Yamaqlanmamış OnePlus boşluqları quraşdırılmış istənilən tətbiqə root verir

Ən son OxygenOS versiyası işləyən OnePlus 15-ə quraşdırılmış tətbiq, istifadəçidən heç bir icazə istəmədən cihaz üzərində root səviyyəsində giriş əldə edə bilir. Təhlükəsizlik tədqiqatçısı Rasmus Moorats OnePlus-ın öz proqram təminatındakı iki boşluğu zəncirləyib və nəticələrini şirkətin yamaq buraxmamasından sonra 2026-cı il sentyabrın 24-də dərc edib.

OnePlus hər iki boşluğu may ayında təsdiqləyib və tədqiqatçıya eyni problemin özünün daha çox cihazına və OPPO telefonlarına da aid olduğunu bildirib. Şirkət hansı modellərin təsirləndiyini açıqlamayıb.

Boşluqlar necə zəncirlənir

İlk zəiflik OnePlus-ın sazlama məlumatlarını toplayan AtlasService xidmətindədir. Xidmət root hüquqları ilə işləyir və telefondakı hər tətbiqdən gələn çağırışları kimin müraciət etdiyini yoxlamadan qəbul edir. Xüsusi hazırlanmış çağırış tətbiqin verdiyi mətni yoxlanılmadan sistem əmrinə əlavə edən OnePlus sazlama alətinə çatır.

Bu, tətbiqə root verir, amma yalnız dumpstate adlı məhdud sistem zonasında; orada root-un adi hüquqları tam işləmir. İşi ikinci boşluq tamamlayır: olc2 adlı aparat köməkçisi xidməti aldığı hər shell təlimatını icra edir və yeganə qoruma çağıranın artıq root olmasıdır. Bu dəfə əmr Linux-un bütün aşağı səviyyəli imtiyazlarını, o cümlədən nüvə kodunu yükləmə imkanını verən zonada icra olunur.

Lokal hücum, xəbərdarlıq və yamaq yoxdur

Hücum lokaldır: zərərli tətbiq əvvəlcə telefona quraşdırılmalı və işləməlidir, ona görə onu internetdən işə salmaq mümkün deyil. Bununla belə tətbiq heç bir icazə istəmir və istifadəçiyə heç bir pəncərə göstərmir. Moorats zənciri köhnə OnePlus 12 Pro-da da təsdiqləyib və problemin ümumilikdə OxygenOS 16-ya aid olduğunu güman edir.

Tədqiqatçının sözlərinə görə, boşluqların real hücumda istifadə edildiyinə dair sübut yoxdur. Dərc anında OnePlus boşluqlara CVE təyin etməmiş, yamaq buraxmamış və onları adlandıran heç bir bülleten dərc etməmişdi. Yamaq çıxana qədər yeganə praktik müdafiə hücumun özündən asılı olduğu addımdır: tətbiqləri yalnız etibarlı mənbələrdən quraşdırın.

Açıqlama mübahisəsi və xronologiya

Moorats-ın tam şəkildə dərc etdiyi may cavabında OnePlus yamağın planlaşdırıldığını bildirib, lakin boşluqların açıqlanmasına dair müstəsna son hüquq iddiasını irəli sürüb və icazəsiz dərcə görə hüquqi məsuliyyət barədə xəbərdarlıq edib. Şirkətin arqumentinə görə, Avropa qaydaları istehsalçıları hesabatları qəbul etməyə və düzəltməyə borclu edir, lakin tədqiqatçılara onları istehsalçının razılığı olmadan açıqlamağa imkan vermir.

Moorats hər iki boşluq barədə 2026-cı il aprelin 18-də məlumat verib. OnePlus onları mayın 20-də təsdiqləyib, iyunun 22-də yamaqla bağlı yeniləmə verib və tədqiqatçı sentyabrın 17-dək dərc etməməyə razılaşıb. İyulun 20-də və sentyabrın 11-də o, yeniləmə istəyib və cavab almayıb, sentyabrın 24-də isə dərc edib. Oxşar hallar əvvəllər də olub: avqustda Calif şirkətinin tədqiqatçısı Lukas Maar icazəsiz tətbiqlə Samsung, Xiaomi, OPPO, OnePlus və Realme-nin kilidli telefonlarında root əldə edib.