De multiples failles de sécurité ont été révélées dans le système webOS de LG qui équipe ses téléviseurs intelligents. Ces failles pourraient être exploitées pour contourner les autorisations et obtenir un accès racine sur les appareils.
Les conclusions proviennent de la société roumaine de cybersécurité Bitdefender, qui a découvert et signalé les failles en novembre 2023. Les problèmes ont été corrigés par LG dans le cadre de mises à jour publiées le 22 mars 2024.
Les vulnérabilités sont répertoriées de CVE-2023-6317 à CVE-2023-6320.
Une brève description des lacunes est présentée ci-dessous –
CVE-2023-6317 – Une vulnérabilité qui permet à un attaquant de contourner la vérification du code PIN et d’ajouter un profil d’utilisateur privilégié au téléviseur sans nécessiter d’interaction de la part de l’utilisateur.
CVE-2023-6318 – Une vulnérabilité qui permet à un attaquant d’élever ses privilèges et d’obtenir un accès root pour prendre le contrôle de l’appareil.
CVE-2023-6319 – Une vulnérabilité qui permet l’injection de commandes dans le système d’exploitation en manipulant une bibliothèque nommée asm responsable de l’affichage des paroles de chansons.
CVE-2023-6320 – Vulnérabilité permettant d’injecter des commandes authentifiées en manipulant le point de terminaison de l’API com.webos.service.connectionmanager/tv/setVlanStaticAddress.
