Een aanvaller die zich op hetzelfde lokale netwerk bevindt, kan bij sommige LG Smart TV’s via een keten van kwetsbaarheden in LG webOS kwetsbaar maken. Het resultaat: roottoegang tot het systeem, zonder dat de gebruiker een PIN hoeft in te voeren of actief hoeft mee te doen. SSD Secure Disclosure meldt dat LG inmiddels een fix heeft uitgebracht, maar het is aan eigenaren om de firmware-update door te voeren.
In dit artikel zetten we uiteen hoe de aanval volgens de publicatie precies werkt, welke TV-modellen zijn getest en waarom het vooral belangrijk is om uw webOS-versie up-to-date te houden.
Wat is er aan de hand met LG webOS?
De kwetsbaarheden bevinden zich in webOS van LG. Door ze te combineren kan een aanvaller op het lokale netwerk (dus niet via het internet) de controle over bepaalde smart TV’s naar zich toe trekken. De keten geeft volgens de onderzoekers toegang op root-niveau, en dat zonder PIN of gebruikersinteractie.
Belangrijk detail: er zijn op basis van de testresultaten nog geen duidelijke uitspraken over alle mogelijke modellen en firmwarevarianten. Alleen specifieke configuraties zijn in de publicatie getest.
Welke modellen en versies zijn getest?
Volgens de advisory is de aanval getest op twee LG Smart TV-modellen:
- 32LQ636BPSA
- 27TQ600SW
Deze draaiden op webOS 7.5.7-25 met firmware 04.54.40. Of andere modellen of latere firmware ook geraakt worden, is niet bekendgemaakt in de bron.
Hoe komt een aanvaller binnen: de rol van poort 3001
De ingang voor de aanval is een service die de TV blootstelt op poort 3001. Die service is bedoeld voor de LG ThinQ-app, met name voor pairing (koppelen).
De essentie zit in het feit dat de aanvaller een manifest kan “replayen” uit een ingebouwde applicatie, sync-demo. Dat manifest is ondertekend met een testcertificaat dat door de firmware wordt vertrouwd. Vervolgens bevat het manifest een permissie die ervoor zorgt dat de pairing-service de PIN-prompt overslaat.
Daarmee wordt de gebruiker niet om een PIN gevraagd en krijgt de aanvaller toegang tot een privileged key die normaal niet zomaar beschikbaar is.
Van privileged key naar een app die navigatie misbruikt
Met die privileged key kan de aanvaller een andere ingebouwde app starten, genaamd cmp-client. Vervolgens wijst de aanvaller die app naar een pagina die hij zelf controleert.
Het cruciale beveiligingsprobleem: de app controleert niet waarheen hij navigeert, en de geladen pagina houdt toegang tot PalmServiceBridge. Dit is een interne interface die toegang geeft tot de systeemservices van de TV.
Uiteindelijk root: commands via pmlogd
Via PalmServiceBridge kan de aanvaller een systeemlogdienst aanroepen, pmlogd. Die dienst draait als root. Volgens de advisory kan de aanvaller shellcommands doorgeven via een invoerveld dat niet wordt gevalideerd of gecontroleerd.
Als gevolg daarvan wordt de geïnjecteerde opdracht uitgevoerd met root-rechten. Daarmee is de keten compleet: van lokale netwerktoegang naar volledige systeemcontrole.
Geen CVE’s bekend en (nog) geen misbruik gezien
In de publicatie worden geen CVE-identificaties genoemd. Ook meldt de bron dat er geen uitbuiting in het wild is gerapporteerd.
De aanval is volgens de tekst gedemonstreerd door een anonieme onderzoeker die in de categorie LG webOS bij TyphoonPWN 2026 (mei, Seoul) de derde plaats behaalde. Dat geeft context: het gaat om een technisch onderbouwde proof-of-concept, niet om een massaal actief misbruik op dat moment.
Waarom dit type aanval extra aandacht verdient
Dit is niet de eerste keer dat de lokale netwerktoegankelijkheid van webOS-onderdelen leidt tot vergaande gevolgen. In 2024 publiceerde Bitdefender al een andere set kwetsbaarheden in webOS. Die keten bood ook unauthenticated toegang vanaf het netwerk, maar betrof andere componenten en werd in maart 2024 gepatcht.
Daarnaast liet een separate aanval die later werd gedemonstreerd op TyphoonPWN 2025 zien dat er ook via andere paden en poorten tot problemen kon worden gekomen, waaronder een path traversal-variant.
De rode draad: zodra een TV interne services of pairing-mechanismen onveilig blootstelt, kan één zwakke schakel in de keten leiden tot systeemimpact.
Wat kunt u nu doen als eigenaar?
Er is volgens de advisory geen workaround voor gebruikers die niet kunnen updaten. Daarom is de praktische aanpak: controleer uw firmwareversie en installeer de beschikbare webOS-update.
Concreet betekent dit:
- Ga in de instellingen van de TV naar het onderdeel voor software/frequentie-update.
- Vergelijk de huidige firmware met de versie die LG beschikbaar heeft gesteld (LG publiceert details in de advisories).
- Werk uw systeem bij voordat u de TV verder gebruikt op het lokale netwerk.
Als u meerdere TV’s heeft, controleer ze allemaal. Kwetsbaarheden in webOS-implementaties kunnen afhankelijk zijn van model en patchniveau.
Vergelijkbare trends: securityketens bij apparaten en systemen
Hoewel dit artikel specifiek over LG webOS gaat, past de aanval in een breder patroon dat we vaker zien bij connected devices: aanvallers combineren meerdere zwakke plekken om een zelfstandig exploitpad te bouwen. Dat geldt niet alleen voor TV’s, maar ook voor andere platformen en applicaties.
Als u wilt zien hoe dergelijke ketens of netwerkgerelateerde aanvallen in andere contexten uitpakken, leest u ook:
