超智能电视漏洞允许攻击者劫持带有任何视频的屏幕

随着越来越多的智能设备在全球销售，消费者应该意识到与所谓的智能设备相关的安全和隐私风险。

说到互联网连接的设备，智能电视是高度发展的设备，它为消费者提供了很多选择，让他们可以享受流媒体、浏览互联网、玩游戏以及在云端保存文件，从技术上讲，它允许你作为一台成熟的个人电脑在上面做任何事情。
显然，在过去几年中，我们已经报道了智能电视如何在未经终端用户明确同意的情况下被用于监视终端用户，远程黑客如何在没有任何物理访问的情况下完全控制大多数智能电视，以及智能电视的缺陷如何允许黑客劫持电视屏幕。

最近，发现以超品牌销售的智能电视易受未打补丁的远程文件包含漏洞的攻击，该漏洞可能允许WiFi攻击者在未经电视验证的情况下向电视屏幕播放假视频。
SUPRA是互联网上一个鲜为人知的俄罗斯电子品牌，生产几种价格合理的音频视频设备、家用电器和汽车电子产品，其中大部分通过俄罗斯、中国、俄罗斯和阿联酋的电子商务网站进行分销。

该漏洞由Dhiraj Mishra发现，并与黑客新闻分享(CVE-2019-12477)由于缺乏身份验证或会话管理，位于超智能云电视的“openLiveURL”功能中。

如PoC URL所示，该漏洞可能允许本地攻击者在广播中插入远程文件，并在没有任何身份验证的情况下显示假视频。

研究人员解释说：“一名合法用户正在观看一些动作电影，攻击者同时触发远程文件包含漏洞，因此攻击者可以完全控制电视，并且可以播放任何内容”。

正如Dhiraj所展示的那样，利用这个漏洞，他可以在电视播放史蒂夫·乔布斯的演讲时播放一个虚假的“紧急警报”，只需使用他的网络浏览器通过PoC URL注入视频文件。
尽管攻击者默认访问受害者WiFi网络的要求在很大程度上限制了威胁，但路由器和物联网漏洞的数量不断增加，仍然使其成为远程攻击者的潜在攻击场景。

尽管该漏洞已获得CVE ID，但不太可能修复。因此，拥有超智能云电视的用户只能确保WiFi网络的安全，像设置强密码一样，避免与不受信任的人共享WiFi密码，并将其他所谓的智能设备置于防火墙后或远离连接到同一网络的互联网。