חוקר אבטחה חשף שתי פגיעויות משורשרות במכשירי OnePlus המריצות OxygenOS, שמאפשרות לאפליקציה שהותקנה במכשיר להשיג הרשאות רוט מלאות בלי לבקש אף הרשאה חריגה. OnePlus אישרה את הבעיה עוד במאי 2026, אך נכון לפרסום עדיין לא יצא תיקון.
| מזהה | לא הוקצה מספר CVE |
| מוצרים מושפעים | OnePlus 15 ו-OnePlus 12 Pro על OxygenOS 16; לפי החוקר גם מכשירי OPPO מסוימים מושפעים |
| חומרה | לא פורסם ציון CVSS — הפגיעות מאפשרת עליית הרשאות לרוט מלא |
| מנוצל בפועל | לא דווח על ניצול בשטח; הפרטים פורסמו לציבור על ידי החוקר |
| סטטוס תיקון | אין תיקון זמין נכון לפרסום |
מה קרה
החוקר Rasmus Moorats מצא ששירות דיבוג פנימי בשם AtlasService, הרץ בהרשאות רוט, מקבל קריאות מכל אפליקציה בלי בדיקת הרשאה, ומעביר טקסט בלתי מסונן לתוך פקודות מערכת. כך אפשר להגיע להרשאות רוט חלקיות דרך אזור דיבוג פנימי. משם, שירות חומרה נוסף בשם olc2 מריץ כל פקודת מעטפת שמגיעה מתהליך שכבר רץ כרוט — ומאפשר להשלים את ההשתלטות עד כדי טעינת קוד ברמת הליבה.
שרשור שתי הפגיעויות הופך אפליקציה רגילה, בלי אף הרשאה חשודה, לכלי שיכול להשתלט לחלוטין על המכשיר. ההתקפה דורשת התקנה מקומית של אפליקציה זדונית ואינה יכולה להתפשט מרחוק.
נקודות לשים לב
- אין עדיין תיקון — ההגנה המעשית היחידה כרגע היא להימנע מהתקנת אפליקציות ממקורות שאינכם סומכים עליהם, כולל קבצי APK מחוץ לחנות הרשמית.
- אם אתם מנהלים מכשירי OnePlus או OPPO בארגון, שקלו להגביל התקנת אפליקציות למקורות מאושרים בלבד עד לפרסום תיקון.
- ההתקפה לא פועלת מרחוק ולא דרך רשת — היא מחייבת שהמשתמש יתקין בעצמו אפליקציה זדונית, כך שההדרכה למשתמשים על מקורות אפליקציות עדיין הגנה אפקטיבית.
- עקבו אחרי עדכוני OxygenOS הקרובים — OnePlus אישרה את הבעיה כבר במאי, כך שתיקון עשוי לצאת בכל עת.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
