En alvorlig sårbarhed i OnePlus 6 bootloader er blevet opdaget. Denne udnyttelse, som kræver fysisk adgang, omgår alle sikkerhedsforanstaltninger.
Opdatering 6/9/18 14:31 CT: OnePlus har udsendt en erklæring om dette emne.
Opdatering 15/6/18 10:47: OnePlus er begyndt at rulle ud OxygenOS 5.1.7 med en rettelse til bootloader-sårbarheden.
OnePlus 6 var gjort officielt i midten af sidste måned. Enheden er først for nylig begyndt at komme i hænderne på forbrugere og udviklere på vores fora, og allerede nu hører vi om det arbejde, der bliver gjort. An officiel konstruktion af TWRP er allerede tilgængelig, og arbejdet skrider frem pænt på en uofficiel LineageOS 15.1 GSI. OnePlus 6 får ikke kun opmærksomhed fra brugere, der er interesserede i enheden til deres personlige brug eller projekter, da sikkerhedsforskere er begyndt at se nærmere på enheden for at se, hvad de kan Find.
En sådan forsker, Jason Donenfeld, præsident for Edge Security LLC, også kendt på XDA som zx2c4, har opdaget en sårbarhed på enheden, der giver ham mulighed for at starte ethvert vilkårligt modificeret billede, der
omgår bootloader-beskyttelsesforanstaltninger (såsom en låst bootloader). (Udnyttelse af sårbarheden kræver fysisk adgang til enheden).Denne sårbarhed gør det muligt for en hacker med fysisk adgang og en forbundne forbindelse til en pc at tage kontrol over enheden. Hvis opstartsbilledet er ændret med usikker ADB og ADB som root som standard, så er en angriber med fysisk adgang vil have total kontrol over enheden. I modsætning til det berygtede"bagdør" (som egentlig ikke var en bagdør) på OnePlus 5T kræver udnyttelse af denne sårbarhed ikke, at brugeren allerede har USB-fejlfinding aktiveret. Det betyder, at en angriber kun behøver at få fingrene i enheden – og intet mere – for at få fuld adgang til den, hvis de udnytter denne sårbarhed på OnePlus 6.
Fejlen blev rapporteret til flere ingeniører af OnePlus, og Jason Donenfeld har bekræftet, at et medlem af sikkerhedsteamet har anerkendte rapporten. Vi vil følge op på denne sag, når der kommer mere information. Vi håber, at der hurtigt bliver frigivet en patch til bootloaderen, så dette problem kan løses.
Opdatering 1: OnePlus-erklæring
OnePlus har afgivet en erklæring om sagen:
"Vi tager sikkerhed alvorligt hos OnePlus. Vi er i kontakt med sikkerhedsforskeren, og en softwareopdatering vil snart blive udrullet." - OnePlus talsmand
Vi vil fortsætte med at følge dette emne og opdatere dig, når en softwareopdatering er tilgængelig.
Opdatering 2: Fix
OnePlus er begyndt at udrulle OxygenOS 5.1.7 til OnePlus 6 den 15. juni med en rettelse for bootloader-sårbarheden.
Denne artikel blev opdateret for at afspejle, at en hacker har brug for fysisk adgang til enheden samt en forbundne forbindelse til en pc for at udnytte sårbarheden.