ל-OnePlus Nord 2 יש פגיעות המעניקה גישה למעטפת שורש בתוך דקות על טוען אתחול נעול, ללא מחיקת נתונים

הרבה מאיתנו כאן ב-XDA-Developers התחלנו לגלוש בפורומים בפעם הראשונה כשחיפשנו שורש מכשירי האנדרואיד שלנו. באותם ימים, אנשים הסתמכו לעתים קרובות על שיטות "שורש בלחיצה אחת": אפליקציות או סקריפטים המכילים עומסים המכוונים לפגיעויות ידועות של הסלמה של הרשאות של הקושחה הקיימת כדי להשיג שורש גִישָׁה. עם שיפורים ושינויים בהצפנה, הרשאות וטיפול הקשור לפרטיות, מכשירי אנדרואיד מודרניים בטוחים יחסית מפני וקטורי תקיפה כאלה, אך תמיד יישאר מרחב עבור מנצלים ו פגיעויות.

OnePlus אולי ביצעה את שמה בין יצרני ה-OEM הגדולים של אנדרואיד, אבל הטלפונים שלה כן לא זר ל פגמי אבטחה. הפעם, החברה השאירה פגיעות די מעניינת (קרא: מדאיגה) ללא תיקון OnePlus Nord 2 מאז שחרורו. למרות שניצול הפרצה דורש גישה פיזית למכשיר, התוקף יכול ביעילות להשיג מעטפת שורש בלתי מוגבלת לפני שהמשתמש יכול אפילו להזין את האישורים שלו. יש לציין, זה שיצא לאחרונה מהדורת פק-מן של נורד 2 מושפע גם כן.

רקע כללי

כיום, כאשר אנו מדברים על גישת שורש בסמארטפון אנדרואיד, אנשים בדרך כלל חושבים על

תיקון תמונת האתחול המלאי עם Magisk תחילה ולאחר מכן מהבהב את התמונה המתוקנת למכשיר היעד לאחר ביטול הנעילה של טוען האתחול. כך, למשתמש הקצה יכול להיות גישה מפוקחת לקובץ הבינארי "su" דרך אפליקציית מנהל. עוד כמה גישות ניסיוניות קיימים, אך לעתים רחוקות הם אוספים כמו שימוש מיינסטרים.

עם זאת, בכל הנוגע לקדם ייצור, התרחיש שונה לחלוטין. בזמן הכנת הקושחה של מכשיר, המהנדסים צריכים להפעיל פרמטרים שונים של רישום, כולל גישת שורש. אפילו על א userdebug לִבנוֹת, אנדרואיד Debug Bridge Daemon (adbd) פועל כשורש, כך שניתן לקבל גישה מועדפת למעטפת למטרות ניפוי באגים. כאשר הקושחה מוכנה למשלוח, יש לכבות את כל פרמטרי ניפוי הבאגים הללו לפני הפעלתה.

אבל מה קורה אם שוכחים לעשות זאת? אנו נראה, שכן המהדורות הרשמיות של OxygenOS עבור OnePlus Nord 2 מגיעות עם פגם כזה.

OnePlus Nord 2 - פגיעות של מעטפת שורש

כמה יצרני OEM כמו סמסונג מציעים יכולת טעינת צד של חבילות עדכון בהתאוששות המלאי שלהם במכשירים קמעונאיים. במקרה כזה, ה adbd בינארי פועל עם הרשאה גבוהה משמעותית בזמן טעינת צד, אך הוא סוגר את עצמו ברגע שתהליך העדכון מסתיים. מלבד זאת, אין גישת ADB מותרת בסביבת שחזור שסופקה על ידי OEM.

OnePlus כבר לא מאפשרת למשתמשים להבהב חבילת עדכון ZIP דרך שחזור המניות שלה באמצעות עומס צד של ADB. בהנחה שכל השאר מוגדר כפי שהוא צריך, סביבת השחזור של מכשיר OnePlus רגיל צריכה להיות בטוחה מפני תוקפים המספקים כל סוג של מטען באמצעות ADB. למרבה הצער, לא הכל הולך לפי התוכנית במקרה של OnePlus Nord 2.

כפי שמתברר, כל אחד יכול להוליד מעטפת ניפוי באגים של אנדרואיד עם הרשאות שורש בתוך סביבת השחזור של OnePlus Nord 2. אחת מהגדרות ניפוי הבאגים הקריטיות כנראה עשתה את דרכה למבני הייצור, מה שמוביל לתקלה הזו.

ניצול הפגם ב-OnePlus Nord 2

כל מה שאתה צריך לעשות הוא לאתחל את ה-OnePlus Nord 2 למצב השחזור שלו. תוקף יכול לקחת את המכשיר ולהשתמש בשילוב כפתורי חומרה פשוט כדי לאלץ אותו לעבור למצב שחזור. למעשה, אין צורך להגיע לתפריט השחזור בפועל, מכיוון שהקטע הפגיע מגיע לפני כן. הקרדיט מגיע לחבר בכיר ב-XDA AndroPlus ל להסב את תשומת הלב קיומה של התקלה הזו באוקטובר 2021.

