تعتبر الهواتف الذكية من OnePlus من بين الأكثر شيوعًا، ولكنها ليست خالية من الثغرات الأمنية. في هذا المقال، نستعرض كيف يمكن لتطبيقات ضارة أن تستغل ثغرات في نظام OxygenOS للحصول على صلاحيات الجذر دون إذن.
ثغرات غير مصححة في هواتف OnePlus تسمح للتطبيقات المثبتة بالحصول على صلاحيات الجذر دون إذن
يمكن لتطبيق ضار يتم تثبيته على هاتف OnePlus 15 الذي يعمل بأحدث إصدار من OxygenOS أن يحصل على صلاحيات الجذر، دون الحاجة لأي أذونات خاصة. قام الباحث، راسموس موراتس، بربط ثغرتين في برنامج OnePlus نفسه للحصول على صلاحيات الجذر، وهو أعلى مستوى من التحكم في هاتف Android.
أخبرت OnePlus أنه يمكن أن تؤثر نفس الثغرات على العديد من أجهزتها الأخرى وأجهزة OPPO، على الرغم من أنها لم تحدد أي منها.
أكدت OnePlus كلا الثغرتين في مايو. وفي نفس الرد، أخبرت موراتس أنها وحدها تقرر متى يتم نشر الثغرة علنًا وحذرت من أن النشر دون إذنها قد يؤدي إلى مسؤولية قانونية. ومع ذلك، نشر موراتس في 24 سبتمبر، عندما لم تكن OnePlus قد أصدرت أي إصلاح.
وضعت OnePlus موقفها في الرد، الذي نشره موراتس بالكامل. قالت إن الإصلاح كان مقررًا، لكنها ادعت “الحق الحصري النهائي في الكشف عن الثغرات”، وأخبرته أنه حتى بعد إصدار الإصلاح، قد لا يتمكن الباحثون من نشر التفاصيل الفنية الكاملة بمفردهم.
جادلت الشركة بأن القوانين الأوروبية المتعلقة بالأمن السيبراني تتطلب من الشركات المصنعة قبول وإصلاح التقارير، لكنها لا تسمح للباحثين بالكشف عنها دون موافقة الشركة المصنعة. حذرت من أنه إذا نشر دون إذن، ستقوم OnePlus “بملاحقة المسؤوليات القانونية ذات الصلة وفقًا للقوانين المعمول بها.”
كيف يعمل الهجوم
وجد موراتس الثغرة الأولى في خدمة OnePlus تُدعى AtlasService، التي تجمع بيانات تصحيح الأخطاء، وتعمل كجذر، وتقبل المكالمات من أي تطبيق دون التحقق من هوية المتصل.
تصل مكالمة مصممة إلى أداة تصحيح الأخطاء الخاصة بـ OnePlus التي تأخذ نص التطبيق وتضعه، دون فحص، في أمر نظام. هذا يمنح التطبيق صلاحيات الجذر، ولكن فقط ضمن منطقة نظام مقيدة تُسمى dumpstate، التي لا يمكنها القيام بكل ما يمكن أن يفعله الجذر عادة.
تقوم الثغرة الثانية بإتمام المهمة. تقوم OnePlus بشحن خدمة أخرى، وهي مساعدة الأجهزة تُدعى olc2، مع أمر ينفذ أي تعليمات شل يتلقاها. الحماية الوحيدة هي أن المتصل يجب أن يكون بالفعل جذرًا، وهو ما توفره الثغرة الأولى.
هذه المرة، يتم تنفيذ الأمر في منطقة تمنح جميع الامتيازات المنخفضة لنظام Linux، بما في ذلك القدرة على تحميل كود النواة، مما يمنح التطبيق السيطرة على الجهاز على مستوى النظام.
من المتأثر، وماذا يمكنك أن تفعل
الهجوم محلي. يجب تثبيت تطبيق ضار وتشغيله على الهاتف أولاً، لذا لا يمكن إطلاقه عبر الإنترنت. ولكن بمجرد وجوده، لا يحتاج التطبيق إلى أذونات ولا يظهر للمستخدم أي تنبيه، وقد نجح على هاتف عادي لم يقم موراتس بتعديله.
لا توجد أدلة على أن أي شخص قد استخدم الثغرات في هجوم حقيقي.
أكد موراتس أيضًا الهجوم على هاتف OnePlus 12 Pro الأقدم، ويتوقع نفس المشكلة عبر OxygenOS 16 بشكل عام. تقوم OnePlus وOPPO ببناء هواتفهما على برنامج مشترك، ولهذا السبب غطت تحذيرات OnePlus كلاهما.
اعتبارًا من كشف موراتس، لم تعين OnePlus أي CVE ولم تصدر أي إصلاح، ولم يتم العثور على أي استشارة من OnePlus تحدد الثغرات. حتى يتم إصدار إصلاح، فإن الدفاع العملي الوحيد هو الشيء الذي يحتاجه الهجوم للبدء: تثبيت التطبيقات فقط من مصادر موثوقة، لأنه لا يمكن أن يعمل دون تطبيق ضار على الهاتف.
وفقًا لموراتس، استمر الكشف حوالي خمسة أشهر:
- 18 أبريل 2026: أبلغ عن كلا الثغرتين إلى OnePlus.
- 20 مايو: أكدت OnePlus عليهما، وادعت السيطرة الوحيدة على الكشف، وحذرت من المسؤولية القانونية إذا نشر.
- 22 يونيو: قدمت OnePlus تحديثًا عن إصلاحها وطلبت منه التوقف عن النشر، ووافق على عدم النشر قبل 17 سبتمبر.
- 20 يوليو و11 سبتمبر: سأل عن تحديثات ولم يتلق ردًا.
- 24 سبتمبر: نشر.
بشكل منفصل، هذه ليست الحالة الوحيدة الأخيرة لتطبيق مثبت يصل إلى الجذر على هواتف Android الرائدة.
في أغسطس، أظهر لوكاس مار، باحث في شركة Calif الأمنية، تقنية مختلفة أخذت تطبيقًا بلا إذن إلى الجذر على هواتف محمية تعمل بأحدث إصدار من البرامج من Samsung وXiaomi وOPPO وOnePlus وRealme من خلال مهاجمة الكود الذي تضيفه الشركات المصنعة إلى Android.
كانت OnePlus أيضًا بطيئة في الرد على الباحثين من قبل. في عام 2025، أبلغت Rapid7 عن ثغرة أخرى في OxygenOS سمحت لأي تطبيق بقراءة نصوص المستخدم، وقالت إن OnePlus لم تستجب حتى تم نشر البحث.
في الختام، من المهم أن تكون واعيًا للمخاطر المحتملة المرتبطة بتثبيت التطبيقات من مصادر غير موثوقة. تأكد دائمًا من حماية جهازك من خلال تثبيت التطبيقات فقط من مصادر موثوقة.
