OnePlus OxygenOS: критическая уязвимость выполнения команд CVE-2026-70387

В прошивке OnePlus OxygenOS выявлена уязвимость, связанная с раскрытием опасного метода и некорректной авторизацией. Проблема получила идентификатор CVE-2026-70387 и оценку 8.4 по шкале CVSS, что соответствует высокому уровню критичности. Уязвимость позволяет злоумышленнику выполнить произвольные команды в системе с максимальными привилегиями.

Подробности

Уязвимость затрагивает компонент olc2 — логгинг-HAL в составе OxygenOS на платформе Android. Данный HAL экспонирует binder-метод, который выполняет fork() и вызывает execl("/vendor/bin/sh", "sh", "-c", cmd, NULL) со строкой команды, переданной вызывающей стороной. Единственная проверка авторизации — сравнение getCallingUid() == 0, то есть метод доступен любому процессу с uid 0.

Поскольку политика SELinux предоставляет доступ к этому HAL широкому клиентскому атрибуту, любой процесс с uid 0 в одном из соответствующих доменов получает возможность произвольного выполнения команд. В частности, домен dumpstate достижим из непривилегированного приложения, что существенно снижает порог эксплуатации. Запущенная оболочка попадает в SELinux-контекст u:r:vendor_qti_init_shell:s0 через правило type_transition — а этот домен обладает всеми Linux-возможностями (capabilities).

Уязвимы версии OxygenOS: от 16.1.0 до 16.1.10.500, от 16.0.0 до 16.0.5.1200, а также от 15.0.0 до 15.0.0.2000.

Что делать

Рекомендуется как можно скорее обновиться до исправленных сборок OxygenOS: 16.1.10.500, 16.0.5.1200 или 15.0.0.2000 соответственно. Проверить актуальность версии можно в настройках устройства в разделе обновления системы.

До установки патча следует минимизировать поверхность атаки: не устанавливать приложения из недоверенных источников, ограничить установку APK извне официальных магазинов, своевременно удалять неиспользуемые приложения с широкими разрешениями. Организациям, использующим устройства OnePlus в корпоративной среде, целесообразно усилить контроль над устанавливаемым ПО через MDM-решения и отслеживать аномальную активность процессов.

Уязвимость CVE-2026-70387 демонстрирует, насколько опасной может быть комбинация избыточных привилегий HAL-компонента и слабой проверки авторизации. Сочетание доступа из непривилегированного приложения и попадания в SELinux-домен с полным набором capabilities делает эксплуатацию особенно опасной. Единственная надёжная мера — установка обновления прошивки.

Источник: CVE Project (cvelistV5)