Présentation
Un rapport récent indique que plusieurs modèles de téléviseurs intelligents de LG sont exposés à une faille permettant une prise de contrôle du compte root sans authentification préalable, accessible depuis le réseau local. La vulnérabilité, qualifiée de « pre‑auth root takeover », ne nécessite aucune interaction de l'utilisateur et s’appuie sur des services réseau internes du système d’exploitation webOS.
Mécanisme de la vulnérabilité
Le système webOS de LG expose, par défaut, des interfaces de gestion (par exemple, des services HTTP ou des sockets Unix) destinées à la configuration et aux mises à jour. Selon le titre de la source, l’une de ces interfaces ne valide pas correctement les requêtes entrantes, ce qui autorise un acteur situé sur le même segment IP à injecter des commandes système avec les privilèges du compte root. L’absence de contrôle d’accès pré‑authentifié constitue le point d’échec principal. Sans détails supplémentaires, il est impossible de préciser quel port ou quel protocole est concerné, ni si la faille repose sur une injection de commande, un débordement de tampon ou une mauvaise gestion des jetons d’autorisation.
Impact potentiel
Une fois le compte root compromis, l’attaquant peut installer, modifier ou supprimer tout composant logiciel du téléviseur. Cela inclut l’ajout de logiciels malveillants capables de surveiller les flux vidéo, d’intercepter les données de télécommande ou de transformer le dispositif en pivot pour des attaques internes. La persistance est assurée par le niveau de privilège root, rendant les mesures de nettoyage complexes. Dans un environnement domestique, la compromission d’un téléviseur peut également servir de point d’entrée vers d’autres appareils IoT connectés au même réseau.
Mitigation et recommandations
En l’absence d’informations précises sur les correctifs, les bonnes pratiques restent les plus sûres. Les utilisateurs doivent isoler les téléviseurs sur un VLAN dédié ou activer le filtrage d’adresses MAC afin de limiter l’accès réseau aux seules sources de confiance. La désactivation des services de gestion à distance, lorsqu’ils ne sont pas nécessaires, réduit la surface d’exposition. LG devrait publier un correctif firmware qui renforce la validation des requêtes entrantes et introduit une authentification forte pour les interfaces critiques. En attendant, il est recommandé de vérifier régulièrement les mises à jour du système via le menu de configuration et d’appliquer immédiatement toute version disponible.
