Δύο σοβαρά ευρήματα στην τελευταία έκδοση του OxygenOS ενδέχεται να επιτρέψουν σε κακόβουλες εφαρμογές Android να εκτελέσουν κώδικα με δικαιώματα root σε συσκευές OnePlus, συμπεριλαμβανομένου του OnePlus 15.
Το κενό ασφαλείας παράκαμπτει το σύστημα αδειών του Android, επιτρέποντας σε μια εφαρμογή χωρίς καμία έγκριση δικαιωμάτων να αποκτήσει πλήρη έλεγχο της συσκευής μέσω προσβάσιμων υπηρεσιών του συστήματος.
OxygenOS: Ο μηχανισμός της επίθεσης
Το πρόβλημα εντοπίζεται σε προνομιούχες υπηρεσίες του OxygenOS που είναι εκτεθειμένες στις εγκατεστημένες εφαρμογές. Όταν μια υπηρεσία δεν επαληθεύει επαρκώς την ταυτότητα της εφαρμογής που την καλεί ή τα δεδομένα εισόδου, μια κακόβουλη εφαρμογή μπορεί να στείλει ειδικά διαμορφωμένα αιτήματα.
Αυτό επιτρέπει την εκτέλεση κώδικα ως root, παρέχοντας στον επιτιθέμενο τη δυνατότητα να προσπελάσει προστατευμένα δεδομένα, να τροποποιήσει ρυθμίσεις ασφαλείας ή να εγκαταστήσει μόνιμα στοιχεία στο λειτουργικό σύστημα.
Η αντίδραση της κατασκευάστριας εταιρείας
Ο ερευνητής Rasmus Moorats υπέβαλε τα ευρήματα στην OnePlus, η οποία επιβεβαίωσε την εγκυρότητα της αναφοράς και δρομολόγησε τη διόρθωσή τους. Η ομάδα ασφαλείας της εταιρείας σημείωσε ότι το ζήτημα επηρεάζει το ευρύτερο οικοσύστημα συσκευών της OPPO, καθώς οι ευάλωτες υπηρεσίες είναι κοινές μεταξύ των προϊόντων της.
Η εταιρεία ζήτησε να μην δημοσιοποιηθούν τεχνικές λεπτομέρειες εκμετάλλευσης πριν και μετά τη διάθεση των ενημερώσεων, ενώ προγραμματίζει επίσημη ανακοίνωση μόλις ολοκληρωθεί η κάλυψη των κενών.
Συστάσεις για τους χρήστες
Οι χρήστες καλούνται να εγκαταστήσουν άμεσα τις ενημερώσεις ασφαλείας του OxygenOS μόλις γίνουν διαθέσιμες. Μέχρι τη δημοσίευση των διορθωτικών εκδόσεων, συνιστάται η αποφυγή εγκατάστασης εφαρμογών από ανεπίσημες πηγές, ο έλεγχος των ήδη εγκατεστημένων εφαρμογών και η αφαίρεση λογισμικού από άγνωστους δημιουργούς.
Το περιστατικό αναδεικνύει τους κινδύνους που εγκυμονούν οι προνομιούχες υπηρεσίες των κατασκευαστών, όπου ένα μόνο ευάλωτο σημείο μπορεί να ακυρώσει τα μέτρα προστασίας του βασικού λειτουργικού συστήματος.
