Investigadores Descubren Vulnerabilidades en TV Inteligente de LG Permitiendo Acceso Root

-
Se han revelado múltiples vulnerabilidades de seguridad en LG webOS que se ejecutan en sus televisores inteligentes, las cuales podrían ser explotadas para eludir la autorización y obtener acceso root en los dispositivos.

Los hallazgos provienen de la firma rumana de ciberseguridad Bitdefender, que descubrió y reportó las fallas en noviembre de 2023. Los problemas fueron solucionados por LG como parte de las actualizaciones lanzadas el 22 de marzo de 2024.

Las vulnerabilidades están rastreadas desde CVE-2023-6317 hasta CVE-2023-6320 e impactan las siguientes versiones de webOS:
  • webOS 4.9.7 - 5.30.40 en LG43UM7000PLA
  • webOS 5.5.0 - 04.50.51 en OLED55CXPUA
  • webOS 6.3.3-442 (kisscurl-kinglake) - 03.36.50 en OLED48C1PUB
  • webOS 7.3.1-43 (mullet-mebin) - 03.33.85 en OLED55A23LA
Una breve descripción de las deficiencias es la siguiente:
  • CVE-2023-6317: Una vulnerabilidad que permite a un atacante eludir la verificación PIN y agregar un perfil de usuario privilegiado al televisor sin requerir interacción del usuario.
  • CVE-2023-6318: Una vulnerabilidad que permite al atacante elevar sus privilegios y obtener acceso root para tomar el control del dispositivo.
  • CVE-2023-6319: Una vulnerabilidad que permite la inyección de comandos en el sistema operativo manipulando una biblioteca llamada asm responsable de mostrar letras de canciones.
  • CVE-2023-6320: Una vulnerabilidad que permite la inyección de comandos autenticados manipulando el punto final de la API com.webos.service.connectionmanager/tv/setVlanStaticAddress.
La explotación exitosa de las fallas podría permitir a un actor de amenazas obtener permisos elevados en el dispositivo, que, a su vez, pueden concatenarse con CVE-2023-6318 y CVE-2023-6319 para obtener acceso root, o con CVE-2023-6320 para ejecutar comandos arbitrarios como el usuario dbus.

Vulnerabilidades en TV Inteligente de LG

"Aunque el servicio vulnerable está destinado solo para acceso LAN, Shodan, el motor de búsqueda de dispositivos conectados a Internet, identificó más de 91,000 dispositivos que exponen este servicio a Internet", dijo Bitdefender. La mayoría de los dispositivos están ubicados en Corea del Sur, Hong Kong, EE. UU., Suecia, Finlandia y Letonia.

Fuente y créditos: 


Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.

Comentarios

Publicar un comentario

Entradas más populares de este blog

Falsos sitios de DocuSign y Gitcode propagan NetSupport RAT mediante ataque PowerShell en múltiples etapas

-
Imagen
Cazadores de amenazas están alertando sobre una nueva campaña que utiliza sitios web falsos para engañar a usuarios desprevenidos y hacer que ejecuten scripts maliciosos de PowerShell en sus máquinas, infectándolas con el malware NetSupport RAT. El equipo de Investigaciones de DomainTools (DTI) informó que identificó “scripts PowerShell maliciosos en múltiples etapas” alojados en sitios trampa que se hacen pasar por Gitcode y DocuSign. “Estos sitios intentan engañar a los usuarios para que copien y ejecuten un script inicial de PowerShell desde el comando ‘Ejecutar’ de Windows”, indicó la empresa en un informe técnico compartido con The Hacker News. “Al hacerlo, el script de PowerShell descarga otro script que actúa como descargador y lo ejecuta en el sistema, lo que a su vez recupera cargas útiles adicionales y las ejecuta, instalando finalmente NetSupport RAT en las máquinas infectadas.” Ciberseguridad Se cree que estos sitios falsos se propagan mediante tácticas de ingeniería so...
Leer más

Microsoft Reemplaza Aplicación de Escritorio Remoto por Windows App: Implicaciones en Ciberseguridad

-
Imagen
Microsoft ha anunciado que, a partir del 27 de mayo de 2025, la aplicación Remote Desktop disponible en la Microsoft Store dejará de ser compatible y será reemplazada por la nueva Windows App. Esta transición busca unificar y mejorar las experiencias de escritorio remoto en sus plataformas, pero también plantea consideraciones importantes en términos de ciberseguridad. ​   Mejoras en Seguridad con Windows App La Windows App, lanzada en septiembre de 2024, ofrece varias mejoras significativas en comparación con la antigua aplicación de Escritorio Remoto:​ Acceso Unificado y Seguro : Proporciona acceso consolidado a múltiples servicios de Windows, incluyendo Windows 365, Azure Virtual Desktop y Microsoft Dev Box, desde una interfaz simplificada. Esta unificación reduce la superficie de ataque al centralizar los puntos de acceso. ​ Soporte Multimonitor y Resoluciones Dinámicas : Facilita una experiencia más fluida y adaptable, permitiendo a los usuarios trabajar de manera más efi...
Leer más

El FBI advierte sobre suplantación de correo electrónico por parte del actor de amenazas norcoreano Kimsuky

-
Imagen
El actor de amenazas norcoreano Kimsuky está aprovechando nuevas tácticas de suplantación de correo electrónico en sus recientes campañas de spearphishing, advirtieron conjuntamente el Buró Federal de Investigaciones (FBI), el Departamento de Estado de EE. UU. y la Agencia de Seguridad Nacional (NSA) el jueves en un aviso conjunto . Kimsuky, también conocido como Emerald Sleet o APT43, es una subunidad de la Oficina General de Reconocimiento (RGB) del ejército norcoreano y es conocido por sus campañas de spearphishing destinadas a recopilar inteligencia sobre asuntos que afectan los intereses norcoreanos. Esto incluye información sobre eventos geopolíticos y las estrategias de política exterior de los adversarios de Corea del Norte. El modus operandi del grupo es hacerse pasar por periodistas legítimos, grupos de expertos, académicos y otros expertos en asuntos del este asiático, convenciendo a las víctimas de abrir enlaces o documentos maliciosos bajo el pretexto de ofrecer una entrev...
Leer más