138/67 (IT) ประจำวันพฤหัสบดีที่ 11 เมษายน 2567
มีการเปิดเผยช่องโหว่ด้านความปลอดภัยหลายประการใน LG webOS บนสมาร์ททีวี ซึ่งสามารถนำไปใช้ในการเลี่ยงผ่านการอนุญาตและเข้าถึง Root บนอุปกรณ์ได้ โดยการค้นพบดังกล่าวมาจาก Bitdefender ซึ่งเป็นบริษัทรักษาความปลอดภัยทางไซเบอร์ของโรมาเนีย ที่ได้ค้นพบและรายงานช่องโหว่เมื่อเดือนพฤศจิกายน 2023 ซึ่งปัญหาดังกล่าวได้รับการแก้ไขแล้วโดย LG ที่เป็นส่วนหนึ่งในการอัปเดตที่เผยแพร่เมื่อวันที่ 22 มีนาคม 2024
โดยมีช่องโหว่ต่อไปนี้
– CVE-2023-6317 เป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถ bypass PIN verification และเพิ่มโปรไฟล์ผู้ใช้ที่มีสิทธิ์ลงในเครื่องทีวีโดยไม่ต้องมีการโต้ตอบจากผู้ใช้
– CVE-2023-6318 เป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถยกระดับสิทธิ์และเข้าถึง Root เพื่อควบคุมอุปกรณ์ได้
– CVE-2023-6319 เป็นช่องโหว่ที่อนุญาตให้มีการ command injection ระบบปฏิบัติการโดยการจัดการไลบรารีชื่อ asm
– CVE-2023-6320 เป็นช่องโหว่ที่อนุญาตให้ injection ที่ได้รับการรับรองความถูกต้องโดย manipulating API endpoint ของ com.webos.service.connectionmanager/tv/setVlanStaticAddress
หากมีการใช้ประโยชน์จากช่องโหว่ได้สำเร็จอาจทำให้ผู้โจมตีได้รับสิทธิ์ระดับสูงไปยังอุปกรณ์ ที่สามารถเชื่อมโยงกับ CVE-2023-6318 และ CVE-2023-6319 เพื่อเข้าถึง Root หรือกับ CVE-2023-6320 เพื่อ arbitrary commands ในฐานะผู้ใช้ dbus แม้ว่าบริการที่มีช่องโหว่ ดังกล่าวมีไว้สำหรับการเข้าถึงแบบ LAN เท่านั้น แต่ Shodan พบว่าอุปกรณ์มากกว่า 91,000 เครื่องที่เปิดเผยบริการนี้สู่อินเทอร์เน็ต โดยทาง Bitdefender ได้กล่าวอุปกรณ์ส่วนใหญ่ตั้งอยู่ในเกาหลีใต้ ฮ่องกง สหรัฐอเมริกา สวีเดน ฟินแลนด์ และลัตเวีย
แหล่งข่าว https://thehackernews.com/2024/04/researchers-discover-lg-smart-tv.html
