Le chercheur démontre deux défaillances OxygenOS dans OnePlus 15 qui permettent la racine avec l'application locale

Un chercheur en sécurité, Rasmus Moorats, a montré qu'un OnePlus 15 avec la dernière version d'OxygenOS peut être pris entièrement par une application malveillante que le propriétaire installe volontairement, même si cette application ne demande pas de permis spéciaux. Moorats enchaîné deux échecs dans le logiciel OnePlus propre pour grimper les privilèges à racine - le plus haut niveau de contrôle sur un téléphone Android - et publié ses conclusions le 24 Septembre après plusieurs mois de communication avec la société. OnePlus a confirmé en mai l'existence des deux vulnérabilités et a déclaré que des problèmes similaires affectent davantage ses modèles et d'autres de OPPO, bien qu'il n'ait pas identifié lesquels.

En termes techniques, la chaîne d'exploitation utilise deux services OxygenOS préinstallés. Le premier est AtlasService, un service qui collecte des données de débogage et, selon Moorats, fonctionne avec des privilèges root et accepte les appels de toute application sans vérifier l'identité de l'appelant. Une requête spécialement construite atteint un outil de nettoyage qui prend le texte fourni par l'application et l'insère sans assainissement dans une commande système. Cette seule erreur confère des privilèges de racine dans une zone du système appelée état ; c'est une racine fonctionnelle mais restreinte. La deuxième défaillance est indépendante et complémentaire : un service matériel appelé olc2 qui offre une interface pour exécuter des commandes shell. Votre seule barrière est de vérifier que l'appelant a déjà des privilèges root. Avec la première vulnérabilité vous obtenez cette racine dans l'état, et avec la seconde vous exécutez une commande dans un contexte qui accorde des privilèges Linux de bas niveau, y compris la possibilité de charger du code dans le noyau. Le résultat final est le contrôle au niveau du système sur l'appareil.

Il est important de noter que l'attaque est locale : besoins que l'application malveillante a été installée et fonctionne sur le téléphone; il ne peut pas être lancé à distance sur Internet sans interaction locale. Cependant, les conditions pour que l'application démarre l'opération sont minimes: selon le chercheur, il ne demande pas de permis spéciaux ou ne montre aucun avis à l'utilisateur, et il a travaillé sur un téléphone série sans aucune modification.

Les faits confirmés dans la chronologie fournie par Moorats sont clairs: la notification initiale à OnePlus était le 18 avril; la société a confirmé les manquements le 20 mai et, dans cette communication, a déclaré qu'elle contrôlerait la divulgation et que la publication sans son consentement pourrait entraîner une responsabilité juridique. OnePlus a indiqué qu'il prévoyait une correction, a demandé à Moorats de tenir et lui a donné une date jusqu'à ce qu'il ne publie pas; quand cette date est venue et il n'y avait pas d'arrangement public, Moorats publié le 24 septembre. Au moment de sa divulgation, il n'y avait pas de CVE ou de patch attribué disponible, selon son compte. Moorats a également reproduit la chaîne dans un OnePlus 12 Pro et estime que le problème affecte généralement OxygenOS 16; OnePlus et OPPO partagent une base logicielle qui expliquerait la couverture entre les marques.

Ce qui est connu avec certitude et ce qui n'est pas: il est confirmé que Moorats trouvé et combiné deux défaillances dans les services OxygenOS qui permettent de grimper à racine quand une application malveillante est installée. Il est également confirmé qu'OnePlus a été informé, reconnu les échecs en mai et mis en garde contre la divulgation. Il est confirmé que, selon Moorats, il n'y a aucune preuve publique d'exploitation dans le monde réel jusqu'à la date de sa publication. En ce qui concerne la portée exacte des dispositifs concernés et les dates des patchs, cela reste incertain: OnePlus n'a pas publié de liste de modèles ni d'avis technique public, et n'a pas fourni de calendrier de correction vérifiable au moment de la divulgation.

