Die Sicherheitsexperten von Bitdefender Labs haben kritische Schwachstellen in LG webOS entdeckt, die es Hackern ermöglichten, die Kontrolle über das komplette Smart-Home-Netzwerk zu erlangen. LG hat schnell reagiert und einen Push-Patch bereitgestellt, um die Lücken zu schließen.
- Kritische Schwachstellen betreffen verschiedene Versionen von LG WebOS (4 bis 7)
- Über 91.000 Geräte sind potenziell für Hacker erreichbar und entsprechend den Gefahren der Sicherheitslücke ausgesetzt.
- Besitzer von betroffenen Geräten wird empfohlen, sofort die jüngsten Updates für die webOS-Plattform auf ihrem Smart TV zu installieren.
Originalbeitrag: Dieser Fall zeigt, dass man Firmware-Updates nicht nur zur Fehlerbehebung und für die Implementierung von neuen Features machen sollte, sondern auch um die Sicherheit des heimischen Netzwerks zu gewährleisten. Die Bitdefender Labs hatten am 1. November 2023 mehrere gravierende Sicherheitslücken an LG Electronics gemeldet, welche der Hersteller mit Updates am 22. März 2024 geschlossen hat. Erst am heutigen Tag wurde der Bericht über die Schwachstellen öffentlich gemacht, um den Nutzern genug Zeit zu geben, die benötigten Firmware-Updates zu installieren. Doch was, wenn man die manuelle Update-Funktion deaktiviert bzw. schon seit Längerem kein Update mehr zugelassen hat?

webOS Sicherheitslücke betrifft nur bestimmte TV-Modelle
Die Sicherheitslücken lassen sich nur über die LAN-Verbindung der LG webOS Smart TVs ausnutzen, doch wie eine Anfrage über die IoT-Suchmaschine Shodan zeigt, sind wohl über 90.000 Geräte potenziell von dieser Schwachstelle gefährdet. Glücklicherweise betrifft es nur eine sehr geringe Anzahl an Modellen in Kombination mit einer bestimmten webOS Versionsnummer, die überhaupt Gefahr laufen, von Dritten kompromittiert zu werden. Dabei handelt es sich um folgende Varianten:
- LG43UM7000PLA Smart TV mit webOS 4.9.7 – 5.30.40
- OLED55CXPUA Smart TV mit webOS 5.5.0 – 04.50.51
- OLED48C1PUB Smart TV mit webOS 6.3.3-442
- OLED55A23LA Smart TV mit webOS 7.3.1-43
Ihr seht, unter den Modellen befinden sich auch beliebte High-End-Geräte wie die A2 (2022), C1 (2021) oder CX (2020) OLED-Fernseher. Wer z.B. einen CX OLED TV nutzt und bewusst kein Update mehr installiert, weil man sonst Gefahr läuft, dass man das gewohnte Launchbar-Menü verliert und mit einem mit Werbung „verseuchten“ Vollbild-Menü bestraft wird, der läuft genau in diese Sicherheits-Nische. Wenn dann der TV noch in einem öffentlich zugänglichen oder nicht gut gesicherten, lokalen Netzwerk zum Einsatz kommt, ist es für die Hacker ggf. ein Leichtes, das gesamte Heimnetzwerk unter ihre Kontrolle zu bringen.
Hacker könnten sich Zugriff auf das komplette Heimnetzwerk verschaffen
Sind dann z.B. Geräte mit sensiblen Daten oder gar Kameras oder smarte Schließsysteme im IoT-Netzwerk integriert, könnten Hacker darauf zugreifen. Dies ist durch die Ausnutzung mehrerer Schwachstellen hintereinander möglich, mit denen erst ein zusätzliches Konto auf dem Smart TV hinzugefügt wird, gefolgt von der Ausweitung der Zugriffsrechte auf Root-Ebene. Ab diesem Zeitpunkt an kann eigentlich so ziemlich alles an Schadsoftware injiziert werden.
Dieses Szenario zeigt, dass man sich auch aktiv um die Sicherheit der eigenen Daten und des heimischen Netzwerks kümmern muss. Es ist eigentlich selbsterklärend, doch was müssen Besitzer eines potenziell betroffenen Fernsehers tun? Wer einen betroffenen LG webOS Smart TV im Einsatz hat, sollte schnellstmöglich die zur Verfügung gestellten Firmware-Updates installieren, primär diese, die am 22. März 2024 und danach bereitgestellt wurden.






















































