LEXXA: na starší verze ROMek TCL se dají na ruském pda foru stahnout exploity a přes img a USB jdou do TV dostat verze rovnou s TWRP.

Co je znepokojivějšího je pravděpodobnost toho, že tam je krom toho filesystému exponovaného na localhost i celý LAN i regulární root reverse shell, kdy si TV periodicky volá domů a v případě pozivní odpovědi si nezávisle na standardních OTA upgradech může stáhnout libovolný spustitelný kód a ten s root právy potichu spouštět, nebo právě udělat ten shell. Pokud tam ale něco takového je a někdo zjistí, jak to funguje, tak pokud to nemá nějaké ověřování signatur nebo certificate pinning tak přes MITM proxy by mohlo jít tento proces hijacknout a přes něj získat code execution a pushnout do zařízení co je libo.

Dneska jsem analýzou databáze modelů objevenou na tom exponovaném filesystému zjistil, že stejná ROMka je distribuovaná na stovky modelů TV (235) a to nejen obrandované přímo TCL, ale i jejich dalšími brandy - Thomson, HiSense ap. Seznam co jsem v té ROMce vydoloval jsem hodil na
Some models have different open port for webserver with root fs (7983) · Issue #1 · sickcodes/security · GitHub
https://github.com/sickcodes/security/issues/1
do komentáře.
Je to ale rok stará ROMka takže to neobsahuje modely uvedené od té doby.

Kdo máte TCL Android TV doporučuji prozatím odpojit od internetu a případně změnit hesla ke službám do kterých jste se na těchto čínských štěnicích přihlašovali. Nebo minimálně tam nedělat nic citlivého, mít připojené jen do sítě pro hosty, a na firewallu routeru pro tyto TV velmi striktně povolit jen naprosto nutné IP adresy a služby aby vám běžel dejme tomu Netflix nebo Youtube.

Kritické bugy např. CVE-2020-27403 co tam @sickcodes před pár týdny objevili a snažili se je víceméně marně TCL nahlásit úspěšně zametají pod koberec a já teď přišel na to, že jednu z těch kritických děr patrně opravují tak, že webserver co exponuje jakékoli neprivilegované aplikaci v televizi (a dříve i komukoli na celé LAN) úplně celý filesystem jen přesunuli o pár portů vedle aby to už vypadalo, že CVE je vyřešené.

Víc s objeviteli původních zranitelností řeším na https://twitter.com/brozkeff/status/1332850973778333697 a možná se to podaří rozmáznout i v médiích.

Prakticky zranitelnost, i pokud by webserver exponující filesystem s root právy byl už nabindován jen na localhost a ne i na LAN IP jako předtím je pořád zásadní problém. Jak @sickcodes na Twitteru vysvětluje, "if anyone is wondering why this is extraordinary, it's because it allows apps to view photos, possibly read SMS, access location data, browsing history, etc. But without asking for Android permissions to do so"

JIMX: kup si k nemu normalni klavesnici, kdo by si lamal prsty na notebooku

LAUNCHER: přesně ... není nic horšího, když si koupím novej notebook a mám byť o trochu jiný layout klávesnice a musím převykat "prstní" automatismy ... natož něco takového chtít měnit dobrovolně :-)

LAUNCHER: já teda při programování neměl s tím altem žádný problém :-) Beztak jak na CZ, tak US klávesnici hromadu těch znaků máš se shiftem (druhá závorka/jiný typ závorky, apostrofy, uvozovky...), takže jestli zmáčkneš shift + něco nebo alt + něco je za mě úplně stejné... Navíc zrovna ty (s výjimkou asi $ u PHP/Perlu), co jsou na US klávesnici psatelné přímo a na CZ s altem nejsou typicky na každém řádku. Já se právě historicky naučil psát všechno na CZ klávesnici, včetně těhlech divnoznaků... takže mám stejnou klávesnici všude, napíšu s ní všechno (včetně programování) a nemám pocit, že by mě rychlost psaní někde v něčem limitovala...