È stata scoperta una grave vulnerabilità nel bootloader di OnePlus 6. Questo exploit, che richiede l'accesso fisico, aggira tutte le misure di sicurezza.
Aggiornamento 09/06/18 14:31 CT: OnePlus ha rilasciato una dichiarazione in merito a questo argomento.
Aggiornamento 15/06/18 10:47: OnePlus ha iniziato a essere lanciato OxygenOS 5.1.7 con una correzione per la vulnerabilità del bootloader.
Il OnePlus 6 lo era ufficializzato a metà del mese scorso. Il dispositivo ha iniziato solo di recente a farsi strada nelle mani di consumatori e sviluppatori sui nostri forum e già sentiamo parlare del lavoro che viene svolto. UN build ufficiale della TWRP è già disponibile e i lavori procedono bene su un LineageOS 15.1 GSI non ufficiale. OnePlus 6 non sta ricevendo attenzione solo da parte degli utenti interessati al dispositivo per uso personale o progetti, tuttavia, poiché i ricercatori sulla sicurezza stanno iniziando a dare un'occhiata più da vicino al dispositivo per vedere cosa possono fare Trovare.
Uno di questi ricercatori, Jason Donenfeld, presidente dell' Edge Security LLC, noto anche su XDA come zx2c4, ha scoperto una vulnerabilità sul dispositivo che gli consente di avviare qualsiasi immagine modificata arbitrariamente ignora le misure di protezione del bootloader (come un bootloader bloccato). (Lo sfruttamento della vulnerabilità richiede l'accesso fisico al dispositivo.)
Questa vulnerabilità consente a un utente malintenzionato con accesso fisico e connessione cablata a un PC di assumere il controllo del dispositivo. Se l'immagine di avvio viene modificata con ADB non sicuro e ADB come root per impostazione predefinita, si tratta di un utente malintenzionato con accesso fisico avrà il controllo totale del dispositivo. A differenza del famigerato"porta sul retro" (che non era realmente una backdoor) su OnePlus 5T, lo sfruttamento di questa vulnerabilità non richiede che l'utente abbia già abilitato il debug USB. Ciò significa che un utente malintenzionato deve solo mettere le mani sul dispositivo, e niente di più, per ottenerne l'accesso completo se sfrutta questa vulnerabilità su OnePlus 6.
Il bug è stato segnalato a più ingegneri di OnePlus e Jason Donenfeld ha confermato che un membro del team di sicurezza lo ha fatto ha preso atto della relazione. Daremo seguito a questo argomento non appena saranno disponibili ulteriori informazioni. Ci auguriamo che venga rilasciata rapidamente una patch per il bootloader in modo che questo problema possa essere risolto.
Aggiornamento 1: Dichiarazione OnePlus
OnePlus ha rilasciato una dichiarazione in merito:
"Noi di OnePlus prendiamo sul serio la sicurezza. Siamo in contatto con il ricercatore sulla sicurezza e a breve verrà rilasciato un aggiornamento software." - Portavoce di OnePlus
Continueremo a seguire questo argomento e ti aggiorneremo non appena sarà disponibile un aggiornamento software.
Aggiornamento 2: correzione
OnePlus ha iniziato a lanciare OxygenOS 5.1.7 per OnePlus 6 il 15 giugno con una correzione per la vulnerabilità del bootloader.
Questo articolo è stato aggiornato per riflettere che un utente malintenzionato ha bisogno dell'accesso fisico al dispositivo e di una connessione cablata a un PC per sfruttare la vulnerabilità.