สรุปสั้น

บริษัท SSD Secure Disclosure เผยแพร่รายละเอียดการเชื่อม 3 ช่องโหว่ในระบบปฏิบัติการ webOS ของบริษัท LG ที่ทำให้ผู้โจมตีซึ่งอยู่ในเครือข่ายภายในเดียวกับทีวีสามารถยึดสิทธิ์ root บนสมาร์ตทีวีได้ โดยไม่ต้องรู้ PIN จับคู่และเจ้าของเครื่องไม่ต้องกดยืนยันอะไรเลย ช่องทางเข้าคือบริการจับคู่ที่แอป LG ThinQ ใช้บนพอร์ต 3001 ซึ่งยอมรับ manifest ของแอปในตัวเครื่องที่เซ็นด้วยใบรับรองสำหรับทดสอบ จากนั้นผู้โจมตีใช้แอป cmp-client ที่ไม่ตรวจปลายทางไปโหลดหน้าเว็บของตัวเอง แล้วฉีดคำสั่ง shell เข้าบริการล็อกระบบ pmlogd ที่รันด้วยสิทธิ์ root

การโจมตีถูกทดสอบกับทีวี 2 รุ่น คือ 32LQ636BPSA และ 27TQ600SW ที่ใช้ webOS 7.5.7-25 เฟิร์มแวร์ 04.54.40 ยังไม่ทราบว่ารุ่นหรือเฟิร์มแวร์อื่นได้รับผลกระทบหรือไม่ LG ออกแพตช์แล้วผ่านหน้าประกาศความปลอดภัย แต่ไม่ได้ระบุเลขเฟิร์มแวร์ที่แก้ไข ยังไม่มีการกำหนดเลข CVE ไม่พบการโจมตีจริง และไม่มีวิธีบรรเทาชั่วคราวสำหรับผู้ที่ยังอัปเดตไม่ได้

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 13 ตุลาคม 2569 ว่าบริษัท SSD Secure Disclosure เผยแพร่ประกาศเมื่อวันที่ 12 ตุลาคม 2569 เกี่ยวกับช่องโหว่ชุดนี้ ซึ่งนักวิจัยอิสระที่ไม่เปิดเผยชื่อนำไปสาธิตจนได้อันดับ 3 ในหมวด LG webOS ของการแข่งขัน TyphoonPWN 2026 ที่กรุงโซล ประเทศเกาหลีใต้ เมื่อเดือนพฤษภาคม 2569 และ LG ได้ออกแพตช์แก้ไขแล้ว

นี่ไม่ใช่ครั้งแรกที่พื้นผิวการโจมตีจากเครือข่ายภายในพาไปสู่สิทธิ์ root บนทีวี LG ในปี 2567 บริษัท Bitdefender เคยเปิดเผยช่องโหว่ webOS อีกชุดที่ให้เข้าถึงจากเครือข่ายได้โดยไม่ต้องยืนยันตัวตนเช่นกัน แต่อยู่ในคนละส่วนประกอบและแพตช์ไปแล้วในเดือนมีนาคม 2567 ขณะที่ในงาน TyphoonPWN 2025 ก็มีการสาธิตอีกเชนหนึ่งที่ใช้ path traversal ผ่านพอร์ตอื่นจนยึดเครื่องได้ทั้งหมด แนวโน้มนี้สะท้อนว่าบริการที่ทีวีเปิดไว้ให้แอปมือถือจับคู่และควบคุมยังเป็นจุดอ่อนเรื้อรังของแพลตฟอร์ม

ข้อจำกัดของข้อมูลที่ควรทราบคือ SSD ยืนยันผลเฉพาะ 2 รุ่นบนเฟิร์มแวร์เดียว ไม่มีไทม์ไลน์การแจ้งผู้ผลิต และไม่ได้บอกเวอร์ชันเฟิร์มแวร์ที่แก้แล้ว เจ้าของทีวีจึงต้องพึ่งการอัปเดตอัตโนมัติหรือเช็กจากเมนูของเครื่องเอง

