VDB-11236 · OSVDB 100011 · GCVE-100-11236

LG Smart TV Collection of Watching Info 弱い暗号化

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
7.3	$0-$5k	0.00

要約情報

脆弱性が問題があるとして分類され、LG Smart TVで発見されました。対象となるのは不明な関数コンポーネントCollection of Watching Infoのです。操作結果として弱い暗号化につながります。攻撃はリモートで開始される場合があります。この脆弱性は、その経緯と評価から歴史的なインパクトがあります。構成設定の変更を推奨します。

脆弱性が問題があるとして分類され、LG Smart TVで発見されました。対象となるのは不明な関数コンポーネントCollection of Watching Infoのです。操作結果として弱い暗号化につながります。この脆弱性に対応するCWEの定義は CWE-312 です。バグは2013年11月18日に発見されました。この脆弱性は 2013年11月18日に公開されました、DoctorBeetによって、LG Smart TVs logging USB filenames and viewing info to LG serversとして、Blog Postとして（Blogspot）。アドバイザリーは doctorbeet.blogspot.ch から入手可能です。ベンダーは一般向けリリースの調整に関与しませんでした。

攻撃はリモートで開始される場合があります。技術詳細は存在しません。この脆弱性の一般的な利用度は平均を下回っています。今のところ、エクスプロイトの価格はおよそUSD $0-$5kと推定されます。この脆弱性は、MITRE ATT&CKプロジェクトによって T1555 に割り当てられました。この脆弱性は、その経緯と評価から歴史的なインパクトがあります。勧告では次の点が指摘されています：

This information appears to be sent back unencrypted and in the clear to LG every time you change channel, even if you have gone to the trouble of changing the setting to switch collection of viewing information off. It was at this point, I made an even more disturbing find within the packet data dumps. I noticed filenames were being posted to LG's servers and that these filenames were ones stored on my external USB hard drive.

未定義として設定されています。 0-dayとして、アンダーグラウンドでの推定価格は$5k-$25k程度でした。

構成設定の変更を推奨します。脆弱性が開示されてからすぐに経過後に、対策が提供されました。