ال‌جی آسیب‌پذیری‌های دسترسی روت در سیستم‌عامل webOS تلویزیون‌های هوشمند را وصله کرد

لحظه‌ای که امنیت یک تلویزیون هوشمند واقعاً در هم می‌شکند، به‌ندرت یک شکست پیچیده رمزنگاری است؛ بلکه معمولاً زمانی است که یک سیستم کورکورانه به اجزای داخلی خود اعتماد می‌کند. در مورد سیستم‌عامل webOS ال‌جی، نتیجه نهایی توسط یک سرویس ثبت وقایع سیستمی به نام pmlogd تعیین شد که ورودی‌های متنی را می‌پذیرفت و آن‌ها را بدون هیچ‌گونه بررسی به‌عنوان دستورات روت اجرا می‌کرد.

این هفته، محققان پلتفرم امنیتی SSD Secure Disclosure فاش کردند که ال‌جی یک زنجیره آسیب‌پذیری بحرانی را در تلویزیون‌های هوشمند خود وصله کرده است. این نقص‌ها به مهاجمانی که در همان شبکه محلی قرار داشتند اجازه می‌داد کنترل کامل دستگاه را در دست بگیرند. این حمله نیازی به وارد کردن پین‌کد یا هیچ‌گونه تعاملی از سوی صاحب تلویزیون نداشت.[1][2]

شرکت ال‌جی در پاسخ به این گزارش‌ها، آپدیت‌های میان‌افزاری جدیدی را برای رفع این آسیب‌پذیری‌های با شدت بالا منتشر کرده است. با این حال، این اتفاق بار دیگر نشان می‌دهد که چگونه دستگاه‌هایی که به‌عنوان قلب خانه هوشمند بازاریابی می‌شوند، در لایه‌های زیرین خود از مکانیزم‌های امنیتی ضعیف و اعتبارسنجی‌های ناقص رنج می‌برند.[1]

زنجیره حمله چگونه کار می‌کند

نقطه ورود این حمله، سرویسی است که تلویزیون روی پورت ۳۰۰۱ برای جفت‌سازی با اپلیکیشن موبایل LG ThinQ در معرض دید قرار می‌دهد. مهاجمان با بازپخش یک مانیفست از یک اپلیکیشن داخلی که با یک گواهی آزمایشی معتبر امضا شده است، سیستم را فریب می‌دهند. این کار باعث می‌شود سرویس جفت‌سازی، درخواست پین‌کد را نادیده گرفته و یک کلید دسترسی ویژه صادر کند.[2]

با در اختیار داشتن این کلید، مهاجم یک اپلیکیشن داخلی دیگر به نام cmp-client را اجرا کرده و آن را به سمت یک صفحه وب تحت کنترل خود هدایت می‌کند. از آنجایی که این اپلیکیشن مقصد خود را بررسی نمی‌کند، صفحه بارگذاری‌شده به رابط داخلی سیستم‌عامل یعنی PalmServiceBridge دسترسی پیدا می‌کند. این رابط پلی میان برنامه‌ها و هسته سیستم است.[1]

در مرحله نهایی، مهاجم از طریق این پل ارتباطی، دستورات مخرب خود را به سرویس ثبت وقایع سیستم ارسال می‌کند. از آنجا که این سرویس با بالاترین سطح دسترسی اجرا می‌شود و مسیرهای فایل دریافتی را پاک‌سازی نمی‌کند، دستورات تزریق‌شده مستقیماً در هسته لینوکس تلویزیون اجرا می‌شوند. این فرآیند، کنترل کامل دستگاه را به هکر می‌سپارد.[1][3]

محققان امنیتی این زنجیره نفوذ را روی دو مدل تلویزیون ال‌جی شامل 32LQ636BPSA و 27TQ600SW که از نسخه 7.5.7-25 سیستم‌عامل webOS با میان‌افزار 04.54.40 استفاده می‌کردند، با موفقیت آزمایش کردند. هنوز به‌طور دقیق مشخص نیست که چه تعداد از مدل‌های دیگر یا نسخه‌های قدیمی‌تر میان‌افزار در برابر این حمله آسیب‌پذیر هستند.[2][3]

وعده‌های بازاریابی در برابر واقعیت امنیتی

تولیدکنندگان تلویزیون‌های هوشمند، از جمله ال‌جی، همواره محصولات خود را با وعده هوش مصنوعی پیشرفته و یکپارچگی بی‌نقص با خانه هوشمند به فروش می‌رسانند. اما این آسیب‌پذیری‌ها شکاف عمیق میان زبان بازاریابی و واقعیت کدهای نوشته‌شده را آشکار می‌کند. سیستمی که قرار است هاب امن خانه باشد، در عمل فاقد بررسی‌های اولیه برای اعتبارسنجی ورودی‌ها است.

