Krytyczna luka bezpieczeństwa w kamerach LG bez możliwości naprawy

Setki kamer bezpieczeństwa LG Innotek LNV5110R są narażone na zdalne ataki hakerskie z powodu niepłatanej luki umożliwiającej nieautoryzowane zdalne wykonywanie kodu.

Szczegóły zagrożenia

Amerykańska Agencja Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) ujawniła w czwartek istnienie krytycznej luki bezpieczeństwa w kamerach LG Innotek model LNV5110R¹. Podatność, oznaczona jako CVE-2025-7742, otrzymała ocenę "wysokiej ważności" i pozwala napastnikom na pominięcie uwierzytelniania w celu uzyskania dostępu administracyjnego do urządzenia¹².

Mechanizm ataku

Luka polega na obejściu uwierzytelniania przynatywnej ścieżki lub kanału (CWE-288)². Napastnik może wykorzystać tę podatność poprzez przesłanie specjalnie spreparowanego żądania HTTP POST do pamięci nieulotnej urządzenia¹². Skutkiem tego działania może być zdalne wykonywanie kodu z podwyższonymi uprawnieniami administratora¹.

Jak wyjaśnia odkrywca luki, badacz bezpieczeństwa Souvik Kandar z firmy MicroSec: "To jest pełna, niewymagająca uwierzytelnienia luka zdalnego wykonywania kodu. Napastnik może przesłać reverse shell bez żadnego logowania, uzyskać uprawnienia administratora, wykonać dowolne polecenia Linux i użyć urządzenia jako platformy startowej do infiltracji wewnętrznych sieci"¹.

Skala problemu

Według badań przeprowadzonych przez Souvik Kandara, około 1300 kamer jest dostępnych w internecie i podatnych na zdalne włamania¹³. Urządzenia te są wykorzystywane na całym świecie, w tym w sektorze obiektów komercyjnych zaliczanym do infrastruktury krytycznej¹².

Możliwości napastników

Eksploitacja tej luki umożliwia atakującym:

• Dostęp do transmisji na żywo z kamer bezpieczeństwa¹
• Zakłócenie działania lub całkowite wyłączenie urządzeń¹
• Wykonywanie dowolnych poleceń na poziomie administratora systemu¹
• Wykorzystanie skompromitowanego urządzenia jako punktu wejścia do szerszych ataków na sieć wewnętrzną¹

Ocena ryzyka

Podatność otrzymała następujące oceny w systemach CVSS:

• CVSS v3.1: 7.0 (Wysokie zagrożenie)²
• CVSS v4: 8.3 (Wysokie zagrożenie)²⁴

Wektor ataku według CVSS v4: AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N², co oznacza:

• Atak możliwy przez sieć (Network)
• Wysoka złożoność ataku
• Brak wymaganych uprawnień
• Brak wymaganej interakcji użytkownika

Brak dostępnej łatki

Najbardziej alarmującym aspektem tej sytuacji jest fakt, że LG Innotek nie udostępni poprawki bezpieczeństwa. Firma została powiadomiona o luce, ale stwierdziła, że produkt osiągnął koniec życia (end-of-life) i nie może być już łatany¹².

CISA podkreśla w swoim komunikacie: "LG Innotek jest świadome luki, ale zauważa, że jest to produkt wycofany z produkcji, który nie może być już łatany"².

Zalecenia bezpieczeństwa

W obliczu braku dostępnej łatki, CISA rekomenduje następujące środki obronne²:

Segmentacja sieci

• Minimalizacja ekspozycji sieciowej wszystkich urządzeń sterujących
• Izolacja od internetu - upewnienie się, że kamery nie są dostępne z sieci publicznej
• Umieszczenie za zaporami ogniowymi i odizolowanie od sieci biznesowych

Bezpieczny dostęp zdalny

• W przypadku konieczności zdalnego dostępu, używanie bezpiecznych metod takich jak VPN
• Aktualizowanie VPN do najnowszych wersji
• Pamiętanie, że VPN jest tak bezpieczny, jak urządzenia do niego podłączone

Monitorowanie i reakcja

• Przeprowadzenie odpowiedniej analizy wpływu przed wdrożeniem środków obronnych
• Monitoring ruchu sieciowego w poszukiwaniu podejrzanych aktywności
• Zgłaszanie podejrzanych działań do CISA zgodnie z ustalonymi procedurami

Kontekst branżowy

Ta sytuacja jest emblematyczna dla szerszego problemu w branży urządzeń IoT i systemów nadzoru. Jak zauważają badacze bezpieczeństwa, cykle życia oprogramowania często są krótsze niż żywotność fizyczna tych produktów, szczególnie w sektorach gdzie cykle modernizacji są rzadkie lub kosztowne⁵.

