LG webOS: catena di tre flaw permette root takeover da rete locale senza PIN

LG ha rilasciato un aggiornamento firmware il 12 ottobre 2026 per tre vulnerabilità in webOS che, concatenate, permettono a un attaccante sulla stessa rete locale di ottenere accesso root su alcuni smart TV senza conoscere il PIN e senza alcuna interazione dell'utente. La catena è stata dimostrata a TyphoonPWN 2026, confermando un pattern ricorrente di debolezze di sicurezza nel sistema operativo dei televisori LG.

La catena a tre stadi: da manifest di test a shell di root

Il percorso di attacco inizia sulla porta TCP 3001, usata dall'app LG ThinQ per il pairing tra televisore e dispositivi mobili. L'attaccante replaya un manifest dell'app built-in sync-demo, firmato con un certificato di test che il firmware considera trusted. Questo permesso, STB_INTERNAL_CONNECTION, fa saltare il prompt del PIN e restituisce una chiave privilegiata.

Con questa chiave, l'attaccante lancia cmp-client, un'altra applicazione preinstallata, reindirizzandola verso una pagina web controllata dall'attaccante. La pagina caricata mantiene accesso a PalmServiceBridge, l'interfaccia interna che collega le app ai servizi di sistema webOS. Attraverso PalmServiceBridge, l'attaccante chiama il metodo collectAllLog del servizio pmlogd, che gestisce il logging di sistema.

Il metodo collectAllLog costruisce comandi shell usando valori controllati dal chiamante: il parametro targetDir non è sanificato. pmlogd gira come root. I comandi iniettati eseguono con privilegi massimi.

Modelli testati e ambito incerto

La catena è stata verificata sui modelli 32LQ636BPSA e 27TQ600SW, entrambi con webOS 7.5.7-25 e firmware 04.54.40. Secondo la fonte citata, non è noto se altri modelli o versioni firmware siano affetti. Questo limite rende impossibile quantificare la superficie di attacco reale: i televisori LG con webOS sono distribuiti in decine di modelli e generazioni, ma solo questi due sono confermati vulnerabili nel contesto della dimostrazione.

L'advisory SSD Secure Disclosure, datato 12 ottobre 2026, afferma che LG ha rilasciato una patch. La fonte non specifica la data esatta di disponibilità dell'aggiornamento né le versioni firmware corrette per modello. Chi non può aggiornare il firmware non dispone di workaround alternativi documentati.

Il contesto TyphoonPWN e l'anonimato del ricercatore

La catena è stata dimostrata da un ricercatore anonimo, classificatosi al terzo posto nella categoria LG webOS a TyphoonPWN 2026, tenutosi a Seoul nel maggio 2026. TyphoonPWN è una competizione di sicurezza che premia exploit su dispositivi consumer; la categoria dedicata a LG webOS indica che il sistema operativo dei televisori è oggetto di attenzione strutturata da parte della comunità di ricerca offensive.

La scelta dell'anonimato del ricercatore non è commentata dalle fonti. L'assenza di identificatore CVE e l'assenza di segnalazioni di exploitation in the wild sono entrambe esplicitate dalla fonte. Questo non esclude che l'assegnazione CVE sia in corso: il brief non documenta lo stato del processo di registrazione.

"Three vulnerabilities in LG's webOS can be chained to give an attacker on the same local network root access to certain smart TVs without a PIN or any interaction from the owner" — Swati Khandelwal, The Hacker News

Un pattern ricorrente: dal 2024 LG accumula vulnerabilità di rete locale

Questa non è la prima volta che webOS espone superfici di attacco da rete locale. Nel 2024, ricercatori di Bitdefender hanno identificato vulnerabilità simili, patchate da LG nel marzo 2024. Nel 2025, una catena presentata a TyphoonPWN ha sfruttato path traversal su una porta diversa. La ricorrenza temporale — tre episodi in tre anni, tutti con vettore di rete locale e obiettivo privilege escalation — solleva questioni sulla maturità del security development lifecycle di LG per dispositivi IoT largamente diffusi.

Le smart TV rappresentano un caso limite nella sicurezza IoT: permanentemente connesse, raramente aggiornate dagli utenti, spesso posizionate in ambienti con elevata densità di dispositivi (hotel, uffici, sale d'attesa) dove la separazione di rete è debole o assente. Il modello di threat che le fonti descrivono — attaccante sulla stessa LAN, nessuna interazione utente, nessun PIN — si adatta particolarmente bene a questi contesti.

Perché è importante

Il brief non documenta misure correttive specifiche oltre l'aggiornamento firmware. Il dossier non specifica la natura dei dati esposti sui dispositivi vulnerabili, né se l'accesso root permetta persistenza o movimento laterale verso altri sistemi sulla rete. La fonte non indica se LG abbia riconosciuto formalmente le vulnerabilità tramite advisory proprio o solo tramite la segnalazione di SSD Secure Disclosure.

Il dato più rilevante per il lettore resta l'assenza di workaround: chi non può o non sa aggiornare il firmware rimane esposto. In un mercato dove i televisori smart hanno cicli di vita di 5-7 anni ma ricevono aggiornamenti attivi per 2-3 anni, questo limite operativo è significativo.

Il pattern ricorrente di vulnerabilità in webOS — tutte con vettore di rete locale, tutte con bypass di autenticazione, tutte dimostrate in competizioni offensive — suggerisce che l'architettura di sicurezza del sistema operativo non abbia subito ristrutturazioni sostanziali. La presenza di certificati di test nel firmware di produzione, il mantenimento di app built-in con permessi privilegiati e la mancanza di sanificazione degli input nei servizi di sistema sono debolezze strutturali che le patch puntuali non risolvono.

FAQ

Quali modelli LG sono confermati vulnerabili?

Solo 32LQ636BPSA e 27TQ600SW con webOS 7.5.7-25 e firmware 04.54.40. Altri modelli non sono stati testati secondo le fonti disponibili.

L'attacco funziona da Internet remoto?

No. L'attaccante deve essere sulla stessa rete locale della smart TV. La fonte non descrive varianti remote dello stesso vettore.

Ci sono CVE assegnati a queste vulnerabilità?

Le fonti esplicitano che nessun CVE è stato assegnato al momento della pubblicazione. Non è documentato se l'assegnazione sia in corso.

Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.

Fonti

• https://thehackernews.com/2026/10/lg-smart-tvs-vulnerable-to-pre-auth.html
• https://www.rapid7.com/blog/post/etr-critical-cisco-catalyst-sd-wan-manager-api-authentication-bypass-exploited-in-the-wild-cve-2026-76504
• https://www.infosectoday.io/lg-smart-tvs-vulnerable-to-pre-auth-root-takeover-from-local-network/?doing_wp_cron=1791893932.2225608825683593750000
• https://www.guardianmssp.com/2026/10/13/lg-smart-tvs-vulnerable-to-pre-auth-root-takeover-from-local-network/
• https://cyberupdates365.com/lg-smart-tv-flaws-root-takeover/
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-webauth-xr8beuuU
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.rapid7.com/platform/
• https://www.rapid7.com/products/command/attack-surface-management-asm/

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti