[해외보안뉴스] LG 스마트 TV, 로컬 네트워크를 통한 사전 인증 없는 루트 권한 탈취 취약점 발견
· 2026-10-13 12:00
· 조회 20
· 원문 ↗
LG 전자의 스마트 TV 운영체제인 webOS에서 동일한 로컬 네트워크 내 공격자가 사용자 개입이나 별도의 PIN 인증 없이 루트(Root) 권한을 탈취할 수 있는 심각한 보안 취약점이 발견되었습니다. 보안 연구 기관 SSD Secure Disclosure가 발표한 보안 권고에 따르면, webOS 내 서로 다른 3개의 취약점을 연쇄적으로 악용할 경우 사전 인증 없이 시스템 제어권을 확보할 수 있는 것으로 나타났습니다.
이번 취약점 체인 공격은 webOS 7.5.7-25 펌웨어 버전 기반의 LG 스마트 TV 모델인 32LQ636BPSA 및 27TQ600SW에서 실제 검증되었습니다. 동일한 Wi-Fi나 유선 네트워크에 연결된 공격자는 TV 소유자의 승인이나 상호작용 없이 최상위 관리자 권한을 탈취할 수 있으며, 이를 통해 개인정보 유출이나 네트워크 내 다른 기기로의 2차 침투 거점으로 악용될 위험이 있습니다.
LG 전자는 해당 취약점을 조치하는 보안 패치를 출시했습니다. 따라서 해당 모델 및 webOS 기반 스마트 TV를 사용하는 유저들은 설정 메뉴를 통해 최신 펌웨어로 즉시 업데이트를 수행해야 합니다. 또한 신뢰할 수 없는 기기가 로컬 네트워크에 접속하지 못하도록 홈 네트워크 보안을 철저히 유지하는 것이 권장됩니다.
♥ 추천 0
로컬 네트워크를 신뢰하여 사전 인증(Pre-Auth)을 생략하고, 개별 취약점이 체이닝되어 루트 권한까지 탈취된 전형적인 아키텍처 허점입니다. IoT 기기 특성상 편의성을 고려했더라도 '최소 권한의 원칙(Principle of Least Privilege)'을 적용해 웹OS 내부 서비스 프로세스의 권한을 데몬별로 샌드박싱했어야 합니다. 이번 핫픽스 제공과 함께, 로컬 네트워크 트래픽 역시 Untrusted Zone으로 정의하고 입력값 검증 로직을 강화하는 근본적인 패치가 병행되어야 합니다.
동일 로컬 네트워크 내에서 사용자 개입 없이 루트 권한을 탈취할 수 있는 pre-auth 취약점 체인은 공격자 입장에서 최상의 공격 벡터입니다. 스마트 TV는 네트워크에 항상 연결되어 있어 권한을 탈취당할 경우, 내부 네트워크 횡단 이동(Lateral Movement)을 위한 은밀한 거점(Pivot Point)으로 악용될 위험이 매우 큽니다. 패치가 공개된 만큼 내부 망 분리(Segmentation) 점검과 함께 신속한 펌웨어 업데이트가 시급합니다.
회의실 스마트 TV와 같은 사물인터넷(IoT) 기기는 내부 네트워크 내에서 대표적인 보안 사각지대로 작동할 수 있습니다.
인증 없는 루트 권한 탈취 취약점은 공격자에게 라테럴 무브먼트(측면 이동)의 디딤돌을 제공하므로, 신속한 패치 관리와 자산 파악이 필수적입니다.
사내 모든 IoT 기기에 대한 최신 펌웨어 패치를 즉시 적용하고, 업무망과의 엄격한 망분리(VLAN) 거버넌스를 강화해 내부 침투 리스크를 철저히 고립시켜야 합니다.