Cinque mesi, due falle, nessuna correzione: un'app senza permessi può impadronirsi di un OnePlus

Cinque mesi e sei giorni. Tanto ha tenuto per sé Rasmus Moorats quello che aveva trovato nei telefoni OnePlus, e una correzione ancora non esiste.

Ha segnalato due falle il 18 aprile. OnePlus le ha confermate entrambe il 20 maggio e, nella stessa risposta, gli ha spiegato che soltanto l'azienda decide quando una falla diventa pubblica e che pubblicare senza permesso potrebbe comportare conseguenze legali. A giugno gli ha chiesto di attendere fino al 17 settembre e lui ha accettato. Ha riscritto il 20 luglio e l'11 settembre senza ricevere risposta. Ha pubblicato il 24 settembre. Nessun numero CVE, nessun avviso, nessuna patch.

Le falle stanno nel software di OnePlus, non in Android. Un servizio di debug chiamato AtlasService gira come root e accetta chiamate da qualsiasi app senza verificare chi stia chiedendo; passategli il testo giusto e quel testo finisce dritto dentro un comando di sistema. Così l'app ottiene root, ma dentro una zona ristretta. Un secondo servizio, un assistente hardware chiamato olc2, esegue qualunque comando shell gli venga passato purché il chiamante sia già root, e lo esegue con tutti i privilegi Linux di basso livello, compreso il caricamento di codice del kernel. Messe in fila, le due falle fanno sì che un'app che avete installato voi, che non ha chiesto alcun permesso e non vi ha mostrato alcuna richiesta, finisca per possedere il telefono. Moorats lo ha confermato su un OnePlus 15 con OxygenOS aggiornato e su un più vecchio OnePlus 12 Pro, e si aspetta che riguardi OxygenOS 16 in generale. OnePlus gli ha detto che sono coinvolti anche dispositivi OPPO, senza precisare quali.

Nessuno è stato ancora colto a sfruttare tutto questo. E serve una cosa che dipende interamente da voi: un'app malevola davvero installata sul telefono. Vuol dire file APK installati a mano e pagine di store raggiunte tramite una pubblicità invece che dal Play Store stesso. La scansione di rete di Tendvane vi mostra almeno ogni dispositivo collegato al Wi-Fi di casa, telefoni compresi, così sapete cosa c'è.