Unpatched OnePlus Flaws Let Installed Android Apps Gain Root Without Permissions
The Hacker News · 24 sept, 20:10
Un investigador de seguridad descubrió dos fallos sin parchar en OnePlus que permiten a cualquier aplicación instalada obtener acceso root sin solicitar permisos especiales. OnePlus confirmó las vulnerabilidades en mayo pero se negó a publicarlas sin su consentimiento, argumentando derechos exclusivos de divulgación. El investigador publicó el 24 de septiembre sin que existiera parche disponible, desafiando las amenazas legales de la empresa.
Los dos fallos forman una cadena de ataque local. El primero reside en AtlasService, un servicio de depuración de OnePlus que se ejecuta como root y acepta llamadas sin verificar el origen: permite pasar comandos de texto sin validar a una herramienta de depuración que los ejecuta directamente. Esto otorga acceso root limitado dentro de dumpstate. El segundo fallo está en olc2, un servicio auxiliar de hardware que ejecuta cualquier instrucción shell si el llamante ya es root, condición que el primer fallo proporciona. Esta ejecución ocurre en una zona con privilegios Linux totales, incluida la capacidad de cargar código del kernel.
El ataque requiere que una aplicación maliciosa esté instalada y en ejecución, pero no necesita permisos ni muestra solicitudes al usuario. Moorats confirmó el fallo en OnePlus 15 y OnePlus 12 Pro, y espera que afecte a toda OxygenOS 16. OnePlus advirtió que el mismo problema existe en dispositivos OPPO sin especificar cuáles. No hay pruebas de explotación en la naturaleza. El proceso de divulgación duró cinco meses: reportado el 18 de abril, confirmado el 20 de mayo con advertencias legales, actualización el 22 de junio con promesa de no publicar antes del 17 de septiembre, silencio en julio y septiembre, y publicación el 24 de septiembre sin parche disponible.
Puntos clave
- Afecta OnePlus 15, OnePlus 12 Pro y probablemente toda OxygenOS 16
- Requiere aplicación instalada pero sin permisos ni interacción del usuario
- OnePlus confirmó en mayo, sin parche asignado ni CVE al momento de la divulgación
- Defensa práctica: instalar aplicaciones solo de fuentes confiables hasta que se lance parche
- Caso similar en agosto: investigador mostró técnica diferente que afectaba Samsung, Xiaomi, OPPO, OnePlus y Realme