LG Smart TVs mit webOS sollen sich leicht kompromittieren lassen
von caschy | 28 Kommentare
Die TV-Hersteller kommen Jahr für Jahr mit neuer Technik ums Eck. Eigentlich eine feine Sache. Doch die Anbieter versuchen natürlich auch, euch ein Ökosystem ans Bein zu binden. Mehrwertdienste, Smart Home, Apps – und sogar Werbeeinblendungen. Ihr kennt das selbst alles, wenn ihr im Thema seid und euch vielleicht bei den Schwergewichten Samsung und LG mal umschaut. Bei LG ist es derzeit so, dass es eine Schwachstelle geben soll. Ich halte das Ganze mal im Konjunktiv, obwohl schon gezeigt wurde, dass wohl etwas dran sei.
Well, this is slightly terrifying.
Opening a malicious link on *any* device on your LAN can fully compromise an LG Smart TV.
This is thanks to some new tricks found by @informaticTwitt, which allows the RootMyTV exploit chain to be triggered via any web browser on the same LAN. pic.twitter.com/EKiosWWJIw
— D?v?d ?uc??n?n (@David3141593) April 3, 2021
In Kurzform: Es ist wohl möglich, webOS-Geräte von LG mit nur einem Klick zu rooten und im Anschluss damit eben Vollzugriff auf den TV zu erhaschen. Obwohl LG sein webOS auch an andere Hersteller lizenziert, scheint es derzeit nur um webOS auf LG Smart TVs zu gehen. Die genaue Vorgehensweise ist vom Finder auch noch nicht offengelegt worden, obwohl die Webseite bereits existent ist. Für Entwickler vermutlich eine spannende Sache, auf das Dateisystem zuzugreifen und vielleicht Dinge in Augenschein nehmen zu können.
![LG 65UR78006LK 165 cm (65 Zoll) UHD Fernseher (Active HDR, 60 Hz, Smart TV) [Modelljahr 2023]](https://m.media-amazon.com/images/I/51MTWaSKR-L._SL160_.jpg)
Auf der anderen Seite stelle man sich vor, dass ein Angreifer euren TV rootet und diesen dann mit Malware verseucht, bzw. in Ransomware-Geiselhaft nimmt. Klingt unmöglich? Dann sollte man sich Nachrichten in Erinnerung rufen, wo es um Verschlüsselungs-Trojaner ging, die Dateien auf Computern und Netzwerkspeichern verschlüsselten und im Anschluss Lösegeld forderten. Die aktuelle Schwachstelle lässt sich wohl ausführen, wenn der Angreifer – oder ihr selbst – im selben Netz seid wie der TV. Dann ist es wohl möglich, das Ganze durchzuführen. Wobei man offensichtlich ganz andere Probleme haben kann, wenn ein Angreifer im Netzwerk ist.
Abhilfe? Den TV vom Netz nehmen und einen anderen Zuspieler nutzen. Machen vermutlich viele Leser unseres Blogs, die dann mit Konsole, Fire TV, Chromecast oder Apple TV unterwegs sind – viele sind aber auch tatsächlich mit den Apps happy, die der Hersteller anbietet. Auch bei LG, wo manche Anwender sicher nur ab und an Netflix, Amazon Prime Video oder andere Dienste nutzen wollen.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Wenn man Ublock Orign nutzt kann man diese Blockliste einbinden: https://filters.adtidy.org/extension/chromium/filters/6.txt (Block access to LAN)
Diese verhindert, dass Webseiten auf Ressourcen im eignene LAN zugreifen können. Ich weiß es natürlich nicht genau, aber ich kann mir gut vorstellen, dass es auch diese Art von Angriff verhindern würde. Natürlich nur von dem Gerät.
würde erklären warum mein relativ alter LG das erste mal überhaupt letzte Woche ein Update bekommen hat xD
Hab mein LG-WebOS schon lange vom Netz getrennt und nutze nur die Online Recurcen vom angeschlossenen Fire-TV Stick. Und das normale Fernsehprogramm (wenn überhaupt), nur noch über die Waipu App.
Daher kommt bei mir kein Fernseher ins Netz.
Selbstgestrickte Software, die selten Updates bekommt, wenn überhaupt, dazu schickt sie noch viel zu viele Informationen nach Hause – genau bei LG hat man es mal entdeckt, weil sie nicht mal HTTPS benutzt hatten, um Benutzerinformationen wie angeschaute Sender und Inhalte der externen Medien nach Hause zu telefonieren. Und manche zeigen noch Werbung.
Fire TV Stick rein und basta.
Lol, und du glaubst ernsthaft der FireTV Mist ist besser in der Hinsicht?
Ich glaube nicht.
Ich weiß es.
Fire TV Stick hat keine Kamera (mein Fernseher hat eine, warum auch immer).
Fire TV Stick mischt sich nicht in Gespräche mit „Das habe ich leider nicht verstanden“ oder ähnlichem ein (mein Fernseher hat eine nicht deaktivierbare Sprachsteuerung, warum auch immer).
