Los televisores inteligentes LG son vulnerables a la toma de control de root mediante preautenticación desde la red local.

Tres vulnerabilidades en el sistema operativo webOS de LG pueden combinarse para otorgar a un atacante en la misma red local acceso de administrador a ciertos televisores inteligentes sin PIN ni interacción del propietario.

LG ha publicado una solución, según un aviso publicado por SSD Secure Disclosure el 12 de octubre.

La cadena de vulnerabilidades se probó en dos modelos de televisores, el 32LQ636BPSA y el 27TQ600SW, con webOS 7.5.7-25 y firmware 04.54.40. Se desconoce si otros modelos o versiones de firmware se ven afectados.

Los propietarios de los televisores afectados deben buscar una actualización de firmware. No existe una solución alternativa para quienes aún no pueden actualizar.

El ataque ingresa a través de un servicio que el televisor expone en el puerto 3001, utilizado por la aplicación LG ThinQ para el emparejamiento. Un atacante reproduce un manifiesto de sync-demo, una aplicación integrada en el dispositivo, firmado con un certificado de prueba en el que el firmware confía. Un permiso en el manifiesto provoca que el servicio de emparejamiento omita la solicitud del PIN y entregue una clave privilegiada.

Con esa clave, el atacante ejecuta otra aplicación integrada, cmp-client, y la redirige a una página controlada por él. La aplicación no verifica la ruta de navegación, y la página cargada mantiene el acceso a PalmServiceBridge, una interfaz interna para los servicios del sistema del televisor.

A través de este puente, el atacante llama al servicio de registro del sistema, pmlogd, pasando comandos de shell a través de un campo de entrada que el servicio no verifica. Dado que pmlogd se ejecuta como root, el comando inyectado también se ejecuta como root.

Esta no es la primera vez que la superficie de ataque de la red local permite el acceso de root en televisores inteligentes LG. En 2024, Bitdefender reveló un conjunto diferente de vulnerabilidades de webOS que también permitían el acceso no autenticado desde la red, afectaban a diferentes componentes y fueron parcheadas en marzo de 2024. Una cadena independiente demostrada en TyphoonPWN 2025 utilizó un ataque de recorrido de ruta en un puerto diferente. La cadena fue demostrada por un investigador anónimo que obtuvo el tercer lugar en la categoría LG webOS en TyphoonPWN 2026, celebrado en Seúl en mayo. No se han asignado identificadores CVE ni se ha reportado ninguna explotación en la práctica.