OnePlus va Oppo smartfonlarida xavfli zaiflik aniqlandi

Axborot xavfsizligi boʻyicha tadqiqotchi Rasmus Moorats OnePlus va Oppo smartfonlarining tizimli dasturiy taʼminotida oddiy APK ilovalariga toʻliq root-huquqlarini taqdim etuvchi ikkita jiddiy zaiflikni aniqladi. ixbt.com maʼlumotiga koʻra, xavflilikning asosiy sababi shundaki, zararli dastur oʻz faoliyati uchun hech qanday maxsus ruxsatlarni talab qilmagan holda Android xavfsizlik tizimini chetlab oʻtishga qodir boʻlgan. Bu haqda Ixbt.com xabar beradi.

Tadqiqot natijalariga koʻra, birinchi nosozlik OxygenOS tarkibiga kiruvchi AtlasService tizimli xizmatida yashiringan. Ushbu xizmat oʻrnatilgan ilovaga UID 0, yaʼni toʻliq root huquqiga ega foydalanuvchi nomidan buyruqlarni bajarish imkoniyatini bergan. Shunga qaramay, dastlabki bosqichda hujumchining imkoniyatlari SELinux xavfsizlik mexanizmlari orqali cheklangan edi.

Biroq, ikkinchi zaiflik OplusLogCore xizmatida aniqlangan boʻlib, u aynan mana shu cheklovlarni chetlab oʻtishga yordam bergan. Mutaxassis ushbu xizmat yordamida Linux imkoniyatlarining toʻliq toʻplamiga ega boʻlgan buyruqni ishga tushirishga muvaffaq boʻlgan. Ikki xatolikning oʻzaro birlashishi Android platformasining standart xavfsizlik modelidan toʻliq chiqib ketishga imkon beruvchi mukammal imtiyozlarni oshirish zanjirini hosil qilgan.

Amaliy sinovlar va qurilmalarning qamrovi

Hujum mexanizmini amalda tekshirib koʻrish uchun Rasmus Moorats qoʻshimcha ruxsatlarni talab qilmaydigan oddiy APK faylini yaratgan. Dastlabki ishlanmalar va sinov jarayoni OnePlus 12 smartfonida amalga oshirilgan. Shundan soʻng tadqiqotchi oʻsha APK faylini hech qanday oʻzgarishlarsiz OnePlus 15 qurilmasiga ham oʻrnatib koʻrgan.

Ekspoyt birinchi urinishdayoq muvaffaqiyatli ishga tushgan. Bu esa mazkur zaifliklar nafaqat bitta modelda, balki qurilmalarning bir nechta avlodlari va turli dasturiy taʼminot versiyalarida mavjud ekanligini yaqqol koʻrsatib berdi.

Ishlab chiqaruvchining munosabati va xavfsizlik choralari

Tadqiqotchi aniqlangan muammolar haqida joriy yilning aprel oyida OnePlus kompaniyasiga rasman xabar bergan. May oyiga kelib ishlab chiqaruvchi xavfsizlik xatolarini tasdiqlagan va ular turli xil dasturiy taʼminot versiyalariga ega boʻlgan koʻplab OnePlus hamda Oppo smartfonlariga taʼsir qilishini maʼlum qilgan. Shunga qaramay, potentsial zaif boʻlgan modellar va proshivkalarning toʻliq roʻyxati omborga taqdim etilmagan.

Hozirgi vaqtda OnePlus 15 smartfonida ushbu ikkala zaiflik ham toʻliq bartaraf etilgan. Avgust oyida boshlangan OxygenOS 16.0.10.500(EX01) yangilanishi xavfsizlik muammosini hal qilgan. Biroq, xavf ostida qolgan boshqa barcha turdagi OnePlus va Oppo qurilmalari ham shunday tuzatishlarni olganmi yoki yoʻqmi, hozircha nomaʼlumligicha qolmoqda.