Обнаружена серьезная уязвимость в загрузчике OnePlus 6. Этот эксплойт, требующий физического доступа, обходит все меры безопасности.
Обновление от 9.06.18, 14:31 по центральному времени: OnePlus выступил с заявлением по этому поводу.
Обновление от 15.06.18, 10:47: OnePlus начал развертывание КислородОС 5.1.7 с исправлением уязвимости загрузчика.
OnePlus 6 был стал официальным в середине прошлого месяца. Устройство только недавно начало попадать в руки потребителей и разработчиков на наших форумах, и мы уже слышим о проделанной работе. Ан официальная сборка TWRP уже доступен и работа продолжается прекрасно на неофициальной LineageOS 15.1 GSI. OnePlus 6 привлекает внимание не только пользователей, заинтересованных в устройстве для личного использования или проекты, однако, поскольку исследователи безопасности начинают более внимательно изучать устройство, чтобы увидеть, что они могут находить.
Один из таких исследователей, Джейсон Доненфельд, президент ООО «Эдж Секьюрити», также известный на XDA как
Эта уязвимость позволяет злоумышленнику, имеющему физический доступ и проводное соединение с ПК, получить контроль над устройством. Если загрузочный образ изменен с использованием небезопасного ADB и ADB в качестве root по умолчанию, то злоумышленник имеет физический доступ будет иметь полный контроль над устройством. В отличие от печально известного»черный ход(который на самом деле не был бэкдором) на OnePlus 5T, использование этой уязвимости не требует от пользователя уже включенной отладки по USB. Это означает, что злоумышленнику нужно всего лишь заполучить устройство — и не более того — чтобы получить к нему полный доступ, если он воспользуется этой уязвимостью на OnePlus 6.
Об ошибке было сообщено нескольким инженерам OnePlus, и Джейсон Доненфельд подтвердил, что член команды безопасности обнаружил ошибку. подтвердил отчет. Мы будем следить за этим вопросом по мере поступления дополнительной информации. Мы надеемся, что для загрузчика будет быстро выпущен патч, чтобы решить эту проблему.
Обновление 1: заявление OnePlus
OnePlus выступил с заявлением по этому поводу:
«В OnePlus мы серьезно относимся к безопасности. Мы находимся в контакте с исследователем безопасности, и в ближайшее время будет выпущено обновление программного обеспечения», — представитель OnePlus.
Мы продолжим следить за этой темой и сообщим вам, как только появится обновление программного обеспечения.
Обновление 2: исправление
OnePlus начал выпуск OxygenOS 5.1.7 для OnePlus 6 15 июня. исправление из-за уязвимости загрузчика.
Эта статья была обновлена с учетом того, что для использования уязвимости злоумышленнику необходим физический доступ к устройству, а также привязанное соединение с ПК.