En allvarlig sårbarhet i OnePlus 6 bootloader har upptäckts. Denna exploatering, som kräver fysisk åtkomst, kringgår alla säkerhetsåtgärder.
Uppdatering 6/9/18 14:31 CT: OnePlus har utfärdat ett uttalande angående detta ämne.
Uppdatering 15/6/18 10:47: OnePlus har börjat rulla ut OxygenOS 5.1.7 med en fix för sårbarheten i bootloader.
OnePlus 6 var gjort officiellt i mitten av förra månaden. Enheten har först nyligen börjat hamna i händerna på konsumenter och utvecklare på våra forum, och vi hör redan om det arbete som görs. En officiell konstruktion av TWRP är redan tillgänglig och arbetet fortskrider snyggt på en inofficiell LineageOS 15.1 GSI. OnePlus 6 får inte bara uppmärksamhet från användare som är intresserade av enheten för personligt bruk eller projekt, dock eftersom säkerhetsforskare börjar titta närmare på enheten för att se vad de kan hitta.
En sådan forskare, Jason Donenfeld, president för Edge Security LLC, även känd på XDA som zx2c4, har upptäckt en sårbarhet på enheten som gör att han kan starta upp valfri godtycklig modifierad bild som
kringgår skyddsåtgärder för bootloader (som en låst bootloader). (För att utnyttja sårbarheten krävs fysisk åtkomst till enheten.)Denna sårbarhet tillåter en angripare med fysisk åtkomst och en tjudrad anslutning till en PC att ta kontroll över enheten. Om startavbildningen är modifierad med osäker ADB och ADB som root som standard, då en angripare med fysisk åtkomst kommer att ha total kontroll över enheten. Till skillnad från den ökända "bakdörr"(vilket egentligen inte var en bakdörr) på OnePlus 5T, att utnyttja denna sårbarhet kräver inte att användaren redan har USB Debugging aktiverad. Det betyder att en angripare bara behöver lägga vantarna på enheten – och inget mer – för att få full tillgång till den om de utnyttjar denna sårbarhet på OnePlus 6.
Felet rapporterades till flera ingenjörer av OnePlus och Jason Donenfeld har bekräftat att en medlem av säkerhetsteamet har erkände rapporten. Vi kommer att följa upp detta ärende när mer information blir tillgänglig. Vi hoppas att en patch släpps för starthanteraren snabbt så att det här problemet kan lösas.
Uppdatering 1: OnePlus-uttalande
OnePlus har erbjudit ett uttalande om saken:
"Vi tar säkerheten på allvar på OnePlus. Vi är i kontakt med säkerhetsforskaren och en mjukvaruuppdatering kommer att rullas ut inom kort." - OnePlus talesman
Vi kommer att fortsätta följa detta ämne och kommer att uppdatera dig när en mjukvaruuppdatering är tillgänglig.
Uppdatering 2: Fix
OnePlus har börjat rulla ut OxygenOS 5.1.7 för OnePlus 6 den 15 juni med en fix för bootloader-sårbarheten.
Den här artikeln har uppdaterats för att återspegla att en angripare behöver fysisk åtkomst till enheten samt en ansluten anslutning till en dator för att utnyttja sårbarheten.