Investigadores de seguridad han descubierto una cadena de tres vulnerabilidades en LG webOS que permite a un atacante en la misma red local obtener acceso de administrador (root) en algunos televisores inteligentes de LG sin necesidad de PIN ni autenticación previa.
La cadena fue presentada en TyphoonPWN 2026 por un investigador independiente que obtuvo el tercer puesto en la categoría LG webOS. Afecta a los modelos LG 32LQ636BPSA y LG 27TQ600SW con webOS 7.5.7-25 y firmware 04.54.40. LG ya ha publicado un parche a través de su portal de seguridad. El ataque se ejecuta en tres fases encadenadas que, juntas, convierten un televisor conectado a la red doméstica en un sistema completamente comprometido.
Fase 1: suplantación del manifiesto firmado de sync-demo para obtener una clave de cliente
El primer eslabón explota la confianza que el servicio de suscripción (SSG) de webOS deposita en los manifiestos firmados por LG. La aplicación integrada com.webos.app.sync-demo contiene un manifiesto firmado con el certificado test-signing-cert.pem, que el firmware de los modelos afectados sigue considerando válido.
El atacante reproduce ese manifiesto durante el proceso de registro. SSG verifica la firma, la acepta y copia los permisos firmados en el nuevo perfil de cliente. Entre esos permisos está STB_INTERNAL_CONNECTION, una marca que, según la lógica de ClientProfileManager.isPromptRequired(), hace que el sistema omita la solicitud de PIN y emita una client-key de nivel SECURE sin interacción del usuario.
El resultado es una clave de cliente con privilegios elevados que el atacante puede usar para las siguientes fases.
Fase 2: redirección de cmp-client y salto a servicios internos de Luna
Con la clave en su poder, el atacante lanza la aplicación com.webos.app.cmp-client con un parámetro interactiveUrl que apunta a una página bajo su control. La aplicación realiza una petición HEAD a esa URL, comprueba que la respuesta es correcta y navega hacia ella. No hay validación de esquema, ni lista blanca de hosts, ni restricción de origen.
La página maliciosa se carga dentro de la misma instancia de la aplicación. Eso significa que conserva el acceso a PalmServiceBridge, el puente que permite a las aplicaciones webOS invocar servicios Luna. cmp-client es una aplicación de confianza con acceso ACG público y privado, y con permisos amplios de salida. La página del atacante puede, por tanto, llamar a métodos Luna que el cliente WSS original no podría invocar directamente.
Fase 3: inyección de comandos en pmlogd para ejecutar código como root
El tercer eslabón explota el servicio pmlogd, que construye cadenas de comandos de shell a partir de los campos targetDir y targetFile recibidos en la llamada collectAllLog. El código vulnerable usa snprintf para componer instrucciones como rm -rf y tar -zcvf y luego las ejecuta con system(). No hay validación de los valores ni restricción a rutas seguras.
Si el atacante envía un targetDir como X;id > /tmp/pwn.txt 2>&1;#, el shell ejecuta el comando inyectado entre el prefijo inofensivo y el sufijo comentado. Como PmLogDaemon se ejecuta como root, el comando inyectado también se ejecuta como root. El investigador ha publicado un PoC en Python que automatiza las tres fases y confirma la ejecución con uid=0(root) en el archivo de prueba.
¿Qué modelos están afectados y cómo protegerse?
Los modelos confirmados como vulnerables son el LG 32LQ636BPSA y el LG 27TQ600SW, ambos con webOS 7.5.7-25 y firmware 04.54.40. LG ha publicado un parche en su portal de seguridad (lgsecurity.lge.com) que corrige las tres vulnerabilidades. Los usuarios de esos modelos deberían comprobar si su televisor tiene una actualización de firmware disponible y aplicarla.
La mitigación a corto plazo pasa por aislar el televisor en una VLAN separada o restringir su acceso a la red local. El ataque requiere que el atacante esté en la misma red que el televisor, por lo que la segmentación de red reduce significativamente la superficie de exposición. También es recomendable deshabilitar las aplicaciones y servicios de desarrollo que no se utilicen, si el televisor lo permite.
¿Por qué esta cadena es relevante?
La cadena combina tres fallos que, por separado, podrían parecer menores. El primero es una confianza excesiva en un manifiesto de prueba que nunca debería haberse mantenido en producción. El segundo es una falta de validación de URL en una aplicación con acceso a servicios internos. El tercero es una inyección de comandos clásica en un servicio que se ejecuta con los máximos privilegios.
Lo que hace peligrosa la cadena es la combinación: el primer fallo otorga la clave, el segundo amplía el alcance, el tercero ejecuta el código. Ninguno de los tres, por sí solo, habría permitido el compromiso completo. Juntos, convierten un televisor en un punto de entrada para un atacante que ya esté dentro de la red local.
LG ha corregido los tres fallos. El investigador que los descubrió ha recibido el reconocimiento de la compañía. La lección para la industria es la de siempre: los componentes de prueba y los certificados de desarrollo no deben llegar a producción, y las aplicaciones con acceso a servicios internos deben validar todo lo que reciben del exterior.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
