LG corrige tres fallas en televisores con webOS que daban control total desde la red local sin PIN

Un atacante conectado a la misma red que un televisor LG puede tomar el control total del equipo, con permisos de root, sin conocer el PIN de emparejamiento y sin que el dueño toque nada. Lo logra encadenando tres fallas de webOS, el sistema operativo de los televisores de la marca, según un aviso que SSD Secure Disclosure publicó el 12 de octubre. LG ya publicó una corrección y la enlaza desde su boletín de seguridad para televisores.

Del emparejamiento a root en tres pasos

La puerta de entrada es el servicio que el televisor expone en el puerto 3001, el que usa la aplicación LG ThinQ para emparejar el celular con la pantalla. El primer paso aprovecha una aplicación de demostración que viene instalada, com.webos.app.sync-demo: el atacante reenvía su manifiesto firmado, el televisor acepta la firma, se saltea el pedido de confirmación y le entrega una clave de cliente con privilegios. Según The Hacker News, ese manifiesto está firmado con un certificado de prueba en el que el firmware confía.

Con esa clave, el atacante abre otra aplicación incluida en el sistema, cmp-client, y la apunta a una página propia. La aplicación no revisa a qué dirección navega, y la página cargada conserva acceso a PalmServiceBridge, una interfaz interna que conecta con los servicios del sistema del televisor.

El último paso usa ese puente para llamar a pmlogd, el servicio de registros del sistema. Uno de sus parámetros, targetDir, pasa a comandos de la consola sin ningún control, así que el atacante puede colar sus propias órdenes. Como pmlogd corre como root, los comandos inyectados se ejecutan con control total del televisor.

Dos modelos confirmados y ningún ataque conocido

La cadena se probó en dos modelos, el 32LQ636BPSA y el 27TQ600SW, con webOS 7.5.7-25 y firmware 04.54.40. No se sabe si otros modelos o versiones de firmware están afectados. Las fallas no tienen identificador CVE ni puntaje de gravedad asignado.

Estado de explotación: sin explotación conocida, según The Hacker News. El ataque exige estar en la misma red local: no se lanza desde internet contra un televisor que no exponga ese servicio.

La cadena la presentó un investigador anónimo que salió tercero en la categoría LG webOS de TyphoonPWN 2026, una competencia de hackeo realizada en mayo en Seúl.

No es la primera vez

La red local ya fue el camino a root en televisores LG. En 2024, Bitdefender reveló cuatro fallas de webOS (CVE-2023-6317 a CVE-2023-6320) que también permitían el acceso sin autenticación desde la red, en otros componentes, y que LG corrigió en marzo de ese año. En TyphoonPWN 2025, otra cadena usó un recorrido de directorios en un puerto distinto.

Qué hacer

• Buscar e instalar la actualización de firmware desde la configuración del televisor.
• No hay una medida que corrija la falla sin actualizar. Lo que reduce la exposición es limitar quién se conecta a la misma red: cambiar la clave del wifi si se compartió con visitas y, si el router lo permite, conectar el televisor a una red separada de las computadoras.
• Seguir el boletín de seguridad de LG para televisores, que enlaza la corrección.

Ficha técnica

• CVE y CVSS: sin asignar.
• Tipo: omisión del emparejamiento por reenvío de un manifiesto firmado, navegación sin validar en cmp-client e inyección de comandos en pmlogd (parámetro targetDir).
• Autenticación: no requiere. Atacante en la misma red local, puerto 3001.
• Probado en: LG 32LQ636BPSA y 27TQ600SW, webOS 7.5.7-25, firmware 04.54.40.
• Corrección: publicada por LG; el aviso no informa versiones.
• Aviso: SSD Secure Disclosure, 12 de octubre de 2026.