Faille webOS : prise de contrôle root des TV LG sur le réseau
Une faille webOS permet à un pirate du réseau local de prendre le contrôle root de certains téléviseurs LG sans PIN.
Une faille webOS menace certains téléviseurs connectés de LG. Trois vulnérabilités du système peuvent être enchaînées. Ainsi, un attaquant présent sur le même réseau local obtient un accès root à l’appareil. Il n’a besoin d’aucun code PIN. Par ailleurs, le propriétaire n’a rien à faire : aucune interaction n’est requise.
LG a publié un correctif. Cette information provient d’un avis diffusé le 12 octobre par SSD Secure Disclosure.
Une faille webOS qui ouvre l’accès root
Le scénario repose sur un enchaînement. Autrement dit, aucune des trois vulnérabilités ne suffit seule à tout compromettre. En revanche, leur combinaison permet de passer d’un simple accès réseau à un contrôle total du téléviseur.
L’attaque est dite « pré-authentification ». En effet, l’attaquant n’a pas besoin de se connecter au préalable. Il n’a pas non plus à convaincre l’utilisateur de valider une demande d’appairage. Dans le cas présent, l’appairage par code PIN est donc contourné.
Le niveau d’accès obtenu est le plus élevé possible. En effet, un accès root donne la main sur l’ensemble du système. Par conséquent, l’attaquant peut en théorie lire des données, modifier la configuration ou installer du code de son choix.
Les informations dont nous disposons ne précisent pas les identifiants CVE associés. De plus, elles ne détaillent pas chaque maillon de la chaîne. Il vaut donc mieux se référer à l’avis officiel et aux notes de LG pour le détail technique.
Les modèles testés et le correctif de LG
La chaîne d’exploitation a été testée sur deux téléviseurs. Il s’agit des modèles 32LQ636BPSA et 27TQ600SW. Par ailleurs, les deux fonctionnaient sous webOS 7.5.7-25.
Cependant, ces deux références ne représentent peut-être qu’une partie des appareils concernés. Les tests ont porté sur ces modèles précis. D’autres téléviseurs LG équipés de la même version de webOS pourraient donc être exposés. En outre, seul LG peut confirmer la liste complète.
LG a déjà publié un correctif. C’est une bonne nouvelle. Toutefois, un téléviseur ne se met pas toujours à jour automatiquement. En effet, beaucoup d’utilisateurs ne vérifient jamais l’état du firmware de leur appareil.
- Modèles testés : 32LQ636BPSA et 27TQ600SW.
- Version de webOS testée : 7.5.7-25.
- Condition d’attaque : être sur le même réseau local.
- Prérequis côté victime : aucun PIN, aucune action.
Pourquoi cette faille webOS sur le réseau local est sérieuse
Un attaquant doit d’abord se trouver sur le réseau local. Cette condition limite le risque, mais elle ne l’élimine pas. En effet, un réseau domestique héberge de nombreux appareils. Ainsi, un ordinateur infecté ou un objet connecté mal protégé suffit parfois à servir de point d’entrée.
Les réseaux partagés sont également concernés. C’est le cas, par exemple, des hôtels, des résidences étudiantes ou des bureaux équipés de téléviseurs. Dans ces lieux, plusieurs inconnus peuvent se retrouver sur le même segment réseau.
Un téléviseur compromis n’est pas qu’un écran piraté. En effet, ce type d’appareil est connecté en permanence. Il reste souvent allumé ou en veille. De plus, il est rarement surveillé par les outils de sécurité habituels. Un pirate peut ainsi s’en servir comme base discrète. Il peut ensuite tenter de rebondir vers d’autres machines du réseau.
Par ailleurs, l’absence d’interaction rend l’attaque silencieuse. Le propriétaire ne voit aucune fenêtre suspecte. Il ne reçoit aucune demande à accepter. C’est pourquoi ce genre de faille est difficile à repérer sans surveillance réseau.
Recommandations
Les utilisateurs de téléviseurs LG peuvent agir rapidement. Voici donc les premières mesures à appliquer.
- Mettre à jour le téléviseur. Ouvrez d’abord les paramètres et recherchez la dernière version du firmware. Installez ensuite la mise à jour sans attendre.
- Activer les mises à jour automatiques. Ainsi, les prochains correctifs seront appliqués sans effort.
- Isoler les objets connectés. Placez téléviseurs et appareils similaires sur un réseau invité. Ce réseau doit rester séparé de vos ordinateurs et de vos données.
- Limiter l’accès au Wi-Fi. Utilisez un mot de passe robuste. Retirez également les appareils que vous ne reconnaissez pas.
- Surveiller l’avis du constructeur. Vérifiez enfin si votre modèle figure parmi les appareils concernés.
Ce qu’il faut retenir
Trois vulnérabilités de webOS peuvent donner un accès root à un attaquant du réseau local. Aucun PIN et aucune interaction ne sont nécessaires. Les tests ont visé les modèles 32LQ636BPSA et 27TQ600SW sous webOS 7.5.7-25. Par ailleurs, LG a corrigé le problème. Enfin, la meilleure défense reste simple : mettre à jour le téléviseur et le séparer du reste du réseau domestique.
Source : LG Smart TVs Vulnerable to Pre-Auth Root Takeover From Local Network