รายละเอียดช่องโหว่

ขั้นที่ 1 — sync-demo: ได้ client-key โดยไม่ต้องจับคู่ บริการจับคู่บนทีวีเปิดรับการเชื่อมต่อแบบ WSS ที่พอร์ต 3001 ผู้โจมตีนำ manifest ของแอป sync-demo ซึ่งติดมากับเครื่องอยู่แล้วมาเล่นซ้ำ manifest นี้เซ็นด้วยใบรับรองทดสอบ (test-signing-cert.pem) ที่เฟิร์มแวร์ยังเชื่อถือ และมีสิทธิ์ STB_INTERNAL_CONNECTION ที่ทำให้บริการข้ามหน้าจอขอ PIN แล้วออก client-key สิทธิ์สูงให้ทันทีโดยเจ้าของไม่รู้ตัว

ขั้นที่ 2 — cmp-client: ขยายขอบเขตการเข้าถึง ด้วย client-key ที่ได้ ผู้โจมตีสั่งเปิดแอป cmp-client ในตัวเครื่องพร้อมพารามิเตอร์ interactiveUrl ที่ชี้ไปหน้าเว็บของผู้โจมตี แอปตรวจเพียงว่า URL ตอบ HEAD request ได้ ไม่ตรวจ scheme หรือ host แล้วนำทางไปตามนั้น หน้าที่โหลดขึ้นมายังคงเข้าถึง PalmServiceBridge ซึ่งเป็นอินเทอร์เฟซภายในไปยังบริการระบบ (Luna services) ที่ client ภายนอกเรียกตรง ๆ ไม่ได้

ขั้นที่ 3 — pmlogd: รันคำสั่งเป็น root ผ่าน bridge ดังกล่าว ผู้โจมตีเรียกเมธอด collectAllLog ของบริการล็อกระบบ pmlogd ซึ่งนำค่า targetDir และ targetFile ไปต่อเป็นสตริงคำสั่งแล้วรันด้วย system() โดยไม่กรองอักขระพิเศษ การใส่ shell metacharacter ใน targetDir จึงทำให้คำสั่งที่ฉีดเข้าไปรันด้วยสิทธิ์ root ของ PmLogDaemon

ผลกระทบ

ผู้โจมตีต้องอยู่ในเครือข่ายเดียวกับทีวีก่อน เช่น เครื่องอื่นในบ้านหรือสำนักงานที่ติดมัลแวร์อยู่แล้ว หรือ Wi-Fi แขกที่ไม่ได้แยกวง ซึ่งเป็นเงื่อนไขที่พบได้บ่อยกว่าที่คิด เมื่อได้ root แล้วทีวีสามารถถูกใช้เป็นจุดฝังตัวถาวรในเครือข่าย ใช้ดักหรือสแกนอุปกรณ์อื่น เข้าร่วมบอตเน็ต หรือสอดแนมผ่านกล้องและไมโครโฟนในรุ่นที่มี โดยที่อุปกรณ์ประเภทนี้แทบไม่มี EDR หรือการเก็บล็อกให้ทีมความปลอดภัยเห็น

สำหรับองค์กร ทีวีและจอแสดงผลอัจฉริยะในห้องประชุม ล็อบบี้ หรือโรงแรม มักต่ออยู่ในวงเดียวกับเครื่องพนักงานและถูกลืมจากรอบแพตช์ การที่ช่องโหว่ไม่มีเลข CVE ยังทำให้เครื่องมือ vulnerability management ไม่แจ้งเตือน ต้องอาศัยการติดตามประกาศของ LG โดยตรง

คำแนะนำ

  • อัปเดตเฟิร์มแวร์ทีวี LG ผ่านเมนูการตั้งค่าของเครื่อง และเปิดการอัปเดตอัตโนมัติไว้ ติดตามประกาศที่ lgsecurity.lge.com
  • แยกสมาร์ตทีวีและอุปกรณ์ IoT ไว้ใน VLAN หรือ SSID เฉพาะ ไม่ให้อยู่วงเดียวกับเครื่องพนักงานหรือ Wi-Fi แขก
  • บล็อกการเข้าถึงพอร์ต 3001 (และพอร์ตควบคุมทีวีอื่น ๆ) จากเครือข่ายที่ไม่จำเป็น อนุญาตเฉพาะอุปกรณ์ที่ใช้ควบคุมจริง
  • ปิดฟีเจอร์เชื่อมต่อมือถือ/LG ThinQ หากไม่ได้ใช้งาน
  • สำรวจและขึ้นทะเบียนจอแสดงผลอัจฉริยะในองค์กรเพื่อรวมเข้ารอบแพตช์ และเฝ้าดูทราฟฟิกขาออกที่ผิดปกติจากอุปกรณ์เหล่านี้

แหล่งอ้างอิง