VNR Content
Pearl
Các nhà nghiên cứu bảo mật của Bitdefender vừa phát hiện ra 4 lỗ hổng nghiêm trọng trong hệ điều hành WebOS chạy trên các mẫu smart TV của LG. Những lỗ hổng này cho phép tin tặc truy cập và kiểm soát trái phép ở các mức độ khác nhau trên TV bị ảnh hưởng, bao gồm bỏ qua quyền, leo thang đặc quyền và chèn lệnh.
Theo Bitdefender, hacker có thể lợi dụng lỗ hổng để tạo tài khoản tùy ý trên thiết bị thông qua dịch vụ chạy trên cổng 3000/3001, vốn được sử dụng để kết nối điện thoại thông minh bằng mã PIN. Kết quả quét Internet bằng công cụ Shodan Report cho thấy khoảng 91.000 thiết bị LG đang bị ảnh hưởng bởi lỗ hổng này.
Bốn lỗ hổng được nhóm nghiên cứu công bố bao gồm:
CVE-2023-6317: Cho phép kẻ tấn công bỏ qua cơ chế phân quyền của TV và thêm người dùng mà không cần sự đồng ý.
CVE-2023-6318: Giành quyền truy cập root sau khi thực hiện CVE-2023-6317.
CVE-2023-6319: Chèn lệnh vào hệ điều hành và thực thi lệnh tùy ý.
CVE-2023-6320: Cho phép hacker khai thác API để thực thi lệnh với quyền tương tự root.
Các lỗ hổng này ảnh hưởng đến nhiều phiên bản WebOS chạy trên các dòng TV khác nhau của LG, bao gồm 43UM7000PLA, OLED55CXPUA, OLED48C1PUB và OLED55A23LA.
Mã PIN để kết nối với smartphone trên TV LG. Ảnh: Bitdefender
Bitdefender đã phát hiện ra các lỗ hổng này từ cuối năm ngoái và đã thông báo cho LG. Tuy nhiên, phải đến cuối tháng 3, hãng Hàn Quốc mới phát hành bản cập nhật đầu tiên để khắc phục. Người dùng có thể kiểm tra và cập nhật phần mềm mới nhất thông qua menu Cài đặt trên TV.
Mặc dù vấn đề bảo mật trên TV không nghiêm trọng bằng trên máy tính hay smartphone, nhưng kẻ xấu vẫn có thể lợi dụng nó để tấn công các thiết bị khác cùng kết nối trên một mạng. Ngoài ra, smart TV thường liên kết với các tài khoản trực tuyến, do đó hacker có thể đánh cắp thông tin đăng nhập. Cuối cùng, TV cũng có thể bị biến thành botnet để thực hiện các cuộc tấn công từ chối dịch vụ DDoS hoặc bị cài đặt phần mềm đào tiền ảo một cách âm thầm.
Theo Bitdefender, hacker có thể lợi dụng lỗ hổng để tạo tài khoản tùy ý trên thiết bị thông qua dịch vụ chạy trên cổng 3000/3001, vốn được sử dụng để kết nối điện thoại thông minh bằng mã PIN. Kết quả quét Internet bằng công cụ Shodan Report cho thấy khoảng 91.000 thiết bị LG đang bị ảnh hưởng bởi lỗ hổng này.
CVE-2023-6317: Cho phép kẻ tấn công bỏ qua cơ chế phân quyền của TV và thêm người dùng mà không cần sự đồng ý.
CVE-2023-6318: Giành quyền truy cập root sau khi thực hiện CVE-2023-6317.
CVE-2023-6319: Chèn lệnh vào hệ điều hành và thực thi lệnh tùy ý.
CVE-2023-6320: Cho phép hacker khai thác API để thực thi lệnh với quyền tương tự root.
Các lỗ hổng này ảnh hưởng đến nhiều phiên bản WebOS chạy trên các dòng TV khác nhau của LG, bao gồm 43UM7000PLA, OLED55CXPUA, OLED48C1PUB và OLED55A23LA.
Bitdefender đã phát hiện ra các lỗ hổng này từ cuối năm ngoái và đã thông báo cho LG. Tuy nhiên, phải đến cuối tháng 3, hãng Hàn Quốc mới phát hành bản cập nhật đầu tiên để khắc phục. Người dùng có thể kiểm tra và cập nhật phần mềm mới nhất thông qua menu Cài đặt trên TV.
Mặc dù vấn đề bảo mật trên TV không nghiêm trọng bằng trên máy tính hay smartphone, nhưng kẻ xấu vẫn có thể lợi dụng nó để tấn công các thiết bị khác cùng kết nối trên một mạng. Ngoài ra, smart TV thường liên kết với các tài khoản trực tuyến, do đó hacker có thể đánh cắp thông tin đăng nhập. Cuối cùng, TV cũng có thể bị biến thành botnet để thực hiện các cuộc tấn công từ chối dịch vụ DDoS hoặc bị cài đặt phần mềm đào tiền ảo một cách âm thầm.