Fire TV Stick weiß nicht, welche Sender ich gucke.
Fire TV Stick hat keinen Zugriff auf die Festplatte, die am USB-Port des Fernsehers hängt.
Fire TV Stick hat lediglich Zugriff auf die Inhalte, die ich bei Prime Video gucke, aber das weiß Amazon eh bereits.
1. Du schaltest also manuel am FireTV um? Hast keine Fernbedienung?
2. Welcher LG TV soll das sein? Kamera eingebaut? Normal ist das Sonderzubehör.
3. Du hast Angst davor das jemand weiß welchen Sender Du schaust?
Du bist Julian Assange oder Edward Snowden? Das der FireTV da sicher ist würde hier wohl niemand wirklich unterschreiben, sorry.
Auf die Idee dem Fernseher keine Netzwerk zu geben kann man auch alleine kommen. Dann kann, er, auch wenn man sich das ganz feste einredet, nichts versenden und einen ausperren.
Zudem kann man sogar Wlan relativ einfach lahm legen. Die LG TVs haben tatsächlich ein Problem mit dem BT/Wlan Modul. Das scheint, inkl mir, bei vielen nach 2-4 Jahren auszufallen. Dann geht die FB nicht mehr usw. Bei der Rechereche dazu (wie man das repariert) bin ich u.a. auf die Wlan Antennen aufmerksam geworden. Könnte man abknipsen oder einfach austecken. Das FB/BT Modul ist miese Qualität. Auf meiner Webseite ist ne Reparaturanleitung
Wo finde ich deine Webseite? Mein LG Fernseher hat auch Probleme mit der doch recht praktischen Bluetooth Fernbedienung.
Sorry, ich hoffe das ist OK hier. Ich hab damals echt lange gesucht und zufällig gefunden. Reparatur kostet ~10€….
https://www.pixelfeuer.de/reparatur-lg-wlan-bt-modul-oled-tv/
Dann hast du den falschen Fernseher gewählt, würde ich mal behaupten.
Ich sehe was mir mein Pi Hole aufzeichnet.
Und da ist bzw. war diese Krücke von FireTV trauriger Spitzenreiter, mit großem Abstand.
Mein LG hingegen kaum beachtenswert.
Benutzt dein LG Fernseher denn auch wirklich den PiHole als DNS Server? Bloß weil dieser via DHCP bereit gestellt wird, bedeutet nicht, dass er auch die in der DHCP Option 6 hinterlegten DNS Server nutzt. Das können eigene sein die angefragt werden (Das bekommt der PiHole dann nicht mit). Dann muss eine Firewallregel am Router hinterlegt werden, die sämtlichen Kontakt via Port 53 verbietet oder zum PiHole umleitet.
Es kann allerdings auch der Fall sein, dass am Fernseher DNS over HTTPs hinterlegt ist. Dann hat man leider sowieso mit PiHole und ähnlichem verloren wenn man keine Paket Inspection fährt…
Schade, dass es kaum noch TV´s ohne Smart gibt, aber wenn ich mir ein neuen kaufen muss, wennn der alte mal den Geist aufgibt, dann nur einer mit AndroidTV. Dort sind wohl noch am ehsten Updates zu erwarten. Die Hersteller Bastellösungen taugen doch alle nix Mutter nen Grundig, Freund Samsung und Nachbarin LG, alle samt murks und Updates kann man locker an einer Hand abzählen.
Ich kann mir nicht vorstellen das ein Kryptotrojaner ein proprietäres Linux befällt, nicht so.
Die Erfahrung zeigt: Smart TVs gehören nicht ans Netz. Wer das trotzdem macht handelt grob fahrlässig und verdient kein Mitleid. Meinen Sony Fernseher betreibe ich komplett offline, Streams (Mediatheken der Öffentlich-Rechtlichen, Netflix und Magenta Sport) kommen von einem Raspberry Pi mit LibreELEC und Kodi.
You must be fun at parties.
Auf den Parties, auf denen ich bin, spielen Fernseher keine Rolle. Aber vielleicht wirst du auch irgendwann mal zu so einer Party eingeladen.
Warum kaufst du dann überhaupt einen Fernseher? Von Technisat gibt es Monitore
War ein Geschenk. Davon abgesehen hast du aber natürlich Recht.
Leider gibt es die nur im Bereich der Einsteigerklasse. Will man besseres Bild wie OLED etc bleiben idR nur Smart Tvs.
„Smart TVs gehören nicht ans Netz“.
Überleg nochmal kurz, wofür das „Smart“ steht.
Du glaubst auch alles, was die Werbung dir vorsetzt, oder?
Es ist nicht smart, einen Fernseher nur drei Jahre mit Updates zu versorgen. Mein Sony Fernseher ist von 2016, das letzte Update bringt Android Sicherheits-Patch von Januar 2019.
