Pięć miesięcy, dwie luki, zero poprawek: aplikacja bez żadnych uprawnień może przejąć telefon OnePlus

Pięć miesięcy i sześć dni. Tyle Rasmus Moorats trzymał dla siebie to, co znalazł w telefonach OnePlus, a poprawki wciąż nie ma.

Dwie luki zgłosił 18 kwietnia. OnePlus potwierdził obie 20 maja i w tej samej odpowiedzi napisał, że tylko firma decyduje, kiedy luka staje się jawna, a publikacja bez jej zgody może pociągnąć odpowiedzialność prawną. W czerwcu poprosiła o wstrzymanie się do 17 września i badacz się zgodził. Pisał ponownie 20 lipca i 11 września, odpowiedzi nie dostał. Opublikował 24 września. Bez numeru CVE, bez komunikatu, bez poprawki.

Luki siedzą we własnym oprogramowaniu OnePlus, nie w Androidzie. Usługa diagnostyczna o nazwie AtlasService działa jako root i przyjmuje wywołania od dowolnej aplikacji, nie sprawdzając, kto pyta; wystarczy podać jej odpowiedni tekst, a ten tekst trafia prosto do polecenia systemowego. Aplikacja dostaje w ten sposób root, ale w strefie o ograniczonych prawach. Druga usługa, pomocnik sprzętowy o nazwie olc2, wykonuje dowolne polecenie powłoki, jakie dostanie, o ile wywołujący ma już root, i wykonuje je z pełnymi niskopoziomowymi uprawnieniami Linuksa, łącznie z ładowaniem kodu jądra. Połączone w łańcuch dają efekt taki, że aplikacja, którą sami zainstalowaliście, która nie prosiła o żadne uprawnienia i nie pokazała żadnego okienka, na koniec jest właścicielem telefonu. Moorats potwierdził to na OnePlus 15 z aktualnym OxygenOS oraz na starszym OnePlus 12 Pro i spodziewa się, że dotyczy to OxygenOS 16 w ogóle. OnePlus powiedział mu, że problem obejmuje też urządzenia OPPO, nie precyzując które.

Nikogo jeszcze nie przyłapano na wykorzystywaniu tego. Potrzebna jest przy tym jedna rzecz, nad którą macie pełną kontrolę: złośliwa aplikacja faktycznie zainstalowana na telefonie. Czyli pliki APK instalowane ręcznie i strony sklepu, do których trafiliście z reklamy, a nie przez sam Play Store. Skanowanie sieci w Tendvane pokazuje przynajmniej każde urządzenie w domowym Wi-Fi, telefony włącznie, więc wiecie, co tam wisi.