Ranljivost v pametnih televizorjih Supra, ki omogoča prikaz fiktivnega videa

Na televizorjih Supra Smart Cloud ugotovljeno ranljivost (CVE-2019-12477), ki omogoča zamenjavo trenutno gledanega programa z vsebino napadalca. Kot primer je prikazan izpis fiktivnega opozorila o izredni situaciji.

Za napad je dovolj, da pošljete posebej oblikovano omrežno zahtevo, ki ne zahteva avtentikacije. Zlasti lahko dostopate do upravljalnika »/remote/media_control?action=setUri&uri=« tako, da podate URL datoteke m3u8 z video parametri, na primer »http://192.168.1.155/remote/media_control?action=setUri&uri= http://attacker .com/fake_broadcast_message.m3u8.«

V večini primerov je dostop do naslova IP televizorja omejen na notranje omrežje, a ker je zahteva poslana prek HTTP, je mogoče uporabiti metode za dostop do notranjih virov, ko uporabnik odpre posebej oblikovano zunanjo stran (na primer pod preobleko s slikovno zahtevo ali uporabo Ponovno povezovanje DNS).

Vir: opennet.ru