Theo đó, các lỗ hổng cho phép truy cập và kiểm soát trái phép ở các mức khác nhau đối với mỗi chiếc TV bị ảnh hưởng gồm bỏ qua quyền, leo thang đặc quyền và chèn lệnh. Đáng chú ý, hacker có thể tạo tài khoản tùy ý trên thiết bị bằng dịch vụ chạy trên cổng 3000/3001, hiện đang được dùng để kết nối với điện thoại thông minh bằng mã PIN.
Những lần quét Internert với công cụ quét bảo mật Shodan Report cho thấy khoảng 91.000 chiếc smart TV của LG có khả năng bị ảnh hưởng.
Bốn lỗ hổng được nhóm nghiên cứu đưa ra gồm CVE-2023-6317, cho phép kẻ tấn công bỏ qua cơ chế phân quyền của TV và thêm người dùng mà không cần đến sự đồng ý. CVE-2023-6318 giành quyền truy cập root sau khi thực hiện CVE-2023-6317. CVE-2023-6319 chèn lệnh vào hệ điều hành và thực thi lệnh tùy ý. Và CVE-2023-6320 cho phép hacker khai thác API để thực thi lệnh với tư cách là người dùng dbus.
Các lỗ hổng ảnh hưởng đến các phiên bản WebOS 4.9.7 - 5.30.40 chạy trên dòng TV 43UM7000PLA, WebOS 04.50.51 - 5.5.0 trên TV OLED55CXPUA, WebOS 0.36.50 - 6.3.3-442 trên OLED48C1PUB, và WebOS 03.33.85 - 7.3.1-43 trên OLED48C1PUB, OLED55A23LA.
Mặc dù vấn đề bảo mật trên TV không lớn bằng trên máy tính hay smartphone, tuy nhiên hacker vẫn có thể lợi dụng để tấn công các thiết bị khác cùng kết nối trên một mạng.
Ngoài ra, smart TV thường liên kết với các tài khoản trực tuyến, do đó hacker có thể đánh cắp thông tin đăng nhập. Đặc biệt, TV cũng có thể bị biến thành botnet để thực hiện các cuộc tấn công từ chối dịch vụ DDoS hoặc bị cài đặt phần mềm đào tiền ảo một cách âm thầm.
Tham khảo: Bleepingcomputer