imágenes falsas
Hasta 91.000 televisores LG corren el riesgo de ser confiscados a menos que reciban una actualización de seguridad recién publicada que corrija cuatro vulnerabilidades críticas descubiertas a finales del año pasado.
Las vulnerabilidades se encuentran en cuatro modelos de televisores LG que en conjunto comprenden poco más de 88.000 unidades en todo el mundo, según los resultados arrojados por el motor de búsqueda Shodan para dispositivos conectados a Internet. La gran mayoría de esas unidades están ubicadas en Corea del Sur, seguida de Hong Kong, Estados Unidos, Suecia y Finlandia. Los modelos son:
- LG43UM7000PLA con webOS 4.9.7 – 5.30.40
- OLED55CXPUA con webOS 5.5.0 – 04.50.51
- OLED48C1PUB con webOS 6.3.3-442 (kisscurl-kinglake) – 03.36.50
- OLED55A23LA ejecutando webOS 7.3.1-43 (mullet-mebin) – 03.33.85
A partir del miércoles, las actualizaciones estarán disponibles a través del menú de configuración de estos dispositivos.
¿Tienes raíz?
Según Bitdefender, la empresa de seguridad que descubrió las vulnerabilidades, los piratas informáticos malintencionados pueden aprovecharlas para obtener acceso raíz a los dispositivos e inyectar comandos que se ejecutan a nivel del sistema operativo. Las vulnerabilidades, que afectan a los servicios internos que permiten a los usuarios controlar sus aparatos utilizando sus teléfonos, permiten a los atacantes eludir las medidas de autenticación diseñadas para garantizar que sólo los dispositivos autorizados puedan hacer uso de las capacidades.
«Estas vulnerabilidades nos permiten obtener acceso root en el televisor después de eludir el mecanismo de autorización», escribieron el martes los investigadores de Bitdefender. «Aunque el servicio vulnerable está destinado únicamente al acceso LAN, Shodan, el motor de búsqueda de dispositivos conectados a Internet, identificó más de 91.000 dispositivos que exponen este servicio a Internet».
La vulnerabilidad clave que hace posibles estas amenazas reside en un servicio que permite controlar los televisores mediante la aplicación para teléfonos inteligentes ThinkQ de LG cuando están conectados a la misma red local. El servicio está diseñado para requerir que el usuario ingrese un código PIN para demostrar la autorización, pero un error permite que alguien se salte este paso de verificación y se convierta en un usuario privilegiado. Esta vulnerabilidad se rastrea como CVE-2023-6317.
Una vez que los atacantes han obtenido este nivel de control, pueden explotar otras tres vulnerabilidades, específicamente:
- CVE-2023-6318, que permite a los atacantes elevar su acceso a la raíz
- CVE-2023-6319, que permite la inyección de comandos del sistema operativo manipulando una biblioteca para mostrar letras de música
- CVE-2023-6320, que permite a un atacante inyectar comandos autenticados manipulando la interfaz de la aplicación com.webos.service.connectionmanager/tv/setVlanStaticAddress.