Súlyos biztonsági rést fedeztek fel a OnePlus 6 rendszerbetöltőjében. Ez a fizikai hozzáférést igénylő kihasználás megkerül minden biztonsági intézkedést.
Frissítés: 6/9/18, 14:31 CT: A OnePlus közleményt adott ki a témával kapcsolatban.
Frissítés: 18.06.15 10:47: A OnePlus elkezdődött OxygenOS 5.1.7 a rendszerbetöltő biztonsági résének javításával.
A OnePlus 6 volt hivatalossá tették a múlt hónap közepén. Az eszköz csak nemrégiben kezdett eljutni a fogyasztók és a fejlesztők kezébe a fórumainkon, és már most hallunk az elvégzett munkáról. An A TWRP hivatalos buildje már elérhető, és a munka folyamatban van szépen egy nem hivatalos LineageOS 15.1 GSI-n. A OnePlus 6 nem csak az eszköz iránt érdeklődő felhasználók figyelmét kapja személyes használatra, ill projektek, azonban a biztonsági kutatók kezdik alaposabban megvizsgálni az eszközt, hogy lássák, mit tudnak megtalálja.
Az egyik ilyen kutató, Jason Donenfeld, a szervezet elnöke Edge Security LLC, az XDA-n más néven zx2c4, egy sebezhetőséget fedezett fel az eszközön, amely lehetővé teszi bármely tetszőleges módosított kép elindítását
megkerüli a rendszerbetöltő védelmi intézkedéseket (például egy zárolt rendszerbetöltő). (A sérülékenység kihasználásához fizikai hozzáférés szükséges az eszközhöz.)Ez a biztonsági rés lehetővé teszi, hogy a fizikai hozzáféréssel és számítógéphez internetkapcsolattal rendelkező támadó átvegye az eszköz irányítását. Ha a rendszerindító lemezkép nem biztonságos ADB-vel és alapértelmezés szerint ADB-vel módosult, akkor egy támadó fizikai hozzáféréssel teljes ellenőrzése lesz az eszköz felett. Ellentétben a hírhedt "hátsó ajtó" (ami valójában nem egy hátsó ajtó volt) a OnePlus 5T-n, a sérülékenység kihasználásához nem szükséges, hogy a felhasználó már engedélyezze az USB hibakeresést. Ez azt jelenti, hogy a támadónak csak a kezébe kell vennie az eszközt – és semmi mást – ahhoz, hogy teljes hozzáférést kapjon hozzá, ha kihasználja a OnePlus 6 biztonsági rését.
A hibát jelentették a OnePlus több mérnökének, és Jason Donenfeld megerősítette, hogy a biztonsági csapat egyik tagja tudomásul vette a jelentést. Amint további információ áll rendelkezésre, nyomon követjük az ügyet. Reméljük, hogy gyorsan kiadnak egy javítást a rendszerbetöltőhöz, hogy a probléma megoldható legyen.
1. frissítés: OnePlus nyilatkozat
A OnePlus nyilatkozatot tett az üggyel kapcsolatban:
„A OnePlusnál komolyan vesszük a biztonságot. Kapcsolatba lépünk a biztonsági kutatóval, és hamarosan megjelenik egy szoftverfrissítés." - A OnePlus szóvivője
Továbbra is követjük ezt a témát, és frissítjük, amint elérhető lesz a szoftverfrissítés.
2. frissítés: Javítás
A OnePlus június 15-én megkezdte az OxygenOS 5.1.7 bevezetését a OnePlus 6-hoz. egy javítás a rendszerbetöltő sebezhetősége miatt.
Ezt a cikket frissítettük, hogy tükrözze, hogy a támadónak fizikai hozzáférésre van szüksége az eszközhöz, valamint internetkapcsolatra van szüksége a számítógéphez a biztonsági rés kihasználásához.