آسیب‌پذیری‌های OnePlus امکان دسترسی Root را فراهم می‌کنند

یک پژوهشگر امنیتی به نام Rasmus Moorats موفق شده است با زنجیره‌کردن دو آسیب‌پذیری در نرم‌افزار اختصاصی OnePlus، از یک برنامه معمولی اندرویدی به سطح دسترسی Root برسد؛ سطحی که بالاترین میزان کنترل را روی سیستم‌عامل و منابع دستگاه فراهم می‌کند.

این حمله روی گوشی OnePlus 15 مجهز به آخرین نسخه OxygenOS آزمایش شده و پژوهشگر اعلام کرده است که نمونه مشابهی از حمله روی OnePlus 12 Pro نیز با موفقیت اجرا شده است. بر اساس بررسی‌های انجام‌شده، احتمال می‌رود مشکل به طیف گسترده‌تری از دستگاه‌های OnePlus و حتی برخی محصولات OPPO نیز مربوط باشد.

دو آسیب‌پذیری چگونه به دسترسی Root منجر می‌شوند؟

اولین مشکل در سرویسی با نام AtlasService قرار دارد؛ سرویسی اختصاصی در OxygenOS که برای جمع‌آوری داده‌های مربوط به عیب‌یابی و رویدادهای سیستمی مورد استفاده قرار می‌گیرد.

این سرویس با سطح دسترسی Root اجرا می‌شود و در حالت عادی باید دسترسی برنامه‌ها به آن محدود شود. با این حال، پژوهشگر دریافت که برنامه‌های عادی می‌توانند بدون بررسی مناسب هویت فراخواننده، با این سرویس ارتباط برقرار کنند.

در یکی از عملکردهای این سرویس، داده‌ای که برنامه ارسال می‌کند به یک ابزار عیب‌یابی سیستم منتقل می‌شود. این داده بدون اعتبارسنجی کافی در یک دستور سیستمی مورد استفاده قرار می‌گیرد و در نهایت به مهاجم اجازه می‌دهد دستورات را در محیطی با سطح دسترسی بالاتر اجرا کند.

با این حال، دسترسی اولیه به Root در این مرحله هنوز در یک محیط محدود به نام dumpstate قرار دارد و به معنای دسترسی کامل به تمام قابلیت‌های سیستم نیست.

آسیب‌پذیری دوم این محدودیت را برطرف می‌کند.

OnePlus یک سرویس سخت‌افزاری با نام olc2 در سیستم‌عامل خود ارائه کرده است که یکی از قابلیت‌های آن اجرای دستورات Shell است. این قابلیت تنها بررسی می‌کند که فراخواننده دارای UID برابر با 0 یا همان Root باشد.

از آنجا که آسیب‌پذیری اول امکان رسیدن به UID 0 را فراهم می‌کند، مهاجم می‌تواند از سرویس olc2 نیز برای اجرای دستورات دلخواه استفاده کند.

پژوهشگر نشان داده است که این دستورات در محیطی با سطح دسترسی بسیار بالاتر اجرا می‌شوند و قابلیت‌های سطح پایین لینوکس، از جمله امکان بارگذاری کدهای Kernel، در اختیار فرایند قرار می‌گیرد. در نتیجه، برنامه مخرب می‌تواند کنترل گسترده‌ای روی سیستم‌عامل دستگاه به دست آورد.

زنجیره حمله چگونه شکل می‌گیرد؟

در سناریوی ارائه‌شده توسط Moorats، زنجیره حمله از یک برنامه معمولی و بدون مجوزهای ویژه آغاز می‌شود.

ابتدا برنامه مخرب با استفاده از Binder با AtlasService ارتباط برقرار کرده و داده‌ای دستکاری‌شده را به آن ارسال می‌کند. این فرایند باعث فعال‌شدن قابلیت عیب‌یابی صوتی و اجرای ابزار audioDumpInfo می‌شود.

این ابزار داده کنترل‌شده توسط مهاجم را دریافت کرده و آن را در قالب یک دستور سیستم اجرا می‌کند. در نتیجه، برنامه از محیط محدود untrusted_app خارج شده و به سطح دسترسی dumpstate می‌رسد.