dal televisore su port 3001. Un port è una porta di rete numerata usata dal software per ricevere connessioni. In questo caso, il service è usato dall’app LG ThinQ per il pairing, il processo che collega un’app al TV. SSD Secure Disclosure afferma che l’attacker può riprodurre un manifest da sync-demo, un’app integrata già presente sul dispositivo. Un manifest è un file che descrive che cos’è un’app e quali permessi richiede. Il manifest riprodotto è firmato con un certificato di test che il firmware considera attendibile.
Quel manifest include un permesso che induce il service di pairing a saltare la richiesta del PIN. Di conseguenza, l’attacker può ottenere una privileged key senza che il proprietario digiti un PIN o approvi nulla sul TV. In questo contesto, una privileged key è una credenziale che consente all’attacker di accedere a funzioni che dovrebbero essere limitate.
La catena usa poi quella key per avviare un’altra app integrata, cmp-client. SSD Secure Disclosure afferma che l’attacker può indirizzare cmp-client verso una pagina web controllata dall’attacker. L’app non verifica dove viene inviata, e la pagina che carica mantiene l’accesso a PalmServiceBridge, un’interfaccia interna che può comunicare con i system services sul TV.
Attraverso PalmServiceBridge, l’attacker può chiamare pmlogd, il system logging service. Un logging service è un software che registra messaggi ed eventi di sistema. SSD Secure Disclosure afferma che pmlogd accetta shell commands tramite un campo di input che non viene controllato correttamente. Un shell command è un’istruzione inviata al sistema operativo. Poiché pmlogd viene eseguito come root, anche quei comandi iniettati vengono eseguiti come root. Root è il livello più alto di controllo su un sistema Unix-like, e root access significa che l’attacker può impartire comandi con privilegi di sistema completi.
Non sono stati assegnati identificatori CVE alle tre vulnerabilità descritte nella catena. SSD Secure Disclosure afferma inoltre che non è stato segnalato alcuno sfruttamento in the wild. Questa distinzione è importante: l’advisory descrive un percorso di attacco funzionante dimostrato da un ricercatore, ma non afferma che gli attacker lo stiano attualmente usando contro i proprietari.
La catena è stata dimostrata da un ricercatore anonimo che ha vinto il terzo posto nella categoria LG webOS a TyphoonPWN 2026, tenutosi a Seoul a maggio. L’advisory colloca inoltre la scoperta in un quadro più ampio di attack surface su local network negli smart TV. Nel 2024, Bitdefender ha divulgato un diverso insieme di vulnerabilità webOS che consentivano accesso di rete non autenticato, interessavano componenti diversi e sono state corrette a marzo 2024. Una catena separata dimostrata a TyphoonPWN 2025 ha usato un path traversal su un port diverso.
Per i proprietari di siti e i team IT, la lezione non è che un televisore sia uguale a un web server. È che i dispositivi smart spesso espongono services sulle reti interne, e quei services possono diventare punti di ingresso se i dispositivi vengono lasciati senza patch o collocati su reti con sistemi più sensibili. Uffici, negozi, scuole e strutture ricettive usano spesso smart TV come schermi per sale riunioni o display digitali, e quei dispositivi possono restare silenziosamente sulla stessa rete per anni se nessuno è responsabile degli aggiornamenti.
I proprietari dovrebbero iniziare controllando le impostazioni di aggiornamento del TV e installando qualsiasi firmware update disponibile per i modelli interessati. Se un’azienda non può aggiornare immediatamente, l’advisory non fornisce un software workaround, quindi il passo operativo più sicuro è ridurre l’esposizione mantenendo il TV fuori dalle reti sensibili dove possibile e limitando chi può unirsi alla stessa local network. Guest Wi-Fi, reti per display e reti del personale non dovrebbero essere considerate intercambiabili semplicemente perché si trovano nello stesso edificio.
Per le organizzazioni che stanno rivedendo dove si trovano smart display e altri dispositivi connessi nel loro ambiente, AEU-I offre IT, infrastruttura e consulenza con priorità alla sicurezza, un aspetto rilevante quando si separano i dispositivi di uso quotidiano dai sistemi che comportano rischi aziendali.
Finché non saranno disponibili maggiori informazioni sui modelli interessati, l’azione più chiara è aggiornare i TV interessati ed evitare di dare a utenti non attendibili accesso alla stessa local network. L’advisory non afferma che ogni TV LG webOS sia interessato e non fornisce prove di attacchi attivi, ma mostra come un service locale pensato per il pairing delle app possa diventare un percorso verso il controllo completo del dispositivo quando più flaws vengono concatenati.