OnePlus-ի չուղղված խոցելիությունները ցանկացած հավելվածի թույլ են տալիս root ստանալ

Վերջին OxygenOS-ով աշխատող OnePlus 15-ում տեղադրված հավելվածը կարող է root մակարդակի հասանելիություն ստանալ սարքի վրա՝ առանց ոչ մի թույլտվություն պահանջելու։ Անվտանգության հետազոտող Rasmus Moorats-ը միավորել է OnePlus-ի սեփական ծրագրային ապահովման երկու խոցելիություն և արդյունքները հրապարակել է սեպտեմբերի 24-ին՝ ընկերության կողմից շտկում չթողարկելուց հետո։

OnePlus-ը մայիսին հաստատել է երկու խոցելիություններն էլ և հետազոտողին հայտնել, որ նույն խնդիրը վերաբերում է իր շատ այլ սարքերին և OPPO-ի հեռախոսներին։ Ընկերությունը չի նշել, թե որ մոդելների մասին է խոսքը։

Ինչպես են խոցելիությունները միանում շղթայի

Առաջին թույլ տեղը OnePlus-ի AtlasService ծառայության մեջ է, որը հավաքում է վրիպազերծման տվյալներ։ Ծառայությունն աշխատում է root իրավունքներով և ընդունում է ցանկացած հավելվածից եկող կանչեր՝ չստուգելով, թե ով է դիմում։ Հատուկ պատրաստված կանչի միջոցով հավելվածի տեքստն առանց ստուգման տեղադրվում է համակարգային հրամանի մեջ։

Դա ինքնին հավելվածին root է տալիս, բայց միայն dumpstate կոչվող սահմանափակ գոտում, որտեղ root-ի սովորական իրավունքները լիարժեք չեն գործում։ Գործը ավարտում է երկրորդ խոցելիությունը. olc2 ապարատային օժանդակ ծառայությունը կատարում է ցանկացած ստացված shell հրահանգ, և միակ պաշտպանությունը այն է, որ կանչողն արդեն պետք է root լինի։ Այս անգամ հրամանը կատարվում է Linux-ի բոլոր ցածր մակարդակի արտոնությունները տվող գոտում, ներառյալ միջուկի կոդը բեռնելու հնարավորությունը։

Տեղական հարձակում՝ առանց ծանուցման և առանց շտկման

Հարձակումը տեղական է. վնասակար հավելվածը նախ պետք է տեղադրված և աշխատող լինի հեռախոսում, ուստի այն հնարավոր չէ գործարկել ինտերնետից։ Սակայն հավելվածը ոչ մի թույլտվություն չի պահանջում և օգտատիրոջը ոչ մի ծանուցում չի ցուցադրում։ Moorats-ը շղթան հաստատել է նաև ավելի հին OnePlus 12 Pro-ում և կարծում է, որ խնդիրը վերաբերում է ամբողջ OxygenOS 16-ին։

Հետազոտողի խոսքով՝ ապացույց չկա, որ խոցելիությունները օգտագործվել են իրական հարձակման մեջ։ Հրապարակման պահին OnePlus-ը խոցելիություններին CVE չէր շնորհել, շտկում չէր թողարկել և ոչ մի տեղեկագիր չէր հրապարակել։ Մինչև շտկումը, միակ գործնական պաշտպանությունը այն քայլն է, որից կախված է հարձակումը. հավելվածներ տեղադրեք միայն վստահելի աղբյուրներից։

Հրապարակման վեճը և ժամանակագրությունը

Մայիսյան պատասխանում, որը Moorats-ը հրապարակել է ամբողջությամբ, OnePlus-ը նշել է, որ շտկումը պլանավորված է, սակայն պահանջել է բացահայտման բացառիկ վերջնական իրավունք և զգուշացրել իրավական պատասխանատվության մասին։ Ընկերության փաստարկով՝ Եվրոպայի կիբերանվտանգության կանոնները արտադրողներին պարտավորեցնում են ընդունել և ուղղել հաղորդումները, սակայն հետազոտողներին թույլ չեն տալիս դրանք բացահայտել առանց արտադրողի համաձայնության։

Moorats-ը խոցելիությունների մասին հայտնել է 2026 թվականի ապրիլի 18-ին։ OnePlus-ը հաստատել է դրանք մայիսի 20-ին, հունիսի 22-ին տվել է շտկման մասին թարմացում, և հետազոտողը համաձայնել է չհրապարակել մինչև սեպտեմբերի 17-ը։ Հուլիսի 20-ին և սեպտեմբերի 11-ին նա թարմացումներ է խնդրել ու պատասխան չի ստացել, ապա հրապարակել է սեպտեմբերի 24-ին։