VDB-11236 · OSVDB 100011 · GCVE-100-11236

LG Smart TV Collection of Watching Info schwache Verschlüsselung

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
7.3$0-$5k0.00

Zusammenfassunginfo

Eine Schwachstelle wurde in LG Smart TV ausgemacht. Sie wurde als problematisch eingestuft. Davon betroffen ist unbekannter Code der Komponente Collection of Watching Info. Durch das Beeinflussen mit unbekannten Daten kann eine schwache Verschlüsselung-Schwachstelle ausgenutzt werden. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es steht kein Exploit zur Verfügung. Diese Schwachstelle ist wegen ihres Hintergrunds und ihrer Aufnahme von historischer Relevanz. Es wird geraten, die Konfigurationseinstellungen zu ändern.

Detailsinfo

In LG Smart TV - eine genaue Versionsangabe ist nicht möglich - (Digital Media Player) wurde eine kritische Schwachstelle gefunden. Das betrifft ein unbekannter Codeblock der Komponente Collection of Watching Info. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine schwache Verschlüsselung-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-312. Mit Auswirkungen muss man rechnen für die Vertraulichkeit.

Entdeckt wurde das Problem am 18.11.2013. Die Schwachstelle wurde am 18.11.2013 durch DoctorBeet als LG Smart TVs logging USB filenames and viewing info to LG servers in Form eines nicht definierten Blog Posts (Blogspot) an die Öffentlichkeit getragen. Das Advisory kann von doctorbeet.blogspot.ch heruntergeladen werden. Die Veröffentlichung wurde ohne Zusammenarbeit mit dem Hersteller durchgeführt. Sie gilt als leicht ausnutzbar. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $0-$5k kostet (Preisberechnung vom 08.10.2018). Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1555. Diese Schwachstelle gilt aufgrund ihrer speziellen Ausprägung als historisch interessant. Das Advisory weist darauf hin:

This information appears to be sent back unencrypted and in the clear to LG every time you change channel, even if you have gone to the trouble of changing the setting to switch collection of viewing information off. It was at this point, I made an even more disturbing find within the packet data dumps. I noticed filenames were being posted to LG's servers and that these filenames were ones stored on my external USB hard drive.
Von der Hersteller-Webseite: "LG Smart Ad analysiert die liebsten Programme der User, ihr Verhalten online, ihre Suchbegriffe und andere Informationen, damit das Gerät gezielt Werbung für die Zielgruppe machen kann. Zum Beispiel kann LG Smart Ad schnittige Anzüge für Herren bewerben oder attraktive Kosmetika sowie Düfte für Frauen anzeigen. Zudem bietet LG Smart Ad nützliche und diverse Werbe-Performance-Tools. Dies können Live Broadcasting Ads nicht. Damit kann die Effizienz der Werbung genauestens festgestellt werden."

Mit der Einstellung kann das Problem adressiert werden. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Es wurde offensichtlich unmittelbar reagiert. Nachfolgende Liste an Domains kann genutzt werden, um die Überwachung einzuschränken: ad.lgappstv.com, yumenetworks.com, smartclip.net, smartclip.com, smartshare.lgtvsdp.com and ibis.lgappstv.com.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von OSVDB (100011†) dokumentiert. Zusätzliche Informationen finden sich unter scip.ch. Once again VulDB remains the best source for vulnerability data.

Produktinfo

Typ

Hersteller

Name

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.5
VulDB Meta Temp Score: 7.3

VulDB Base Score: 7.5
VulDB Temp Score: 7.3
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Schwache Verschlüsselung
CWE: CWE-312 / CWE-310
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Config
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Timelineinfo

18.11.2013 🔍
18.11.2013 +0 Tage 🔍
18.11.2013 +0 Tage 🔍
25.11.2013 +7 Tage 🔍
08.10.2018 +1778 Tage 🔍

Quelleninfo

Advisory: LG Smart TVs logging USB filenames and viewing info to LG servers
Person: DoctorBeet
Status: Nicht definiert

GCVE (VulDB): GCVE-100-11236
OSVDB: 100011

Diverses: 🔍

Eintraginfo

Erstellt: 25.11.2013 08:40
Aktualisierung: 08.10.2018 14:57
Anpassungen: 25.11.2013 08:40 (51), 08.10.2018 14:57 (2)
Komplett: 🔍
Editor:
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Want to stay up to date on a daily basis?

Enable the mail alert feature now!