Inligting is bekend gemaak oor kwesbaarhede in die oop webOS-platform wat gebruik kan word om toegang te verkry tot bevoorregte laevlak-API's van die stelselomgewing van LG TV's en ander toestelle wat op hierdie platform gebaseer is. Die aanval word uitgevoer deur die bekendstelling van 'n onbevoorregte toepassing wat kwesbaarhede uitbuit deur toegang tot interne API's, en laat jou toe om arbitrêre lêers te oorskryf/lees of ander aksies uit te voer wat deur stelsel API's toegelaat word.
Die eerste van die geïdentifiseerde kwesbaarhede laat jou toe om toegangsbeperkings na die Kennisgewingbestuurder-API te omseil, en die tweede laat jou toe om Kennisgewingbestuurder te gebruik om toegang tot ander interne API's te verkry wat nie direk toeganklik is vir die gebruikerstoepassing nie. CVE-identifiseerders is nog nie aan die kwessies toegeken nie. Die vermoë om kwesbaarhede te ontgin is getoets op 'n LG 65SM8500PLA TV met firmware gebaseer op webOS TV 05.10.30.
Die kern van die eerste kwesbaarheid is dat die stuur van kennisgewings in webOS by verstek slegs aan stelseldienste toegelaat word, maar hierdie beperking kan omseil word en 'n kennisgewing kan vanaf 'n onbevoorregte toepassing gestuur word met behulp van die luna-send-pub-opdrag (com.webos .lunasendpub). Die tweede kwesbaarheid hou verband met die feit dat deur die API "luna://com.webos.notification/createAlert" te noem met die onclick, onclose of onfail parameters, jy enige hanteerder kan begin en byvoorbeeld die Download Manager-stelsel kan bel diens, wat slegs toegelaat word om bevoorregte toepassings van stapel te stuur om arbitrêre lêers af te laai en te stoor.
Bron: opennet.ru