WebOS-এর দুর্বলতা যা LG TV-তে ফাইলগুলিকে ওভাররাইট করার অনুমতি দেয়

ওপেন ওয়েবওএস প্ল্যাটফর্মের দুর্বলতা সম্পর্কে তথ্য প্রকাশ করা হয়েছে যা এই প্ল্যাটফর্মের উপর ভিত্তি করে এলজি টিভি এবং অন্যান্য ডিভাইসগুলির সিস্টেম পরিবেশের সুবিধাপ্রাপ্ত নিম্ন-স্তরের APIগুলিতে অ্যাক্সেস পেতে ব্যবহার করা যেতে পারে। আক্রমণটি একটি সুবিধাবিহীন অ্যাপ্লিকেশন চালু করার মাধ্যমে করা হয় যা অভ্যন্তরীণ API গুলিতে অ্যাক্সেসের মাধ্যমে দুর্বলতাগুলিকে কাজে লাগায় এবং আপনাকে নির্বিচারে ফাইলগুলি ওভাররাইট/পড়তে বা সিস্টেম API দ্বারা অনুমোদিত অন্যান্য ক্রিয়া সম্পাদন করতে দেয়৷

চিহ্নিত দুর্বলতাগুলির মধ্যে প্রথমটি আপনাকে বিজ্ঞপ্তি ম্যানেজার API-তে অ্যাক্সেসের সীমাবদ্ধতাগুলিকে বাইপাস করার অনুমতি দেয় এবং দ্বিতীয়টি আপনাকে ব্যবহারকারীর অ্যাপ্লিকেশনে সরাসরি অ্যাক্সেসযোগ্য নয় এমন অন্যান্য অভ্যন্তরীণ APIগুলি অ্যাক্সেস করতে বিজ্ঞপ্তি ম্যানেজার ব্যবহার করার অনুমতি দেয়৷ CVE আইডেন্টিফায়ারদের এখনও সমস্যাগুলির জন্য বরাদ্দ করা হয়নি৷ দুর্বলতাগুলিকে কাজে লাগানোর ক্ষমতা একটি LG 65SM8500PLA টিভিতে webOS TV 05.10.30-এর উপর ভিত্তি করে ফার্মওয়্যার সহ পরীক্ষা করা হয়েছিল।

প্রথম দুর্বলতার সারমর্ম হল যে ডিফল্টরূপে, ওয়েবওএস-এ বিজ্ঞপ্তি পাঠানো শুধুমাত্র সিস্টেম পরিষেবাগুলিতে অনুমোদিত, তবে এই সীমাবদ্ধতাটি বাইপাস করা যেতে পারে এবং luna-send-pub কমান্ড (com.webos) ব্যবহার করে একটি সুবিধাবিহীন অ্যাপ্লিকেশন থেকে একটি বিজ্ঞপ্তি পাঠানো যেতে পারে .lunasendpub)। দ্বিতীয় দুর্বলতাটি এই সত্যের সাথে সম্পর্কিত যে API-কে অনক্লিক, অনক্লোজ বা অনফেল প্যারামিটার সহ “luna://com.webos.notification/createAlert” কল করে, আপনি যেকোনো হ্যান্ডলার চালু করতে পারেন এবং উদাহরণস্বরূপ, ডাউনলোড ম্যানেজার সিস্টেমে কল করতে পারেন। পরিষেবা, যা শুধুমাত্র ইচ্ছামত ফাইল ডাউনলোড এবং সংরক্ষণ করার জন্য বিশেষ সুবিধাপ্রাপ্ত অ্যাপ্লিকেশন চালু করার অনুমতি দেওয়া হয়।

উত্স: opennet.ru