این اولین باری نیست که تلویزیون‌های ال‌جی با چنین مشکلاتی مواجه می‌شوند. در اوایل سال ۲۰۲۴ نیز شرکت بیت‌دیفندر مجموعه‌ای متفاوت از آسیب‌پذیری‌های webOS را کشف کرد که آن‌ها نیز اجازه دسترسی غیرمجاز از طریق شبکه محلی را می‌دادند. ال‌جی آن نقص‌ها را در ماه مارس همان سال برطرف کرد، اما ظهور مجدد مشکلات مشابه نشان‌دهنده ضعف در معماری پایه است.[2]

زنجیره حمله اخیر ابتدا توسط یک محقق ناشناس در رقابت‌های هک TyphoonPWN 2026 که در ماه می در سئول برگزار شد، به نمایش درآمد. این محقق توانست مقام سوم را در دسته webOS ال‌جی کسب کند. عدم تخصیص شناسه‌های رسمی CVE به این آسیب‌پذیری‌ها تا این لحظه، نشان می‌دهد که فرآیند مستندسازی امنیتی در دستگاه‌های اینترنت اشیا هنوز جای پیشرفت دارد.[2][3]

برای سوءاستفاده از این نقص، هکر باید از قبل به شبکه وای‌فای یا کابلی خانه قربانی دسترسی داشته باشد. اگرچه این موضوع خطر حملات تصادفی از طریق اینترنت را کاهش می‌دهد، اما به این معناست که هر بدافزاری روی لپ‌تاپ یا گوشی هوشمند متصل به شبکه می‌تواند تلویزیون را به یک پایگاه دائمی برای جاسوسی تبدیل کند.[1]

اقدامات ضروری برای کاربران

تنها راهکار قطعی برای مقابله با این تهدید، نصب آخرین به‌روزرسانی‌های منتشر شده توسط ال‌جی است. کاربران باید با مراجعه به بخش تنظیمات تلویزیون، قسمت پشتیبانی و سپس به‌روزرسانی نرم‌افزار، مطمئن شوند که دستگاه آن‌ها آخرین نسخه میان‌افزار را دریافت کرده است. روشن نگه‌داشتن گزینه آپدیت خودکار در این موارد حیاتی است.[2]

کارشناسان امنیتی توصیه می‌کنند در صورتی که تلویزیون شما دیگر آپدیت‌های رسمی را دریافت نمی‌کند یا امکان به‌روزرسانی آن در حال حاضر وجود ندارد، اتصال آن را از شبکه محلی قطع کنید. استفاده از یک دستگاه پخش رسانه مجزا که سابقه امنیتی بهتری دارد، می‌تواند جایگزین امن‌تری برای سیستم‌عامل داخلی تلویزیون‌های قدیمی باشد.[1]

علاوه بر این، جداسازی شبکه‌های خانگی یک اقدام پیشگیرانه موثر است. قرار دادن دستگاه‌های اینترنت اشیا مانند تلویزیون‌های هوشمند در یک شبکه مهمان جداگانه، مانع از آن می‌شود که یک تلویزیون هک‌شده بتواند به رایانه‌های شخصی، گوشی‌ها یا درایوهای ذخیره‌سازی حساس در شبکه اصلی خانه دسترسی پیدا کند.[3]

در نهایت، این رویداد یادآوری می‌کند که تلویزیون‌های هوشمند امروزی صرفاً نمایشگر نیستند؛ آن‌ها کامپیوترهای لینوکسی قدرتمندی هستند که به شبکه‌های محلی و عادات تماشای ما دسترسی دارند. تا زمانی که تولیدکنندگان، امنیت نرم‌افزار را هم‌تراز با کیفیت تصویر در اولویت قرار ندهند، مسئولیت محافظت از این دستگاه‌ها بر عهده خود مصرف‌کنندگان باقی خواهد ماند.

با توجه به اینکه ال‌جی اخیراً برنامه اختصاصی خود را برای ارائه آپدیت‌های سالانه سیستم‌عامل به مدل‌های قدیمی‌تر گسترش داده است، انتظار می‌رود روند انتشار وصله‌های امنیتی برای طیف وسیع‌تری از کاربران تسریع شود. با این حال، موفقیت این برنامه در گرو آن است که کاربران اهمیت این به‌روزرسانی‌های نامرئی را درک کرده و آن‌ها را نصب کنند.