התגלתה פגיעות רצינית במטען האתחול של OnePlus 6. ניצול זה, הדורש גישה פיזית, עוקף את כל אמצעי האבטחה.
עדכון 6/9/18 14:31 CT: OnePlus פרסמה הצהרה בנוגע לנושא זה.
עדכון 15/6/18 10:47: OnePlus החל לצאת OxygenOS 5.1.7 עם תיקון לפגיעות של טוען האתחול.
ה-OnePlus 6 היה נעשה רשמי באמצע החודש שעבר. המכשיר החל רק לאחרונה לפלס את דרכו לידי צרכנים ומפתחים בפורומים שלנו, וכבר אנו שומעים על העבודה שנעשתה. א המבנה הרשמי של TWRP כבר זמין והעבודה מתקדמת יפה על LineageOS 15.1 GSI לא רשמי. ה-OnePlus 6 לא זוכה רק לתשומת לב ממשתמשים המעוניינים במכשיר לשימושם האישי או עם זאת, פרויקטים כאשר חוקרי אבטחה מתחילים להסתכל מקרוב על המכשיר כדי לראות מה הם יכולים למצוא.
חוקר אחד כזה, ג'ייסון דוננפלד, נשיא Edge Security LLC, ידוע גם ב-XDA בשם zx2c4, גילה פגיעות במכשיר המאפשרת לו לאתחל כל תמונה ששונתה שרירותית עוקף את אמצעי ההגנה של טוען האתחול (כגון טוען אתחול נעול). (ניצול הפגיעות דורש גישה פיזית למכשיר.)
פגיעות זו מאפשרת לתוקף עם גישה פיזית וחיבור קשור למחשב להשתלט על המכשיר. אם תמונת האתחול משתנה עם ADB ו-ADB לא מאובטחים כברירת מחדל, אז תוקף עם גישה פיזית
תהיה שליטה מלאה על המכשיר. שלא כמו הידוע לשמצה"דלת אחורית"(שלא הייתה ממש דלת אחורית) ב-OnePlus 5T, ניצול הפגיעות הזו לא מחייב את המשתמש כבר לאפשר ניפוי באגים ב-USB. המשמעות היא שתוקף רק צריך לשים את ידיו על המכשיר - ותו לא - כדי לקבל גישה מלאה אליו אם הוא מנצל את הפגיעות הזו ב-OnePlus 6.הבאג דווח למספר מהנדסים של OnePlus וג'ייסון דוננפלד אישר שחבר בצוות האבטחה הודה בדיווח. אנו נעקוב אחר עניין זה ככל שמידע נוסף יהיה זמין. אנו מקווים שישוחרר תיקון עבור טוען האתחול במהירות כדי שניתן יהיה לפתור בעיה זו.
עדכון 1: הצהרת OnePlus
OnePlus הציעה הצהרה בנושא:
"אנחנו מתייחסים ברצינות לאבטחה ב-OnePlus. אנחנו בקשר עם חוקר האבטחה, ועדכון תוכנה ייצא בקרוב." - דובר OnePlus
אנו נמשיך לעקוב אחר נושא זה ונעדכן אותך ברגע שיהיה עדכון תוכנה זמין.
עדכון 2: תקן
OnePlus החלה להשיק את OxygenOS 5.1.7 עבור ה-OnePlus 6 ב-15 ביוני עם תיקון עבור הפגיעות של טוען האתחול.
מאמר זה עודכן כדי לשקף שתוקף זקוק לגישה פיזית למכשיר וכן לחיבור קשור למחשב כדי לנצל את הפגיעות.