Theo Bitdefender, lỗ hổng giúp tin tặc truy cập và kiểm soát trái phép ở các mức độ khác nhau trên TV bị ảnh hưởng, như bỏ qua quyền, leo thang đặc quyền và chèn lệnh. Hacker có thể tạo tài khoản tùy ý trên thiết bị bằng dịch vụ chạy trên cổng 3000/3001, hiện được dùng để kết nối điện thoại thông minh bằng mã PIN. Thử nghiệm các lần quét Internet với công cụ quét bảo mật Shodan Report cho thấy khoảng 91.000 thiết bị LG dính lỗ hổng.
Một mẫu TV của LG. Ảnh: LG
Bốn lỗ hổng được nhóm nghiên cứu đưa ra gồm CVE-2023-6317, cho phép kẻ tấn công bỏ qua cơ chế phân quyền của TV và thêm người dùng mà không cần đến sự đồng ý; CVE-2023-6318 giành quyền truy cập root sau khi thực hiện CVE-2023-6317; CVE-2023-6319 chèn lệnh vào hệ điều hành và thực thi lệnh tùy ý; và CVE-2023-6320 cho phép hacker khai thác API để thực thi lệnh với tư cách là người dùng dbus, một quyền tương tự root.
Các lỗ hổng ảnh hưởng đến các phiên bản WebOS 4.9.7 - 5.30.40 chạy trên dòng TV 43UM7000PLA, WebOS 04.50.51 - 5.5.0 trên TV OLED55CXPUA, WebOS 0.36.50 - 6.3.3-442 trên OLED48C1PUB, và WebOS 03.33.85 - 7.3.1-43 trên OLED48C1PUB, OLED55A23LA.
Mã PIN để kết nối với smartphone trên TV LG. Ảnh: Bitdefender
Bitdefender cho biết đã phát hiện lỗ hổng cuối năm ngoái và đã báo cho LG. Tuy vậy, phải đến cuối tháng 3, hãng Hàn Quốc mới ra bản cập nhật đầu tiên để khắc phục. Người dùng có thể vào Cài đặt > Hỗ trợ > Cập nhật phần mềm > Kiểm tra cập nhật.
LG chưa đưa ra bình luận.
Theo Bleeping Computer, dù vấn đề bảo mật trên TV không lớn bằng trên máy tính hay smartphone, kẻ xấu vẫn có thể lợi dụng nó làm điểm tấn công thiết bị khác kết nối cùng một mạng. Bên cạnh đó, smart TV thường kết nối với các tài khoản trực tuyến, do đó hacker có thể đánh cắp những tài khoản này. Cuối cùng, TV có thể bị lợi dụng làm botnet (mạng máy tính ma) cho phương thức tấn công từ chối dịch vụ DDoS hoặc bị âm thầm cài đặt phần mềm đào tiền số.