Ehrlich wäre also eher der Begriff „3-Jahre-Smart-TV-dann-Dumb-TV“, da spielt dann aber vermutlich die Marketing-Abteilung nicht mit.
Mein nächster TV hat definitiv auch Android als Betriebsystem. Wenigstens die Apps bekommen lange Updates.
Mein LG hat in der Summe vielleicht 1 Update im Jahr bekommen, was relativ mager ist.
Von mir aus können die meinen LG fernsteuern, darauf ist nichts gespeichert außer meine Netflix und Amazon Zugänge. Würde sich da jemand einloggen würde ich das mitbekommen. Ansonsten ist da absolut nichts drauf was sich für Hacker lohnen würde.
Enttäuscht bin ich schon von LG. Irgendwo habe ich gelesen das mindestens eine WebOS Version als Update kommen sollte, daraus wurde nichts. Installiert war und ist WebOS 2.
Ich verstehe nicht was daran ein Problem ist Updates bereit zu stellen. Von mir aus auch kostenpflichtig, so wie bei Apple früher. Sicherheitsupdates sollten kostenlos sein und Versionsupdates gerne für einen kleinen Unkostenbeitrag. Aber garnichts anbieten ist echt mies.
Politisch gesehen ist das anscheinend auch kaum möglich den Herstellern Druck zu machen.
Zum Glück hat mein LG wenigstens keine Kamera, da hätte ich echt bedenken dass mich jemand filmt
„Die aktuelle Schwachstelle lässt sich wohl ausführen, wenn der Angreifer – oder ihr selbst – im selben Netz seid wie der TV. Dann ist es wohl möglich, das Ganze durchzuführen. Wobei man offensichtlich ganz andere Probleme haben kann, wenn ein Angreifer im Netzwerk ist.“
Das klingt als müsse der Angreifer im selben lokalen Netz sein wie der Fernseher. Dann sind eh noch ganz andere Sachen möglich. Solange es nicht über das Internet „einfach so“ geht den Fernseher zu hacken würde ich die reale Gefahr mal als gering einstufen.
@elknipso
Klingt eher so: du rufst eine Webseite über dein Handy auf – welches im gleichen Netz wie der Fernseher ist – drückst dort ggf. einen Knopf und dann wird der Fernseher gerootet.
„which allows the RootMyTV exploit chain to be triggered via any web browser on the same LAN“
Soooo. XDA
https://forum.xda-developers.com/t/rootmy-tv-coming-soon-developer-pre-release-available-now.4232223/
WebOS 4 und ThinIQ ist Pflicht, sonst gehts nicht.
„- The current version of the exploit will give you a root telnet server, accessible on the default port (23), without authentication.“
Also muss jemand in Eurem Netz sein, Telnet nutzen und so weiter. Dann muss der Nachbar also noch genug Kenntnisse haben. Alles halb so wild
„Machen vermutlich viele Leser unseres Blogs, die dann mit Konsole, Fire TV, Chromecast oder Apple TV unterwegs sind“
Ich kenne einige Leute die sich einen LG gekauft haben weil im WebOS so ziemlich alles an Apps zu finden ist und man eben keinen FireTV, Chromecast etc. braucht.
Ich verstehe nicht so ganz was an der Geschichte leicht sein soll
Der Hacker braucht Zugriff auf das Lan Netzwerk, also muss erstmal in die Wohung einbrechen, denn TV einschalten, in den Developermodus versetzen und einen bösen Link am TV Browser aufrufen !!!
Irgendwie unterscheidet sich das nicht von den anderen Geräten die sich bricken lassen, egal ob Fire Stick, … etc….
„Der Hacker braucht Zugriff auf das Lan Netzwerk, also muss erstmal in die Wohung einbrechen, denn TV einschalten, in den Developermodus versetzen und einen bösen Link am TV Browser aufrufen !!!“
Leider ist es nicht so einfach:
– der jetzige Link rooted den Fernseher und installiert den Homebrew Channel.
– man kann die Payload jedoch so ändern, das dort z.B. ein reverse Tunnel zum Server des Bösewichtes aufgebaut wird – niemand merkt es.
Alles was man braucht ist es irgendwie zu schaffen das der Link im TV aufgerufen wird – das könnte eine kompromittierte WebOS App sein, nen side-load link im Browser, ne weitere schwachstelle bei Youtube etc. etc. etc.
Es gibt dutzende, wenn nicht hunderte möglichkeiten die Schwachstelle auszunutzen ohne das der User bewusst davon etwas merkt und der Zugriff – sollte die Kiste ins Internet können – sehr wohl und sehr einfach von extern von irgendwo auf dieser Welt inkl. ISS kommen könnte.
Vielleicht ist dies sogar schon geschehen….
ICH habe mich jedenfalls über den ‚Serienmässigen“ SIT Tunnel auf meinem LG gewundert, den ich nach dem rooten entdeckt habe…..