LG紧急部署WebOS补丁：抵御智能电视遭远程提权及代码注入风险

4月10日消息，国际知名网络安全研究机构Bitdefender于近日对外发布了一份详实的报告，揭示了潜藏在多个不同版本WebOS操作系统中的四类重大安全漏洞。这些漏洞已证实波及全球范围内超过9万台LG品牌的智能电视设备。

专家表示黑客利用漏洞，可以提升权限以及注入命令，可以在未经用户授权的情况下远程访问和控制 LG 智能电视。

该漏洞主要利用了运行在 3000/3001 端口上的服务，该服务主要是让智能手机使用 PIN 连接访问。

Bitdefender 解释说，尽管存在漏洞的 LG WebOS 服务应该只在局域网（LAN）设置中使用，但 Shodan 互联网扫描显示有 91,000 台暴露的设备可能存在漏洞。

附上 4 个漏洞如下：

CVE-2023-6317 允许攻击者利用变量设置绕过电视机的授权机制，在未获得适当授权的情况下向电视机添加额外用户。

CVE-2023-6318 是一个权限提升漏洞，允许攻击者在 CVE-2023-6317 提供初始未授权访问后获得 root 访问权限。

CVE-2023-6319 涉及通过操纵负责显示歌词的库执行操作系统命令注入，允许执行任意命令。

CVE-2023-6320 允许利用 com.webos.service.connectionmanager/ tv / setVlanStaticAddress API 终端进行验证命令注入，从而以 dbus 用户身份执行命令，而 dbus 用户拥有与 root 用户类似的权限。

据悉影响以下 LG 智能电视：

LG43UM7000PLA，运行 webOS 4.9.7 - 5.30.40 版本

OLED55CXPUA，运行 webOS 04.50.51 - 5.5.0

OLED48C1PUB，运行 webOS 0.36.50 - 6.3.3-442

OLED55A23LA，运行 webOS 03.33.85 - 7.3.1-43

Bitdefender 于 2023 年 11 月 1 日向 LG 报告了调查结果，LG 已经于 2024 年 3 月 22 日发布了相关的安全更新。受影响的用户应进入电视机的“设置”>“支持”>“软件更新”，选择 “检查更新” 来应用更新。

扩 展 阅 读

LG Display刷新游戏显示新标杆：27英寸480Hz QHD OLED面板实现量产

LG集团 08-30 10:39