Я, будучи владельцем OnePlus 3T, не мог пройти мимо этой новости.

Практически все смартфоны от компании OnePlus можно назвать находкой для любителей кастомизировать свои аппараты, поскольку производитель позволяет разблокировать загрузчик устройства без особых усилий — поставил галочку в режиме разработчика, подключил телефон в fastboot режиме к ПК, ввел команду и все, загрузчик открыт. Но все должно быть в меру. Исследователь безопасности Рои Хей (Roee Hay) обнаружил, что OnePlus 3 (и 3T) открыт больше, чем это нужно. Он, используя две обычные fastboot-команды, смог установить непроверенные образы системы (boot images) и отключить функцию проверки загрузки. Это означает, что любой может запустить вредоносный код на телефоне без сброса пользовательских данных.


Первая уязвимость касается прошивок OxygenOS версий от 3.2 до 4.0.1, а вторая брешь в безопасности относится ко всем версиям прошивки от OnePlus. Недавно пользователи 3/3Т получили обновление 4.0.2, которое включало патч, исправляющий первую проблему. Если Вы владеете таким аппаратом и еще не обновились до последней сборки OxygenOS, то самое время это сделать. Вторую уязвимость, как оказалось, решить сложнее, но она будет устранена в самое ближайшее время.



Рои Хей, обнаруживший два этих недостатка, выложил видео с демонстрацией вышеописанных проблем на своем канале. В описании к видео есть ссылка на сайт, где он подробно описал свои действия для выявления уязвимостей. Что касается других смартфонов компании OnePlus, то они, кажется, не затронуты данными проблемами (или до них Рои еще не добрался).