Três vulnerabilidades no webOS podem ser encadeadas para obter acesso de administrador a modelos específicos de Smart TVs LG pela rede local, sem senha, PIN ou autorização do proprietário. A fabricante disponibilizou correção.
Uma televisão instalada na sala de reuniões pode parecer um componente secundário da infraestrutura corporativa, mas está conectada à rede, executa aplicativos e mantém serviços que recebem comandos de outros dispositivos. Uma pesquisa divulgada pela SSD Secure Disclosure em 12 de outubro de 2026 mostrou como essa combinação pode ser explorada: três falhas no webOS, sistema operacional utilizado em televisores LG, permitem chegar à execução de comandos com privilégios de root sem exigir qualquer interação do usuário.
A demonstração ocorreu na competição TyphoonPWN 2026, realizada em maio na Coreia do Sul, e os detalhes técnicos foram publicados posteriormente. Os equipamentos identificados no relatório são os modelos LG 32LQ636BPSA e 27TQ600SW, com webOS 7.5.7-25 e firmware 04.54.40. Essa lista descreve o ambiente testado; não permite concluir que todos os televisores LG sejam afetados. Segundo os pesquisadores, a fabricante disponibilizou uma correção.
Como o pareamento da TV se transforma em acesso privilegiado
O ponto de entrada é um serviço usado para conectar a televisão a aplicativos de controle remoto, por meio de uma interface de rede na porta TCP 3001. O pareamento normalmente exige confirmação do usuário. Entretanto, os pesquisadores localizaram em um componente instalado no equipamento, o sync-demo, um manifesto assinado digitalmente que podia ser reutilizado na comunicação com o serviço de registro.
Como a versão analisada do webOS aceitava o certificado de teste associado ao manifesto, o registro passava por uma condição reservada a conexões internas e dispensava a solicitação do PIN. O atacante obtinha, dessa maneira, uma chave de cliente com permissões superiores às de uma conexão comum. Não havia necessidade de descobrir a senha do usuário: a falha estava na confiança atribuída pelo sistema a um manifesto já presente no equipamento.
A segunda etapa envolve o cmp-client, componente capaz de abrir uma página indicada por um endereço externo. O estudo observou que a página carregada continuava dispondo da interface PalmServiceBridge, utilizada para comunicação com serviços internos do webOS. Isso permitia alcançar métodos privilegiados que não estavam diretamente disponíveis na interface de rede usada no início do ataque.
Finalmente, a cadeia alcança o serviço de registros pmlogd. Parâmetros empregados na coleta de logs eram incorporados a comandos do sistema operacional sem tratamento adequado. A manipulação desses valores possibilitava executar comandos no contexto de um processo com privilégios de root. É essa combinação — confiança inadequada no pareamento, acesso indevido a serviços internos e injeção de comandos — que torna a descoberta mais grave do que uma simples falha de controle remoto.
Alcance e consequências precisam ser avaliados com precisão
O ataque demonstrado exige que o invasor consiga alcançar a televisão pela rede local. Isso não equivale a uma invasão remota indiscriminada a partir da Internet. Também não significa que conhecer a senha do Wi-Fi seja irrelevante em todas as circunstâncias: o requisito concreto é possuir conectividade de rede até o serviço vulnerável, condição que pode ocorrer quando um dispositivo já está conectado a uma rede pouco segmentada.
Com acesso root, há potencial para alterações no funcionamento do equipamento e instalação de componentes não autorizados. Em redes corporativas, o televisor comprometido também pode representar um ponto de apoio para reconhecimento do ambiente ou outras ações, dependendo das permissões de rede e das condições locais. Essas consequências são possibilidades técnicas, não uma comprovação de que tenham ocorrido em uma campanha criminosa. Nas fontes consultadas, não havia confirmação de exploração ativa dessa cadeia contra usuários.
Atualização e isolamento: medidas imediatas de proteção
O primeiro passo para proprietários e administradores de TI é conferir o modelo do televisor e a versão do firmware, verificando no canal oficial da LG se existe uma atualização aplicável. O boletim técnico da fabricante deve orientar a correção; não é seguro presumir que versões diferentes do sistema tenham exatamente o mesmo nível de exposição.
Para organizações, também é recomendável manter Smart TVs e outros equipamentos IoT em segmentos próprios, separados dos computadores e dos servidores usados para atividades críticas. Uma rede de visitantes não deve ter comunicação irrestrita com esses aparelhos, e o serviço de pareamento na porta TCP 3001 deve estar acessível apenas aos dispositivos que efetivamente dependem dele. Eventuais bloqueios precisam considerar o impacto sobre funcionalidades legítimas de controle.
Quando não houver atualização disponível, restringir conectividade e permissões de rede ajuda a reduzir a superfície de ataque, mas não elimina as vulnerabilidades do sistema operacional. A segurança desses dispositivos precisa integrar o inventário de ativos e a rotina de acompanhamento de correções, em vez de depender apenas de configurações feitas no momento da instalação.
O estudo demonstra que a exploração de uma Smart TV pode começar por recursos cotidianos de integração e terminar no nível mais alto de privilégio do sistema operacional. A descoberta não autoriza generalizações sobre todos os produtos da fabricante, mas evidencia um risco conhecido nas redes corporativas: equipamentos conectados que não recebem a mesma atenção dada a servidores e estações de trabalho podem ampliar as consequências de uma falha de segurança.
Referências: SSD Secure Disclosure — LG webOS sync-demo Preauth RCE; LG Security — TV Security Bulletins; Cyber Security Brazil — Smart TVs da LG podem ser invadidas.
Be the first to comment