1. בזמן שהטלפון כבוי, לחץ על עוצמת הקול ועל לחצני ההפעלה בו-זמנית עד שאתה ראה את הלוגו של OnePlus עם באנר זעיר "מצב שחזור" בפינה השמאלית התחתונה של המסך.
2. לאחר מכן, אתה אמור לראות את מסך בחירת השפה. אין צורך להתקדם, מכיוון שאנו יכולים ליזום גישת ADB כבר מכאן.
3. כעת חבר את הטלפון למחשב (או Mac) באמצעות כבל ה-USB. במקרה שאתה משתמש ב-Windows, אתה יכול לראות ממשק ניפוי USB חדש של אנדרואיד צץ במנהל ההתקנים. ייתכן שיהיה עליך גם להתקין מתאים מנהל התקן USB של אנדרואיד לפני ש-Windows יוכל לזהות את המכשיר החדש. משתמשי לינוקס ו-macOS, לעומת זאת, יכולים להשתמש ב- lsusb פקודה לזיהוי נוכחות של ממשק החומרה החדש.
4. בהתחשב בעובדה שכבר יש לך את הגרסה העדכנית ביותר של ADB ו-Fastboot כלי עזר המותקנים על ה-PC/Mac שלך, הפעל מופע שורת פקודה/PowerShell/Terminal והפעל את הפקודה הבאה:

   adb devices

   זה אמור לרשום את Nord 2 במצב שחזור. זה גם מעניין במיוחד, מכיוון שאין צורך בבקשת ההרשאה הסטנדרטית של ADB כאן. ייתכן שתקבל שגיאת "התקן לא מורשה", אך מחיקת מסד הנתונים הקיים של מפתחות ADB RSA של המחשב המארח והפעלה מחדש של שרת ADB אמורה לאפשר לך בסופו של דבר לקבל אישור.
5. עכשיו תנחה adbd לרוץ כשורש:

   adb root

   פקודה זו עשויה להימשך זמן רב וסביר להניח שתקבל שגיאת פסק זמן. בכל זאת, עכשיו adbd אמור לפעול כשורש.
6. לבסוף, אמת את רמת ההרשאות של המעטפת באמצעות הפקודה הבאה:

   adb shell whoami

היקף הפגם

הניצול הפוטנציאלי של פגיעות אבטחה זו מפחיד. עם התקפה מוצלחת על ה-OnePlus Nord 2, תוקף יכול לזרוק כל מחיצה של המכשיר. כתוצאה מכך, כל מחיצת הנתונים - כולל קבצים המאוחסנים בספריות הנתונים הפרטיות של יישומים לא נגישות בדרך כלל - נגישה לתוקף. במקרה שמחיצת הנתונים יצאה כמוצפנת (בגלל שהמשתמש הגדיר PIN או סיסמה), ה-dump עדיין יכול להיות שימושי לניתוח משפטי.

לא רק זה, אתה יכול לדחוף קובץ הפעלה אל /data/local/tmp ולהפעיל את זה משם. זהו וקטור התקפה קלאסי, שיכול להיות שימושי לטעינת שרשרת ניצול נוסף. יתר על כן, מכיוון שכעת אתה יכול להתקשר ל- setprop כלי עזר כשורש לשינוי ערכי אביזר שונים, אתה יכול לחטוף טכנית כמה מהמשתנים הספציפיים ל-OEM. אחרון חביב, גם אם אין לך אפשרויות מפתח פתוחות, הטלפון יבקש אוטומטית גישה לאיתור באגים ב-USB לאחר שתפעיל ADB בשחזור ואתחול לסביבת אנדרואיד הרגילה, מה שאומר שהיקף הפגיעות אינו מוגבל רק לקטע השחזור רק.

שים לב שאינך יכול להתקין קבצי APK באמצעות ADB בסביבת השחזור בשל העובדה שתוכנית השירות Package Manager אינה נגישה שם.

כיצד לבדוק אם ה-OnePlus Nord 2 שלך מושפע? (רמז: זה כן)

כפי שהוזכר קודם לכן, אתה יכול לנצל את הפגיעות הזו גם במהדורת Pac-Man הרגילה וגם במהדורת Pac-Man המיוחדת של OnePlus Nord 2. בקיצור, אם תזין מעטפת שורש (תדע מתי סמל הקליפה משתנה $ ל #), אז תדע שהפגם קיים.

השגנו בהצלחה גישה של מעטפת שורש ב- הקושחה העדכנית ביותר ההודית והאירופית OxygenOS עבור המכשיר, אשר אומר כל יחידת OnePlus Nord 2 בחוץ היא פגיעה בזמן כתיבת מאמר זה.

---

מה הלאה?

אנו נעקוב אחר עניין זה ככל שמידע נוסף יהיה זמין. OnePlus סיפקה את ההצהרה הבאה בנושא:

אנו מתייחסים ברצינות רבה לפרטיות ולאבטחה. אנו נותנים עדיפות לעניין זה ונשתף עדכון ברגע שיהיה לנו מידע נוסף.

למרות שכל זה נראה מפחיד, זכור שתוקף עדיין יצטרך לגשת פיזית לטלפון על מנת לקבל גישה למעטפת שורש. עד ש-OnePlus תשיק עדכון שמתקן את הפגיעות, נסה להרחיק את ה-OnePlus Nord 2 שלך מזרים. למרות שלא נתקלנו בשום מקרים של שימוש זדוני, אי אפשר לבטל אפשרות כזו מכיוון שהפגיעות נמצאת בטבע כבר חודשיים לפחות.