影响 9.1 万台，LG 向智能电视推送 WebOS 更新以修复高危漏洞：可远程提权、注入攻击

4 月 10 日消息，网络安全公司 Bitdefender 近日发布新闻稿，表示多个 WebOS 版本存在 4 个安全漏洞，影响超过 9 万台的 LG 智能电视。

专家表示黑客利用漏洞，可以提升权限以及注入命令，可以在未经用户授权的情况下远程访问和控制 LG 智能电视。

该漏洞主要利用了运行在 3000/3001 端口上的服务，该服务主要是让智能 手机 使用 PIN 连接访问。

Bitdefender 解释说，尽管存在漏洞的 LG WebOS 服务应该只在局域网（LAN）设置中使用，但 Shodan 互联网 扫描显示有 91,000 台暴露的设备可能存在漏洞。

IT之家附上 4 个漏洞如下：

CVE-2023-6317 允许攻击者利用变量设置绕过电视机的授权机制，在未获得适当授权的情况下向电视机添加额外用户。

CVE-2023-6318 是一个权限提升漏洞，允许攻击者在 CVE-2023-6317 提供初始未授权访问后获得 root 访问权限。

CVE-2023-6319 涉及通过操纵负责显示歌词的库执行操作系统命令注入，允许执行任意命令。

CVE-2023-6320 允许利用 com.webos.service.connectionmanager/ tv / setVlanStaticAddress API 终端进行验证命令注入，从而以 dbus 用户身份执行命令，而 dbus 用户拥有与 root 用户类似的权限。

据悉影响以下 LG 智能电视：

LG43UM7000PLA，运行 webOS 4.9.7 - 5.30.40 版本；

OLED55CXPUA，运行 webOS 04.50.51 - 5.5.0

OLED48C1PUB，运行 webOS 0.36.50 - 6.3.3-442

OLED55A23LA，运行 webOS 03.33.85 - 7.3.1-43

Bitdefender 于 2023 年 11 月 1 日向 LG 报告了调查结果，LG 已经于 2024 年 3 月 22 日发布了相关的安全更新。受影响的用户应进入电视机的 "设置">"支持">"软件更新"，选择 "检查更新" 来应用更新。

【来源： IT之家 】