חוקר האבטחה רסמוס מוראטס חשף השבוע שתי פרצות במערכת ההפעלה OxygenOS של OnePlus. כשמשלבים אותן, אפליקציה זדונית יכולה לקבל הרשאות רוט (root), שהן רמת השליטה הגבוהה ביותר בטלפון אנדרואיד. במילים פשוטות: אפליקציה שלא מבקשת מהמשתמש אף הרשאה ולא מציגה שום חלון אישור, יכולה בשקט לפרוץ את מנגנון ההגנה של אנדרואיד ולהשיג שליטה כמעט מלאה במכשיר.
מוראטס פיתח את הפריצה על OnePlus 12 Pro ישן. אחר כך התקין את אותה אפליקציה בדיוק על ה-OnePlus 15 הפרטי שלו, מכשיר שלא עבר שום שינוי, והיא עבדה כבר בניסיון הראשון. הבעיה לא נמצאת באנדרואיד עצמה, אלא בתוכנה שOnePlus מוסיפה מעליה. הרכיב הראשון הוא שירות לאיסוף נתוני דיבאג בשם AtlasService, שרץ עם הרשאות רוט ומקבל פקודות מכל אפליקציה בלי לבדוק מי שולחת אותן. הרכיב השני הוא שירות חומרה בשם olc2, שמריץ כל פקודה שמגיעה אליו, כל עוד היא מגיעה מתהליך בעל הרשאות רוט.
החלק המטריד באמת הוא ההתנהלות של החברה. מוראטס דיווח על הפרצות עוד ב-18 באפריל. ב-20 במאי אישרה OnePlus את נכונותן, ואף ציינה שהן פוגעות במכשירים רבים של OnePlus ושל אופו (Oppo), שמשתמשות בתוכנה משותפת.
ברם, באותו מייל בדיוק הודיעה החברה לחוקר שהזכות הבלעדית להחליט על חשיפת הפרצה שמורה לה, ולה בלבד, שזו טענה מוזרה. לדבריה, אסור לו לפרסם ניתוח טכני גם אחרי שהתיקון יופץ, והיא איימה לנקוט נגדו צעדים משפטיים אם יפרסם בלי אישורה. החברה אף טענה שרגולציית הסייבר האירופית אוסרת על חוקרים לחשוף פרצות ללא הסכמת היצרן.
לבקשת החברה הסכים מוראטס לדחות את הפרסום עד 17 בספטמבר, אך פניותיו לקבלת עדכון ביולי ובספטמבר לא נענו. ב-24 בספטמבר הוא פרסם את הממצאים. נכון למועד הפרסום לא הונפק לפרצה מזהה CVE, ואילו OnePlus לא פרסמה הודעת אבטחה רשמית בנושא.
החדשות הטובות הן שמוראטס אישר ששתי הפרצות תוקנו ב-OnePlus 15 בגרסה OxygenOS 16.0.10.500(EX01). החדשות הפחות טובות: OnePlus עדיין לא פרסמה רשימה של הדגמים והגרסאות הפגיעים, כך שבעלי מכשירי OnePlus ואופו אחרים לא יודעים אם הם חשופים. לפי שעה אין עדות לניצול הפרצה בפועל, אבל אם יש לכם מכשיר מהדורות האחרונים של OnePlus או אופו מומלץ מאוד לעדכנו בטלאי האבטחה האחרונים מיד עם צאתם.