Cinco meses, duas falhas, nenhuma correção: uma aplicação sem permissões consegue dominar um OnePlus
Cinco meses e seis dias. Foi o tempo que Rasmus Moorats guardou para si aquilo que tinha encontrado nos telemóveis OnePlus, e continua a não existir correção.
Comunicou duas falhas a 18 de abril. A OnePlus confirmou ambas a 20 de maio e, na mesma resposta, explicou-lhe que só a empresa decide quando uma falha se torna pública e que publicar sem autorização poderia acarretar responsabilidade legal. Em junho pediu-lhe que aguardasse até 17 de setembro e ele aceitou. Voltou a escrever a 20 de julho e a 11 de setembro e não obteve resposta. Publicou a 24 de setembro. Sem número CVE, sem aviso, sem correção.
As falhas estão no software da própria OnePlus e não no Android. Um serviço de depuração chamado AtlasService corre como root e aceita chamadas de qualquer aplicação sem verificar quem está a pedir; basta passar-lhe o texto certo e esse texto vai parar diretamente a um comando do sistema. A aplicação fica assim com root, mas dentro de uma zona restrita. Um segundo serviço, um auxiliar de hardware chamado olc2, executa qualquer comando de consola que receba desde que quem chama já seja root, e executa-o com todos os privilégios Linux de baixo nível, incluindo o carregamento de código do núcleo. Encadeadas, fazem com que uma aplicação que instalou, que não pediu qualquer permissão e não lhe mostrou qualquer janela, acabe dona do telemóvel. Moorats confirmou-o num OnePlus 15 com OxygenOS atual e num OnePlus 12 Pro mais antigo, e espera que abranja o OxygenOS 16 em geral. A OnePlus disse-lhe que há também dispositivos OPPO afetados, sem precisar quais.
Ainda ninguém foi apanhado a usar isto. E é preciso uma coisa que depende inteiramente de si: uma aplicação maliciosa realmente instalada no telemóvel. Ou seja, ficheiros APK instalados à mão e páginas de loja a que chegou a partir de um anúncio em vez de ser pela própria Play Store. A análise de rede do Tendvane mostra-lhe pelo menos todos os aparelhos ligados ao Wi-Fi de casa, telemóveis incluídos, para que saiba o que anda por lá.