OnePlus: due falle in OxygenOS 16 davano il root ad app dannose

Un’app dannosa installata su uno smartphone OnePlus poteva ottenere l’accesso root senza chiedere nemmeno un permesso. A scoprirlo è stato il ricercatore di sicurezza Rasmus Moorats, che ha individuato due falle in OxygenOS 16 capaci di far uscire un’app dalla sandbox di Android e di darle il controllo di parti del sistema a cui non dovrebbe mai accedere.

OnePlus e OPPO, come funzionano le falle di OxygenOS 16

Secondo Moorats, OnePlus ha confermato che il problema riguarda diversi dispositivi OnePlus e OPPO, con versioni software differenti, senza però fornire un elenco completo. Il ricercatore ha sviluppato l’exploit su un OnePlus 12 Pro già sbloccato e con root, poi ha installato la stessa app, senza modifiche, su un OnePlus 15 con OxygenOS 16.0.3.503 non moddato: l’attacco ha funzionato al primo tentativo.

Perché l’attacco vada a segno serve che l’utente installi e apra l’app dannosa, che però non ha bisogno di richiedere alcun permesso.

Due componenti, un attacco in sequenza

La prima falla si trova in AtlasService, un servizio in background che raccoglie informazioni diagnostiche e di debug. Gira con privilegi di root ma non controlla quale app gli sta inviando una richiesta: Moorats ha scoperto che un’app può spingere uno strumento di debug audio a interpretare una parte della richiesta come un comando, eseguendolo come root.

Comunque Android limita ciò che il processo così creato può fare, ed è qui che entra in gioco il secondo componente, un servizio di OnePlus chiamato olc2. Questo servizio può eseguire comandi di shell e verifica soltanto quando la richiesta arriva da un processo root: il processo nato da AtlasService supera il controllo e ottiene un controllo molto più ampio sul telefono.

L’exploit ha funzionato su telefoni con versioni del kernel diverse, e per questo Moorats sospetta che le falle riguardino OxygenOS 16 nella sua interezza.

Cinque mesi di attesa e minacce legali

La segnalazione a OnePlus risale al 18 aprile. Rimasto senza alcuna risposta, il ricercatore ha sollecitato l’azienda, che il 20 maggio ha confermato le falle via email e ha fatto sapere che le correzioni erano in programma.

Nella stessa risposta, però, OnePlus ha sostenuto di poter decidere da sola se pubblicare i dettagli tecnici, anche dopo il rilascio delle patch, e che le norme europee sulla sicurezza informatica non consentivano la pubblicazione senza il suo consenso, arrivando a minacciare azioni legali. L’azienda ha poi chiesto altro tempo per preparare le correzioni e Moorats ha accettato di non pubblicare nulla prima del 17 settembre.

Le sue richieste di aggiornamento a luglio e a settembre sono rimaste senza risposta, e il 24 settembre, più di cinque mesi dopo la prima segnalazione, il ricercatore ha pubblicato la sua analisi, con estratti del codice dell’app di prova. Inoltre lo sviluppatore ha anche verificato che l’aggiornamento OxygenOS 16.0.10.500(EX01) ha corretto entrambe le falle su OnePlus 15.

Per tutte le novità sull’ecosistema del brand, trovi i nostri articoli più recenti nella sezione OnePlus di GizChina.it.

Questo articolo OnePlus: due falle in OxygenOS 16 davano il root ad app dannose è stato pubblicato in origine su GizChina.it.