Falha grave na OxygenOS permite acesso root sem permissões

Uma aplicação instalada num telemóvel OnePlus ou Oppo pode, neste momento, alcançar privilégios de root sem sequer pedir autorização para aceder à câmara ou aos contactos. O investigador de segurança Rasmus Moorats identificou duas falhas críticas na OxygenOS que funcionam em conjunto para contornar todas as barreiras de proteção do Android.

A vulnerabilidade afeta vários modelos das duas marcas em diferentes versões de software, segundo confirmou a própria OnePlus ao investigador. O problema é que não existe uma lista oficial de aparelhos afetados, o que deixa muitos utilizadores europeus sem saber se o seu dispositivo está em risco.

Como funciona a vulnerabilidade

Moorats testou primeiro o exploit num OnePlus 12 Pro que já tinha desbloqueado para investigação. Quando instalou a mesma aplicação sem qualquer modificação no seu OnePlus 15 com OxygenOS 16.0.3.503, um aparelho completamente virgem, a falha funcionou à primeira tentativa. Para o ataque ter sucesso, basta que alguém instale e abra a aplicação maliciosa. Não é preciso aceitar nenhuma permissão.

A primeira brecha está no AtlasService, um serviço em segundo plano que recolhe informações de diagnóstico e depuração. Este componente corre com privilégios de root mas não verifica de onde vêm os pedidos que recebe. O investigador descobriu que era possível fazer uma ferramenta de diagnóstico de áudio interpretar parte de um pedido como um comando e executá-lo com privilégios de root.

O segundo passo do ataque

Quando o primeiro comando é executado, o Android ainda impõe algumas restrições sobre o que esse processo consegue fazer. É aí que entra a segunda falha: um serviço chamado olc2 que permite correr comandos de shell. Este componente verifica apenas se o pedido vem de um processo com root e o processo criado através do AtlasService passa esse teste sem dificuldade. A partir daqui, o controlo sobre o telemóvel torna-se muito mais abrangente.

Cinco meses de silêncio e ameaças legais

Moorats reportou as falhas à OnePlus a 18 de abril, mas não obteve resposta inicial. Só a 20 de maio é que a empresa confirmou o problema por email e garantiu que as correções estavam agendadas. Na mesma mensagem, a OnePlus afirmou que só ela podia decidir se os detalhes técnicos podiam ser publicados, mesmo depois das correções serem lançadas. Chegou ainda a argumentar que as regras europeias de cibersegurança não permitiam a divulgação sem o seu consentimento, ameaçando com ações legais.

A OnePlus pediu mais tempo para preparar as correções, e o investigador aceitou não publicar nada antes de 17 de setembro. Apesar dessa extensão, os pedidos de atualização enviados em julho e setembro ficaram sem resposta. Moorats acabou por tornar público o seu trabalho a 24 de setembro, mais de cinco meses após o primeiro contacto.

A correção chegou, mas tarde

O write-up publicado pelo investigador explica em detalhe como as duas vulnerabilidades trabalham em conjunto e inclui excertos de código da aplicação de teste. Moorats confirmou desde então que a versão OxygenOS 16.0.10.500(EX01) corrige ambas as falhas no OnePlus 15. O problema é que o exploit funcionou em telemóveis com diferentes versões de kernel, o que sugere que a fragilidade pode estender-se por toda a OxygenOS 16.

Para quem tem um telemóvel OnePlus ou Oppo na Europa, a recomendação é clara: verificar se existe uma atualização de sistema disponível e instalá-la o mais depressa possível. Até lá, o melhor é evitar instalar aplicações de fontes desconhecidas embora, neste caso, nem a Google Play Store ofereça proteção total se uma app maliciosa passar despercebida.