Se ha revelado información sobre vulnerabilidades en la plataforma webOS abierta que se puede utilizar para obtener acceso a API privilegiadas de bajo nivel del entorno del sistema de televisores LG y otros dispositivos basados en esta plataforma. El ataque se lleva a cabo mediante el lanzamiento de una aplicación sin privilegios que explota las vulnerabilidades mediante el acceso a las API internas y le permite sobrescribir/leer archivos arbitrarios o realizar otras acciones permitidas por las API del sistema.
La primera de las vulnerabilidades identificadas le permite eludir las restricciones de acceso a la API de Notification Manager y la segunda le permite utilizar Notification Manager para acceder a otras API internas a las que la aplicación del usuario no puede acceder directamente. Los identificadores CVE aún no se han asignado a los problemas. La capacidad de explotar vulnerabilidades se probó en un televisor LG 65SM8500PLA con firmware basado en webOS TV 05.10.30.
La esencia de la primera vulnerabilidad es que, de forma predeterminada, el envío de notificaciones en webOS solo está permitido a los servicios del sistema, pero esta restricción se puede evitar y se puede enviar una notificación desde una aplicación sin privilegios usando el comando luna-send-pub (com.webos .lunasendpub). La segunda vulnerabilidad está relacionada con el hecho de que al llamar a la API “luna://com.webos.notification/createAlert” con los parámetros onclick, onclose o onfail, puede iniciar cualquier controlador y, por ejemplo, llamar al sistema Download Manager. servicio, que solo puede iniciar aplicaciones privilegiadas para descargar y guardar archivos arbitrarios.
Fuente: opennet.ru