影響 9.1 萬臺，LG 向智能電視推送 WebOS 更新以修復高危漏洞：可遠程提權、注入攻擊

4 月 10 日消息，網絡安全公司 Bitdefender 近日發布新聞稿，表示多個 WebOS 版本存在 4 個安全漏洞，影響超過 9 萬臺的 LG 智能電視。

專家表示黑客利用漏洞，可以提升權限以及注入命令，可以在未經用戶授權的情況下遠程訪問和控制 LG 智能電視。

該漏洞主要利用了運行在 3000/3001 端口上的服務，該服務主要是讓智能 手機 使用 PIN 連接訪問。

Bitdefender 解釋說，盡管存在漏洞的 LG WebOS 服務應該只在局域網（LAN）設置中使用，但 Shodan 互聯網 掃描顯示有 91,000 臺暴露的設備可能存在漏洞。

IT之家附上 4 個漏洞如下：

CVE-2023-6317 允許攻擊者利用變量設置繞過電視機的授權機制，在未獲得適當授權的情況下向電視機添加額外用戶。

CVE-2023-6318 是一個權限提升漏洞，允許攻擊者在 CVE-2023-6317 提供初始未授權訪問后獲得 root 訪問權限。

CVE-2023-6319 涉及通過操縱負責顯示歌詞的庫執行操作系統命令注入，允許執行任意命令。

CVE-2023-6320 允許利用 com.webos.service.connectionmanager/ tv / setVlanStaticAddress API 終端進行驗證命令注入，從而以 dbus 用戶身份執行命令，而 dbus 用戶擁有與 root 用戶類似的權限。

據悉影響以下 LG 智能電視：

LG43UM7000PLA，運行 webOS 4.9.7 - 5.30.40 版本；

OLED55CXPUA，運行 webOS 04.50.51 - 5.5.0

OLED48C1PUB，運行 webOS 0.36.50 - 6.3.3-442

OLED55A23LA，運行 webOS 03.33.85 - 7.3.1-43

Bitdefender 于 2023 年 11 月 1 日向 LG 報告了調查結果，LG 已經于 2024 年 3 月 22 日發布了相關的安全更新。受影響的用戶應進入電視機的 "設置">"支持">"軟件更新"，選擇 "檢查更新" 來應用更新。

【來源： IT之家 】