Poprzednie problemy z urządzeniami LG

To nie pierwszy przypadek wykrycia luk bezpieczeństwa w produktach LG. W przeszłości firma mierzyła się z podobnymi problemami:

• W 2017 roku Check Point odkrył podatność "HomeHack" w aplikacji SmartThinQ, która umożliwiała przejęcie kontroli nad urządzeniami domowymi⁶
• W 2024 roku Bitdefender znalazł luki w telewizorach LG z systemem webOS, które mogły pozwolić na uzyskanie dostępu root⁷

Działania badacza Souvik Kandara

Souvik Kandar, badacz bezpieczeństwa z firmy MicroSec, który odkrył tę lukę, jest uznanym ekspertem w dziedzinie bezpieczeństwa IoT i OT. W 2025 roku zgłosił już 50 podatności¹, w tym luki w inteligentnych systemach pogodowych, czujnikach sejsmicznych, systemach morskich, routerach i urządzeniach OT¹.

Kandar jest również autorem odkryć w produktach firm AutomationDirect, Instantel i Lantronix przeznaczonych dla środowisk przemysłowych¹⁸. Jego badania są koordynowane przez Idaho National Laboratory (INL) i CISA, co podkreśla ich znaczenie dla bezpieczeństwa infrastruktury krytycznej⁹.

Wnioski i rekomendacje

Przypadek kamer LG Innotek LNV5110R stanowi ostrzeżenie dla całej branży dotyczące zarządzania cyklem życia produktów IoT. Organizacje wykorzystujące takie urządzenia powinny:

1. Opracować strategie zarządzania końcem życia produktów z uwzględnieniem aspektów bezpieczeństwa
2. Regularnie przeprowadzać audyty wszystkich urządzeń sieciowych w swojej infrastrukturze
3. Wdrożyć zasady Defense-in-Depth zgodnie z zaleceniami CISA
4. Planować wymianę urządzeń przed zakończeniem wsparcia przez producenta

Brak możliwości załatania tej krytycznej luki stanowi poważne zagrożenie dla bezpieczeństwa infrastruktury krytycznej na całym świecie. Organizacje używające tych kamer powinny niezwłocznie rozważyć ich wymianę lub wdrożenie zdecydowanych środków kompensacyjnych w celu minimalizacji ryzyka cyberataków.

⁂

Footnotes

1. https://www.securityweek.com/no-patch-for-flaw-exposing-hundreds-of-lg-cameras-to-remote-hacking/ ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴ ↩¹⁵

2. https://www.cisa.gov/news-events/ics-advisories/icsa-25-205-04 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰

3. https://securityaffairs.com/180368/security/unpatched-flaw-in-eol-lg-lnv5110r-cameras-lets-hackers-gain-admin-access.html ↩

4. https://www.tenable.com/cve/CVE-2025-7742 ↩

5. https://windowsforum.com/threads/lg-innotek-lnv5110r-camera-vulnerability-end-of-life-risks-cybersecurity-challenges.374685/latest ↩

6. https://blog.checkpoint.com/security/homehack-how-hackers-could-have-taken-control-of-lgs-iot-home-appliances/ ↩

7. https://arstechnica.com/security/2024/04/patches-released-for-as-many-as-91000-hackable-lg-tvs-exposed-to-the-internet/ ↩

8. https://www.securityweek.com/lantronix-device-used-in-critical-infrastructure-exposes-systems-to-remote-hacking/ ↩

9. https://www.linkedin.com/posts/souvik-kandar_cybersecurity-zeroday-inl-activity-7321608281225891840-UBR1 ↩