Leszerepelt a OnePlus a hibajavításban

​A OnePlus hónapokig nem reagált egy súlyos biztonsági hibával kapcsolatos bejelentésekre.
 

A Rapid7 biztonsági kutatói az egyik idei vizsgálatuk során a OnePlus által fejlesztett, Android alapú OxygenOS mobil operációs rendszert vették górcső alá annak érdekében, hogy abban különféle sérülékenyégeket keressenek. A vizsgálatok során a szakemberek fel is tártak egy súlyos hibát, aminek a kihasználásával jogosulatlanul lehetett SMS-üzenetekhez hozzáférni, illetve azokat manipulálni.
 
A sebezhetőséget az okozta, hogy az OxygenOS nem kényszerítette ki megfelelően a telepített alkalmazásoktól az SMS-ekhez való hozzáférési engedélyeket. Ezért a CVE-2025-10184 azonosítóval ellátott sebezhetőség kiszolgáltatottá tette a készülékeken tárolt SMS-üzeneteket. Ráadásul "blind SQL injection" típusú technikák végrehajtására is módot adott. 
 
A biztonsági hiba ugyanakkor nem kizárólag a súlyossága miatt került a biztonsági hírekbe, hanem azért is, mert annak fejlesztőoldali kezelése nagyon félresikerült. A Rapdi7 biztonsági kutatói ugyanis már május 1-jén jelezték a felfedezésüket a OnePlus-nak, de választ nem kaptak. Augusztus 16-ig összesen hét alkalommal próbálták felvenni a kapcsolatot a vállalattal, de mindig falba ütköztek. Ezért úgy határoztak, hogy közzétesznek egy PoC (proof-of-concept) exploitot, amely alkalmas a sebezhetőség kihasználására. Úgy tűnik, hogy ez a lépés fordulatot hozott, hiszen a OnePlus jelezte, hogy megkezdte a biztonsági hiba kivizsgálását.
 
A Rapid7 szerint a sérülékenység az OxygenOS 12-15 verziói esetében is jelen van. A kutatók OnePlus 8T és 10 Pro készülékekkel igazolták a hiba létezését, de könnyen elképzelhető, hogy más típusok kapcsán is fennállnak a sebezhetőség kockázatai.
 
Azt egyelőre nem lehet tudni, hogy a hibajavítás mikor válik elérhetővé.