Otkrivena je ozbiljna ranjivost u OnePlus 6 bootloaderu. Ovaj exploit, koji zahtijeva fizički pristup, zaobilazi sve sigurnosne mjere.
Ažuriranje 6/9/18 14:31 CT: OnePlus je izdao izjavu u vezi s ovom temom.
Ažuriranje 15.6.18. u 10:47: OnePlus se počeo pojavljivati OxygenOS 5.1.7 s popravkom za ranjivost bootloadera.
OnePlus 6 je bio ozvaničen sredinom prošlog mjeseca. Uređaj je tek nedavno počeo dolaziti u ruke potrošača i programera na našim forumima, a već čujemo o poslu koji se radi. An službena verzija TWRP-a je već dostupan i radovi napreduju lijepo na neslužbenom LineageOS 15.1 GSI. OnePlus 6 ne privlači pažnju samo korisnika koji su zainteresirani za uređaj za svoju osobnu upotrebu ili međutim, budući da sigurnosni istraživači počinju pobliže promatrati uređaj kako bi vidjeli što mogu pronaći.
Jedan takav istraživač, Jason Donenfeld, predsjednik Edge Security LLC, također poznat na XDA kao zx2c4, otkrio je ranjivost na uređaju koja mu omogućuje pokretanje bilo koje proizvoljno modificirane slike koja
zaobilazi mjere zaštite bootloadera (kao što je zaključani bootloader). (Iskorištavanje ranjivosti zahtijeva fizički pristup uređaju.)Ova ranjivost omogućuje napadaču s fizičkim pristupom i povezanom vezom s računalom da preuzme kontrolu nad uređajem. Ako je slika za pokretanje izmijenjena nesigurnim ADB-om i ADB-om kao rootom prema zadanim postavkama, napadač s fizičkim pristupom imat će potpunu kontrolu nad uređajem. Za razliku od zloglasnog "stražnja vrata" (koja zapravo i nije bila stražnja vrata) na OnePlus 5T, iskorištavanje ove ranjivosti ne zahtijeva da korisnik već ima omogućeno USB otklanjanje pogrešaka. To znači da se napadač samo treba dočepati uređaja—i ništa više—kako bi mu dobio puni pristup ako iskoristi ovu ranjivost na OnePlus 6.
Greška je prijavljena većem broju inženjera OnePlusa, a Jason Donenfeld je potvrdio da je član sigurnosnog tima potvrdio izvješće. Pratit ćemo ovaj slučaj čim bude dostupno više informacija. Nadamo se da će zakrpa za bootloader biti brzo objavljena kako bi se ovaj problem mogao riješiti.
Ažuriranje 1: OnePlus izjava
OnePlus je dao izjavu o tome:
“U OnePlusu ozbiljno shvaćamo sigurnost. U kontaktu smo sa sigurnosnim istraživačem i uskoro će biti objavljeno ažuriranje softvera." - Glasnogovornik OnePlusa
Nastavit ćemo pratiti ovu temu i obavijestit ćemo vas kada ažuriranje softvera bude dostupno.
Ažuriranje 2: Popravak
OnePlus je 15. lipnja počeo predstavljati OxygenOS 5.1.7 za OnePlus 6 s popravak za ranjivost bootloadera.
Ovaj je članak ažuriran kako bi odražavao da napadač treba fizički pristup uređaju, kao i vezanu vezu s računalom kako bi iskoristio ranjivost.