Lỗ hổng chưa vá trên OnePlus cho phép ứng dụng Android cài sẵn giành quyền root
"A researcher disclosed two unpatched OnePlus OxygenOS flaws that can be chained by a locally installed malicious Android app with no special permissions to gain root access. The first bug in AtlasService allows command injection into a root-running debugging service, and the second in olc2 enables arbitrary shell execution, together resulting in full device-level control; OnePlus had not assigned a CVE or released a fix at the time of publication."
Rủi ro leo thang đặc quyền lên root trên thiết bị Android; có thể dẫn tới kiểm soát hệ thống hoàn toàn nếu bị khai thác thành công.
Có thể ảnh hưởng đến thiết bị người dùng cuối và làm tăng rủi ro rò rỉ dữ liệu; cần chú ý với đội ngũ dùng OnePlus/OPPO trong môi trường doanh nghiệp.
Một nhà nghiên cứu đã công bố hai lỗ hổng chưa được vá trong OxygenOS của OnePlus, có thể bị chuỗi khai thác bởi một ứng dụng Android cài đặt cục bộ mà không cần quyền đặc biệt. Theo mô tả, lỗi đầu tiên nằm trong AtlasService, cho phép chèn lệnh vào một dịch vụ gỡ lỗi chạy với quyền root. Lỗi thứ hai trong olc2 cho phép thực thi shell command tùy ý. Khi kết hợp, chúng có thể dẫn tới kiểm soát toàn bộ thiết bị ở cấp hệ thống.
Nhà nghiên cứu cho biết cuộc tấn công chỉ hoạt động khi ứng dụng độc hại đã được cài trên máy, nên không thể khai thác từ xa qua Internet. Tuy vậy, ứng dụng không cần xin quyền và không hiển thị cảnh báo cho người dùng. Bài viết cũng nêu rằng OnePlus chưa gán CVE và chưa phát hành bản vá tại thời điểm công bố.
Khuyến nghị trước mắt là chỉ cài ứng dụng từ nguồn tin cậy, rà soát ứng dụng đã cài trên thiết bị, và theo dõi thông báo bảo mật từ OnePlus/OPPO. Với môi trường doanh nghiệp, nên tăng cường kiểm soát ứng dụng trên thiết bị di động và ưu tiên cập nhật ngay khi có bản sửa lỗi.