На смартфоне OnePlus 15 под управлением последней версии OxygenOS можно получить root-права с помощью вредоносного приложения, установленного владельцем, которое не запрашивает никаких специальных разрешений. Исследователь Расмус Мооратс объединил две уязвимости в собственном программном обеспечении OnePlus, чтобы получить root-доступ — максимальный уровень контроля над телефоном на базе Android.
Компания OnePlus сообщила ему, что эти же уязвимости затрагивают гораздо больше её собственных устройств, а также устройств OPPO, хотя и не уточнила, какие именно.
OnePlus подтвердила наличие обеих уязвимостей в мае. В том же ответе компания сообщила Муратсу, что только она сама решает, когда обнародовать информацию об уязвимости, и предупредила, что публикация без её разрешения может повлечь за собой юридическую ответственность. Тем не менее он опубликовал информацию 24 сентября, когда OnePlus ещё не выпустила исправление.
OnePlus изложила свою позицию в ответе, который Муратс опубликовал в полном объеме. В ответе говорилось, что исправление запланировано, но компания заявила о «исключительном окончательном праве на раскрытие уязвимостей» и сообщила ему, что даже после выпуска исправления исследователи не имеют права самостоятельно публиковать полные технические детали.
Компания утверждала, что европейские правила кибербезопасности обязывают производителей принимать и устранять сообщения об уязвимостях, но не позволяют исследователям раскрывать их без согласия производителя. Она предупредила, что в случае публикации без разрешения OnePlus «примет меры по привлечению к соответствующей юридической ответственности в соответствии с действующим законодательством».
Мурац обнаружил первую уязвимость в сервисе OnePlus под названием AtlasService, который собирает данные отладки, работает с правами root и принимает вызовы от любого приложения без проверки источника вызова.
Специально сформированный вызов попадает в инструмент отладки OnePlus, который берет текст приложения и без проверки помещает его в системную команду. Это предоставляет приложению права root, но только в ограниченной системной зоне под названием dumpstate, которая не может выполнять все, что обычно доступно с правами root.
Вторая уязвимость завершает дело. OnePlus поставляет ещё один сервис — аппаратный помощник под названием olc2 — с командой, которая выполняет любую полученную инструкцию оболочки. Единственное ограничение заключается в том, что вызывающий процесс должен уже иметь права root, что обеспечивает первая уязвимость.
На этот раз команда запускается в зоне, предоставляющей все низкоуровневые привилегии Linux, включая возможность загрузки кода ядра, что дает приложению контроль над устройством на системном уровне.
Кто подвержен риску и что можно сделать
Атака носит локальный характер. Сначала на телефоне должно быть установлено и запущено вредоносное приложение, поэтому атаку невозможно осуществить через Интернет. Но как только приложение находится на устройстве, ему не требуются никакие разрешения и оно не выводит пользователю никаких запросов; при этом оно работало на стандартном телефоне, который Моратс не модифицировал.
Нет никаких доказательств того, что кто-либо использовал эти уязвимости в реальной атаке.
Муратс также подтвердил возможность атаки на более старую модель OnePlus 12 Pro и предполагает, что аналогичная проблема присутствует во всей версии OxygenOS 16 в целом. OnePlus и OPPO создают свои телефоны на базе общего программного обеспечения, поэтому предупреждение OnePlus касалось обеих компаний.
На момент публикации информации Муратсом компания OnePlus не присвоила этим уязвимостям номера CVE и не выпустила исправления; также не удалось найти никакого официального уведомления OnePlus, в котором бы упоминались эти уязвимости. До выхода исправления единственной практической мерой защиты является то, что необходимо для запуска атаки: устанавливайте приложения только из надежных источников, поскольку атака не может быть осуществлена без наличия вредоносного приложения на телефоне.
По словам Муратса, раскрытие информации заняло около пяти месяцев:
- 18 апреля 2026 года: сообщил о обоих уязвимостях в OnePlus.
- 20 мая: компания OnePlus подтвердила наличие уязвимостей, заявила о своем исключительном праве на раскрытие информации и предупредила о юридической ответственности в случае публикации.
- 22 июня: OnePlus предоставила обновленную информацию о исправлении и попросила его повременить с публикацией; он согласился не публиковать информацию до 17 сентября.
- 20 июля и 11 сентября: он запросил информацию о ходе работ, но не получил ответа.
- 24 сентября: он опубликовал информацию.
Кстати, это не единственный недавний случай, когда установленное приложение получало права root на флагманских Android-телефонах.
В августе Лукас Маар (Lukas Maar), исследователь из компании Calif, занимающейся вопросами безопасности, продемонстрировал иной метод, при котором приложение, не требующее разрешений, получало root-доступ на заблокированных телефонах с новейшей прошивкой от Samsung, Xiaomi, OPPO, OnePlus и Realme путем атаки на код, добавляемый производителями в Android.
OnePlus и раньше не спешил отвечать исследователям. В 2025 году компания Rapid7 сообщила об отдельной уязвимости в OxygenOS, позволявшей любому приложению считывать текстовые сообщения пользователя, и отметила, что OnePlus не ответил, пока результаты исследования не были обнародованы.