CVE-2017-5626
KrytyczneStreszczenie
OxygenOS przed wersją 4.0.2 na urządzeniach OnePlus 3 i 3T zawiera dwie ukryte komendy fastboot oem, które pozwalają atakującemu na zablokowanie/odblokowanie bootloadera bez potwierdzenia użytkownika. To umożliwia trwałe wykonywanie kodu z wysokimi uprawnieniami oraz pełny dostęp do danych użytkownika.
Ocena ryzyka
Atakujący może uzyskać pełny dostęp do danych użytkownika oraz możliwość wprowadzania złośliwego oprogramowania, co stanowi poważne zagrożenie dla bezpieczeństwa urządzeń i danych osobowych.
Rekomendacja
Zaleca się aktualizację systemu do wersji 4.0.2 lub nowszej, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków bezpieczeństwa w celu ochrony danych użytkowników.
Oryginalny opis (angielski, źródło NVD)
OxygenOS before version 4.0.2, on OnePlus 3 and 3T, has two hidden fastboot oem commands (4F500301 and 4F500302) that allow the attacker to lock/unlock the bootloader, disregarding the 'OEM Unlocking' checkbox, without user confirmation and without a factory reset. This allows for persistent code execution with high privileges (kernel/root) with complete access to user data.