CVE-2026-70387
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W OnePlus OxygenOS na Androidzie HAL logowania olc2 udostępnia metodę binder, która wykonuje fork() i execl("/vendor/bin/sh", "sh", "-c", cmd, NULL) z ciągiem poleceń dostarczonym przez wywołującego; jedynym sprawdzeniem autoryzacji jest getCallingUid() == 0. Ponieważ polityka SELinux przyznaje dostęp binder do tego HAL szerokiemu atrybutowi klienta, dowolny proces uid-0 w tych domenach (w tym dumpstate, osiągalny z nieuprzywilejowanej aplikacji) uzyskuje wykonanie dowolnych poleceń, a powłoka trafia do kontekstu SELinux u:r:vendor_qti_init_shell:s0 posiadającego wszystkie uprawnienia Linuksa.
Ocena ryzyka
Nieuprzywilejowana aplikacja może pośrednio uzyskać wykonanie dowolnych poleceń z pełnymi uprawnieniami Linuksa, co prowadzi do całkowitego kompromisu urządzenia.
Rekomendacja
Zaktualizuj OxygenOS do wersji 16.1.10.500, 16.0.5.1200 lub 15.0.0.2000 (lub nowszej) odpowiednio dla gałęzi 16.1, 16.0 i 15.0.
Inne podatności w OxygenOS
Zobacz wszystkie- CVE-2017-5626Krytyczne
OxygenOS przed wersją 4.0.2 na urządzeniach OnePlus 3 i 3T zawiera dwie ukryte komendy fastboot oem, które pozwalają atakującemu na zablokowanie/odblokowanie bootloadera bez potwierdzenia użytkownika. To umożliwia trwałe wykonywanie kodu z wysokimi uprawnieniami oraz pełny dostęp do danych użytkownika.
- CVE-2017-5624Krytyczne
W systemie OxygenOS przed wersją 4.0.3 dla OnePlus 3 i 3T odkryto problem, który pozwala atakującemu na trwałe uruchomienie zablokowanego bootloadera z wyłączonym dm-verity. W rezultacie, jądro nie weryfikuje partycji systemowej, co może prowadzić do trwałego wykonywania kodu i eskalacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
Exposed dangerous method or function and Incorrect Authorization vulnerability in OnePlus OxygenOS on Android. The olc2 logging HAL exposes a binder method that fork()'s and calls execl("/vendor/bin/sh", "sh", "-c", cmd, NULL) with a caller-supplied command string. The only authorization check is getCallingUid() == 0. Because SELinux policy grants binder access to this HAL to a wide client attribute, any uid-0 process in any of those domains (including dumpstate, which is reachable from an unprivileged app via Vulnerability 1) obtains arbitrary command execution. The spawned shell lands in u:r:vendor_qti_init_shell:s0 SELinux context via a policy type_transition, a domain holding all Linux capabilities. This issue affects OxygenOS: from 16.1.0 before 16.1.10.500, from 16.0.0 before 16.0.5.1200, and from 15.0.0 before 15.0.0.2000.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS