有關開放 webOS 平台中漏洞的資訊已被揭露，這些漏洞可用於存取 LG 電視和其他基於該平台的裝置的系統環境的特權低階 API。 該攻擊是透過啟動非特權應用程式來進行的，該應用程式透過存取內部 API 來利用漏洞，並允許您覆蓋/讀取任意檔案或執行系統 API 允許的其他操作。
第一個已識別的漏洞可讓您繞過通知管理員 API 的存取限制，第二個漏洞可讓您使用通知管理器存取使用者應用程式無法直接存取的其他內部 API。 尚未為這些問題指派 CVE 標識符。 利用基於 webOS TV 65 的韌體的 LG 8500SM05.10.30PLA TV 測試了利用漏洞的能力。
第一個漏洞的本質是，預設情況下，webOS 中只允許向系統服務發送通知，但可以繞過此限制，使用 luna-send-pub 命令（com.webos）從非特權應用程式發送通知.lunasendpub ）。 第二個漏洞與以下事實有關：透過使用 onclick、onclose 或 onfail 參數呼叫 API“luna://com.webos.notification/createAlert”，您可以啟動任何處理程序，例如呼叫下載管理器系統服務，僅允許啟動特權應用程式來下載和保存任意檔案。
來源： opennet.ru