Les conséquences pratiques pour les utilisateurs et les administrateurs sont claires dans le modèle de menace de cet échec: un attaquant doit seulement convaincre ou tromper le propriétaire d'installer une application localement - par exemple, par un chargement latéral, un paquet de fixation ou un lien pour installer en dehors des magasins officiels - et cette application peut être discrètement élevée à racine sans demander la permission. Avec la racine et la capacité de charger le code du noyau, un attaquant peut installer une persistance profonde, désactiver les contrôles de sécurité, accéder aux données cryptées en mémoire et cacher sa présence. Dans les environnements d'entreprise qui est équivalent à perdre le contrôle de l'appareil et potentiellement accès aux systèmes de l'entreprise si le téléphone est utilisé pour l'authentification ou le courrier.

La vraie difficulté d'exploiter ce vecteur est dans la première étape : installer l'application malveillante. Jusqu'à ce que les fournisseurs publient et déploient des correctifs, la défense la plus pratique et efficace pour les utilisateurs finaux est de limiter l'installation des applications aux sources de confiance. Évitez le chargement latéral, n'installez pas APKS de tiers et utilisez des magasins de protection officiels (comme Google Play avec Play Protect) réduit considérablement le risque. La chaîne décrite par Moorats ne prospère pas sans une application locale installée.

Recommandations spécifiques et vérifiables pour les utilisateurs:

1) Ne pas installer d'applications en dehors des magasins officiels et, si nécessaire, vérifier l'origine et la signature de l'APK. Désactiver l'installation à partir de « origines inconnues » dans les paramètres du système lorsque ce n'est pas nécessaire. 2) Gardez le débogage USB désactivé à moins d'utiliser activement et surveiller les périphériques connectés: le débogage ouvert facilite l'installation de logiciels indésirables. 3) examiner régulièrement les applications installées (réglage → applications) et supprimer tout ce que vous ne reconnaissez pas; utiliser des outils de réputation comme Google Play Protect. 4) Sauvegarder et maintenir une image récente des données importantes au cas où une restauration d'usine serait nécessaire. 5) Pour les entreprises: mettre en œuvre des politiques MDM qui bloquent l'installation d'applications non approuvées et limitent les modes de développement sur les appareils d'entreprise.

Pour les chercheurs et les professionnels de la sécurité, le cas soulève également une discussion sur les pratiques de divulgation responsables. OnePlus a déclaré que la décision finale sur le moment de publier les vulnérabilités lui correspond - une position que Moorats a rejouée dans son échange et qui a causé la menace d'actions en justice si elle publiait - et que les normes européennes exigent l'acceptation et la correction des rapports mais ne permettent pas la divulgation par les chercheurs sans le consentement du fabricant. Cette interprétation juridique est controversée au sein de la collectivité de la sécurité, qui préconise souvent une divulgation coordonnée avec des délais raisonnables si le fournisseur n'applique pas de correctifs. Pour des conseils sur les bonnes pratiques de sensibilisation, il existe des documents publics provenant d'organismes comme ENISA: ENISA - Divulgation coordonnée de la vulnérabilité, et pour les aspects techniques d'Android et d'atténuation de la sécurité, la documentation officielle est disponible: Sécurité Android - source.android.com.

Enfin, si vous pensez que votre appareil OnePlus ou OPPO peut être compromis ou a installé des applications douteuses, envisagez de réinstaller le système à partir de l'image officielle ou de restaurer aux valeurs d'usine et, si possible, attendez l'avis du fabricant et le patch avant de réinstaller des applications en dehors du magasin officiel. Il est également conseillé de garder un œil sur les canaux officiels OnePlus pour un avis de sécurité et patch: l'entreprise a un site Web de support et des politiques de sécurité où des mises à jour et des procédures d'atténuation devraient être publiées - par exemple, son centre de sécurité ou support technique - Assistance et sécurité OnePlus.

Le cas met en évidence une réalité récurrente sur les appareils Android avec des couches de fabricant: tout code supplémentaire fonctionnant avec des privilèges élevés multiplie la surface d'attaque. Jusqu'à ce que les fournisseurs publient des corrections et des listes de modèles touchés, la meilleure défense est l'hygiène numérique de l'utilisateur et, pour les organisations, les politiques techniques qui limitent les installations et les privilèges.