Badacz znalazł luki w smartfonach. Producent znalazł problem z badaczem

Badacz bezpieczeństwa Rasmus Moorats odkrył dwie luki w oprogramowaniu OnePlus, które pozwalają złośliwej aplikacji na uzyskanie uprawnień roota zapewniających pełną kontrolę nad smartfonem. Posiadacze urządzeń OnePlus powinni więc zachować szczególną ostrożność i sprawdzać czy programy, które instalują pochodzą z pewnych źródeł.

Aplikacja nie potrzebuje żadnych specjalnych uprawnień ani dodatkowych zgód użytkownika. Wystarczy, że zostanie zainstalowana i uruchomiona na telefonie. Nie można jednak wykorzystać tej metody zdalnie przez internet, ponieważ atakujący musi wcześniej doprowadzić do instalacji złośliwego programu.

Jak działają luki w smartfonach OnePlus

Moorats odkrył pierwszą lukę w usłudze AtlasService, która działa z uprawnieniami root i przyjmuje żądania od dowolnych aplikacji. Specjalnie przygotowane żądanie może przekazać dane do narzędzia diagnostycznego OnePlus, które wykorzystuje otrzymany tekst jako część polecenia systemowego.

W oprogramowaniu OnePlus odkryto luki, które pozwalają na nadanie najwyższych uprawnień w systemie.

W efekcie aplikacja otrzymuje dostęp root, choć początkowo jest on ograniczony do specjalnego środowiska systemowego dumpstate. To właśnie druga luka pozwala jednak pójść znacznie dalej.

OnePlus wykorzystuje usługę olc2, czyli pomocniczy komponent sprzętowy wyposażony w funkcję wykonywania poleceń powłoki. Jej zabezpieczenie zakłada, że wywołujący posiada już uprawnienia root. Pierwsza luka dostarcza więc brakującego poziomu dostępu, a druga pozwala wykorzystać go do uruchamiania dowolnych poleceń z pełnymi uprawnieniami systemu Linux.

Duża kontrola nad urządzeniem

Taki atak może zapewnić aplikacji bardzo szeroką kontrolę nad telefonem, włącznie z możliwością ładowania kodu do jądra systemu. Moorats przeprowadził test na niemodyfikowanym smartfonie i potwierdził także, że działa na starszym OnePlus 12 Pro. Luka może dotykać jednak znacznie większej grupy urządzeń wyposażonych w OxygenOS 16.

Badacz wykrywa luki i dostaje ostrzeżenie od OnePlus

OnePlus potwierdził istnienie luk już 20 maja 2026 roku, ale do 24 września nie udostępnił poprawki ani nie nadał im numerów CVE. Firma poinformowała badacza, że sama chce decydować o terminie ujawnienia podatności i ostrzegła go przed możliwymi konsekwencjami prawnymi jeżeli opublikuje szczegóły podatności bez zgody producenta.

Według Mooratsa zgłoszenie zostało wysłane 18 kwietnia. W czerwcu badacz zgodził się wstrzymać publikację informacji o podatnościach do 17 września. Jednak po braku reakcji ze strony producenta zdecydował się ujawnić szczegóły 24 września.

Istotne ograniczenie

Luka nie pozwala na bezpośredni atak przez internet, ale jej wykorzystanie nie wymaga od złośliwej aplikacji żadnych uprawnień. Do czasu wydania poprawki, z którą OnePlus zdaje się nie spieszyć użytkownicy smartfonów tej marki są narażeni na niebezpieczeństwo. Samo podejście marki do ujawniania podatności i czasu na ich eliminację również budzi zastrzeżenia.