Az LG webOS rendszerében három sebezhetőséget lehet összefűzni úgy, hogy a helyi hálózaton lévő támadó PIN-kód és a tulajdonos bármilyen közreműködése nélkül root hozzáférést szerezzen bizonyos okostévéken.

Az LG kiadott egy javítást, erről az SSD Secure Disclosure október 12-én közzétett figyelmeztetése számolt be.

A sebezhetőségláncot két tévémodellen tesztelték: a 32LQ636BPSA és a 27TQ600SW típusokon, webOS 7.5.7-25 rendszerrel, 04.54.40-es firmware-rel. Nem ismert, hogy más modelleket vagy firmware-verziókat is érint-e a probléma.

Az érintett tévék tulajdonosainak érdemes firmware-frissítést keresniük. Akik egyelőre nem tudnak frissíteni, azoknak nincs elérhető kerülőmegoldás.

A támadás egy olyan szolgáltatáson keresztül indul, amelyet a tévé a 3001-es porton ér el, és amelyet az LG ThinQ alkalmazás használ a párosításhoz. A támadó visszajátssza a sync-demo nevű, gyárilag telepített alkalmazás manifestjét, amelyet egy teszt tanúsítvánnyal írtak alá, amit a firmware megbízhatónak fogad el. A manifestben szereplő egyik jogosultság miatt a párosítási szolgáltatás kihagyja a PIN-kód bekérését, és kiad egy magas jogosultságú kulcsot.

Ezzel a kulccsal a támadó elindít egy másik beépített alkalmazást, a cmp-clientet, és egy általa vezérelt oldalra irányítja. Az alkalmazás nem ellenőrzi, hová navigál, a betöltött oldal pedig megőrzi a hozzáférést a PalmServiceBridge-hez, amely a tévé rendszerszolgáltatásaihoz biztosít belső felületet.

Ezen a hídon keresztül a támadó meghívja a pmlogd nevű rendszernaplózó szolgáltatást, és parancsértelmezői utasításokat ad át egy bemeneti mezőn keresztül, amelyet a szolgáltatás nem ellenőriz. Mivel a pmlogd root jogosultsággal fut, a beinjektált parancs is rootként hajtódik végre.

Nem ez az első eset, hogy a helyi hálózati támadási felület root hozzáféréshez vezet LG okostévéken. 2024-ben a Bitdefender egy másik webOS sebezhetőségcsomagot hozott nyilvánosságra, amely szintén hitelesítés nélküli hálózati hozzáférést tett lehetővé, de más komponenseket érintett, és 2024 márciusában javították. Egy külön láncot a TyphoonPWN 2025 versenyen mutattak be, amely egy másik porton kihasznált elérési útvonal-kezelési hibára épült.

A mostani láncot egy névtelen kutató demonstrálta, aki harmadik helyet szerzett az LG webOS kategóriában a 2026 májusában, Szöulban megrendezett TyphoonPWN versenyen. CVE-azonosítókat egyelőre nem rendeltek a sebezhetőségekhez, és nem érkezett jelentés arról, hogy a hibákat aktívan kihasználnák.