LG Akıllı TV'lerde Yerel Ağdan Kök Erişimi Sağlayan Güvenlik Açığı

LG'nin akıllı televizyonlarında kullanılan webOS işletim sisteminde, üç güvenlik açığının bir arada kullanılmasıyla yerel ağdaki bir saldırganın etkilenen cihazlarda tam sistem kontrolü ele geçirebildiği ortaya çıktı. SSD Secure Disclosure'ın 12 Ekim tarihinde yayımladığı danışma belgesine göre saldırı zinciri, 32LQ636BPSA ve 27TQ600SW model televizyonlar üzerinde, webOS 7.5.7-25 sürümü ve 04.54.40 donanım yazılımıyla test edildi. LG, sorunu gideren bir güncelleme yayımladı.

Saldırı Nasıl İşliyor?​

Güvenlik açığı zinciri, televizyonun 3001 numaralı bağlantı noktasında açık tuttuğu ve LG ThinQ uygulamasının eşleşme işlemleri için kullandığı bir servisten başlıyor. Saldırgan, cihazda önceden yüklü olarak gelen sync-demo adlı yerleşik uygulamaya ait bir bildirimi, donanım yazılımının güvendiği bir test sertifikasıyla imzalanmış hâliyle yeniden oynatıyor. Bu bildirimdeki bir izin tanımı, eşleşme servisinin PIN doğrulamasını atlamasına ve saldırgana yetkili bir anahtar teslim etmesine neden oluyor.
Saldırgan bu anahtarla birlikte yine yerleşik bir uygulama olan cmp-client'ı başlatıyor ve onu kendi kontrolündeki bir sayfaya yönlendiriyor. Uygulama, gezindiği adresi doğrulamadığından yüklenen sayfa, televizyonun sistem servislerine açılan dahili arayüz PalmServiceBridge'e erişimini sürdürüyor. Bu köprü aracılığıyla saldırgan, sistem günlükleme servisi pmlogd'a ulaşıyor; servis, girdi alanını doğrulamadığından kabuk komutları enjekte etmek mümkün hâle geliyor. pmlogd kök kullanıcı yetkileriyle çalıştığından enjekte edilen komutlar da kök düzeyinde yürütülüyor.

Açığı Keşfeden Araştırmacı ve Yarışma​

Saldırı zinciri, Mayıs ayında Seul'de düzenlenen TyphoonPWN 2026 yarışmasının LG webOS kategorisinde üçüncülük kazanan anonim bir araştırmacı tarafından ortaya kondu. Açıklara henüz CVE tanımlayıcısı atanmadı ve vahşi ortamda herhangi bir istismar vakası bildirilmedi.

Etkilenen Modeller ve Güncelleme Uyarısı​

Zincirin yalnızca iki model üzerinde test edildiği belirtiliyor; diğer modellerin ya da farklı donanım yazılımı sürümlerinin etkilenip etkilenmediği bilinmiyor. Etkilenen televizyonların sahiplerinin donanım yazılımı güncellemesini kontrol etmesi gerekiyor. Güncelleme yapamayan kullanıcılar için şu an geçerli bir geçici çözüm bulunmuyor.

LG webOS'ta Daha Önce de Benzer Açıklar Bulunmuştu​

Bu, yerel ağ saldırı yüzeyinin LG akıllı televizyonlarında kök erişimine yol açtığı ilk durum değil. 2024 yılında Bitdefender, farklı webOS bileşenlerini etkileyen ve ağ üzerinden kimlik doğrulamasız erişime olanak tanıyan ayrı bir güvenlik açığı kümesini kamuoyuyla paylaşmıştı; söz konusu açıklar Mart 2024'te yamalanmıştı. TyphoonPWN 2025'te ise farklı bir bağlantı noktasındaki dizin geçişi açığından yararlanan ayrı bir zincir gösterilmişti.

Sıkça Sorulan Sorular​

Hangi LG televizyon modelleri bu güvenlik açığından etkileniyor?​

Saldırı zinciri, webOS 7.5.7-25 sürümünü ve 04.54.40 donanım yazılımını çalıştıran 32LQ636BPSA ve 27TQ600SW modellerinde test edildi. Diğer modellerin ya da farklı donanım yazılımı sürümlerinin etkilenip etkilenmediği bilinmiyor.

Saldırganın bu açıktan yararlanabilmesi için ne gerekiyor?​

Saldırganın hedef televizyonla aynı yerel ağda bulunması yeterli; herhangi bir PIN girişi ya da televizyon sahibinin etkileşimi gerekmiyor.

LG bu açıkları kapatan bir güncelleme yayımladı mı?​

Evet, LG bir donanım yazılımı güncellemesi yayımladı. Etkilenen cihaz sahiplerinin bu güncellemeyi kontrol etmesi öneriliyor. Güncelleme yapamayan kullanıcılar için şu an geçerli bir geçici çözüm mevcut değil.

Bu açıkların vahşi ortamda istismar edildiğine dair bir bilgi var mı?​

Hayır, SSD Secure Disclosure'ın danışma belgesine göre vahşi ortamda herhangi bir istismar vakası bildirilmedi ve açıklara henüz CVE tanımlayıcısı atanmadı.

LG webOS'ta daha önce de benzer güvenlik açıkları bulunmuş muydu?​

Evet. 2024 yılında Bitdefender, farklı webOS bileşenlerini etkileyen ve ağ üzerinden kimlik doğrulamasız erişime izin veren ayrı bir güvenlik açığı setini açıklamıştı; bu açıklar Mart 2024'te yamalanmıştı. TyphoonPWN 2025'te ise farklı bir bağlantı noktasındaki dizin geçişi açığını kullanan ayrı bir zincir de gösterilmişti.