OnePlus ва Oppo смартфонларида хавфли заифлик аниқланди

Ахборот хавфсизлиги бўйича тадқиқотчи Расмус Мооратс OnePlus ва Oppo смартфонларининг тизимли дастурий таъминотида оддий APК иловаларига тўлиқ роот-ҳуқуқларини тақдим этувчи иккита жиддий заифликни аниқлади. ixbt.com маълумотига кўра, хавфлиликнинг асосий сабаби шундаки, зарарли дастур ўз фаолияти учун ҳеч қандай махсус рухсатларни талаб қилмаган ҳолда Android хавфсизлик тизимини четлаб ўтишга қодир бўлган. Бу ҳақда Ixbt.com хабар беради.

Тадқиқот натижаларига кўра, биринчи носозлик ОхйгенОС таркибига кирувчи AtlasСервисе тизимли хизматида яширинган. Ушбу хизмат ўрнатилган иловага УИД 0, яни тўлиқ роот ҳуқуқига эга фойдаланувчи номидан буйруқларни бажариш имкониятини берган. Шунга қарамай, дастлабки босқичда ҳужумчининг имкониятлари СEЛинух хавфсизлик механизмлари орқали чекланган эди.

Бироқ, иккинчи заифлик ОплусЛогКоре хизматида аниқланган бўлиб, у айнан мана шу чекловларни четлаб ўтишга ёрдам берган. Мутахассис ушбу хизмат ёрдамида Линух имкониятларининг тўлиқ тўпламига эга бўлган буйруқни ишга туширишга муваффақ бўлган. Икки хатоликнинг ўзаро бирлашиши Android платформасининг стандарт хавфсизлик моделидан тўлиқ чиқиб кетишга имкон берувчи мукаммал имтиёзларни ошириш занжирини ҳосил қилган.

Амалий синовлар ва қурилмаларнинг қамрови

Ҳужум механизмини амалда текшириб кўриш учун Расмус Мооратс қўшимча рухсатларни талаб қилмайдиган оддий APК файлини яратган. Дастлабки ишланмалар ва синов жараёни OnePlus 12 смартфонида амалга оширилган. Шундан сўнг тадқиқотчи ўша APК файлини ҳеч қандай ўзгаришларсиз OnePlus 15 қурилмасига ҳам ўрнатиб кўрган.

Экспойт биринчи уринишдаёқ муваффақиятли ишга тушган. Бу эса мазкур заифликлар нафақат битта моделда, балки қурилмаларнинг бир нечта авлодлари ва турли дастурий таъминот версияларида мавжуд эканлигини яққол кўрсатиб берди.

Ишлаб чиқарувчининг муносабати ва хавфсизлик чоралари

Тадқиқотчи аниқланган муаммолар ҳақида жорий йилнинг апрель ойида OnePlus компаниясига расман хабар берган. Май ойига келиб ишлаб чиқарувчи хавфсизлик хатоларини тасдиқлаган ва улар турли хил дастурий таъминот версияларига эга бўлган кўплаб OnePlus ҳамда Oppo смартфонларига таъсир қилишини маълум қилган. Шунга қарамай, потенциал заиф бўлган моделлар ва прошивкаларнинг тўлиқ рўйхати омборга тақдим этилмаган.

Ҳозирги вақтда OnePlus 15 смартфонида ушбу иккала заифлик ҳам тўлиқ бартараф этилган. Август ойида бошланган ОхйгенОС 16.0.10.500(EX01) янгиланиши хавфсизлик муаммосини ҳал қилган. Бироқ, хавф остида қолган бошқа барча турдаги OnePlus ва Oppo қурилмалари ҳам шундай тузатишларни олганми ёки йўқми, ҳозирча номаълумлигича қолмоқда.