Kibernetinis saugumas · Išmanieji įrenginiai

LG webOS televizoriuose aptikta vietinio tinklo ataka: ką turėtų žinoti verslas?

Saugumo tyrėjai aprašė kelių webOS funkcijų grandinę, kuri tam tikromis sąlygomis galėjo leisti tame pačiame tinkle esančiam užpuolikui pasiekti televizorių su „root“ teisėmis. Tai priminimas, kad posėdžių salės ekranas taip pat yra tinklo įrenginys, kurį reikia inventorizuoti, atnaujinti ir izoliuoti.

· INsec komanda · LG webOS / IoT / tinklų saugumas

Kas buvo aprašyta?

„SSD Secure Disclosure“ 2026 m. spalio 12 d. paskelbė kelių pažeidžiamumų grandinės analizę. Tyrėjų teigimu, užpuolikas, jau turintis prieigą prie to paties vietinio tinklo, galėjo išnaudoti webOS demonstracinės sinchronizavimo funkcijos ir susijusių sistemos komponentų elgseną. Grandinėje aprašytas pasirašyto pranešimo pakartojimas, netinkamai apribotas vidinių paslaugų užklausų kelias ir žurnalo apdorojimo komandos įterpimas. Sėkmingas visos grandinės išnaudojimas galėjo suteikti „root“ lygio prieigą prie televizoriaus.

Tai nėra pranešimas apie tiesioginę ataką iš interneto be papildomų sąlygų. Aprašytam scenarijui reikėjo, kad užpuolikas galėtų pasiekti įrenginį per vietinį tinklą. Tai nereiškia, kad riziką galima ignoruoti: televizoriai kartais prijungiami prie to paties tinklo kaip darbuotojų kompiuteriai, spausdintuvai ar vidinės paslaugos.

Kokie įrenginiai patikrinti?

Tyrėjai nurodė praktiškai patikrinę „LG 32LQ636BPSA“ ir „LG 27TQ600SW“ modelius su webOS 7.5.7-25 bei programinės įrangos versija 04.54.40. Publikacijoje nurodoma, kad LG pateikė pataisą, tačiau iš šio tyrimo negalima daryti išvados, jog paveikti visi LG televizoriai ar visos webOS versijos. Kitų modelių būklė ir konkrečios pataisytos versijos turi būti tikrinamos pagal LG informaciją bei įrenginio programinės įrangos atnaujinimus.

Tyrėjai šiai grandinei nenurodė CVE numerio. Jos nereikėtų painioti su kitais, ankstesniais LG webOS saugumo pranešimais: panašus gamintojas ar operacinė sistema savaime nereiškia, kad tai ta pati spraga arba tie patys paveikti modeliai.

Ką tai reiškia įmonės tinklui?

Posėdžių kambario televizorius, registratūros ekranas ar skaitmeninės reklamos ekranas dažnai lieka už IT inventorizacijos ribų, nors turi tinklo ryšį, programinę įrangą ir nuotolinio valdymo funkcijas. Jei tokį įrenginį galima pasiekti iš darbuotojų tinklo, jo pažeidžiamumas gali tapti papildomu keliu į kitus resursus. Riziką lemia ne vien televizoriaus modelis, bet ir tinklo segmentavimas, administravimo sąsajos pasiekiamumas bei atnaujinimų būklė.

Ką rekomenduojame atlikti?

  • Įtraukite televizorius į inventorių. Užrašykite tikslų modelį, webOS ir programinės įrangos versiją, vietą, tinklo segmentą bei atsakingą asmenį.
  • Patikrinkite gamintojo atnaujinimus. LG televizoriuje patikrinkite programinės įrangos naujinimus ir konkretaus modelio palaikymo informaciją. Diegimą atlikite pagal įmonės pakeitimų tvarką; nebandykite įdiegti kito modelio programinės įrangos.
  • Atskirkite įrenginius tinkle. Televizorius ir kitus IoT ar ekranų įrenginius laikykite atskirame VLAN arba kitame atskirtame segmente. Leiskite tik būtinus ryšius į valdymo ar turinio šaltinius.
  • Ribokite administravimą. Valdymo sąsajos neturėtų būti pasiekiamos iš svečių Wi-Fi ar viso darbuotojų tinklo, jei to nereikalauja veiklos poreikis. Išjunkite nenaudojamas funkcijas pagal gamintojo rekomendacijas.
  • Stebėkite tinklo srautą. Peržiūrėkite, ar ekranai jungiasi tik prie numatytų paslaugų. Netikėtas ryšys su kitais vidaus įrenginiais yra priežastis patikrinti konfigūraciją.
  • Užfiksuokite incidento veiksmus. Jei įrenginys įtartinai elgiasi, izoliuokite jį nuo tinklo, išsaugokite turimus žurnalus ir kreipkitės į IT atsakingą asmenį. Atstatymas į gamyklinius parametrus gali pašalinti tyrimui reikalingus duomenis.

Jei modelis nebepalaikomas arba jo versijos neįmanoma patikrinti, saugiausia mažinti jo tinklo pasiekiamumą ir įvertinti pakeitimą. Vien tai, kad televizorius rodo vaizdą, nepatvirtina, jog jo programinė įranga yra atnaujinta.

Pradėkite nuo inventoriaus: ar žinote visų įmonės televizorių ir ekranų modelius, jų atnaujinimo būklę ir tai, prie kurių tinklo sistemų jie gali prisijungti?

Šaltiniai

Pažeidžiamumo techniniai teiginiai paremti tyrėjų publikacija ir LG saugumo biuletenių puslapiu. Taikymo apimtis šiame straipsnyje apribota tyrėjų nurodytais bandytais modeliais; kitų modelių būklę būtina tikrinti atskirai. Tinklo apsaugos veiksmai – INsec praktinės rekomendacijos.