Contexto de la divulgación
Un investigador de seguridad, Rasmus Moorats, descubrió y encadenó dos fallos en el software propio de OnePlus para obtener acceso root, el máximo nivel de control en un teléfono Android. El ataque fue demostrado en un OnePlus 15 con la última versión de OxygenOS, utilizando una aplicación maliciosa que el usuario instala y que no solicita permisos especiales.
OnePlus confirmó ambas vulnerabilidades en mayo y le comunicó a Moorats que afectan a muchos más dispositivos de la compañía y de OPPO, aunque no especificó cuáles. En la misma respuesta, la empresa afirmó tener el derecho exclusivo de decidir cuándo se hace pública una vulnerabilidad y advirtió que publicarla sin su permiso podría acarrear responsabilidades legales. Moorats publicó el 24 de septiembre, después de que OnePlus no lanzara ningún parche.
OnePlus argumentó que las normas europeas de ciberseguridad obligan a los fabricantes a aceptar y corregir los informes, pero no permiten a los investigadores divulgarlos sin el consentimiento del fabricante. Advirtió que, si publicaba sin autorización, emprendería acciones legales según las leyes aplicables.
Cómo funciona el ataque
El primer fallo reside en un servicio de OnePlus llamado AtlasService, que recopila datos de depuración, se ejecuta como root y acepta llamadas de cualquier aplicación sin verificar su origen. Una llamada manipulada llega a una herramienta de depuración de OnePlus que inserta el texto de la aplicación, sin validación, en un comando del sistema. Esto otorga root a la aplicación, pero solo dentro de una zona restringida llamada dumpstate, que no permite todas las capacidades habituales de root.
El segundo fallo completa el ataque. OnePlus incluye otro servicio auxiliar de hardware llamado olc2, con un comando que ejecuta cualquier instrucción de shell que reciba. Su única protección es que el llamante ya sea root, algo que proporciona el primer fallo. Esta vez, el comando se ejecuta en una zona que concede todos los privilegios de Linux de bajo nivel, incluida la capacidad de cargar código en el kernel, lo que da a la aplicación control total del dispositivo a nivel de sistema.
Dispositivos afectados y recomendaciones
El ataque es local: requiere que una aplicación maliciosa esté instalada y en ejecución en el teléfono, por lo que no puede lanzarse desde internet. Sin embargo, una vez presente, la aplicación no necesita permisos, no muestra aviso al usuario y funcionó en un teléfono de fábrica que Moorats no había modificado. No hay evidencia de que estos fallos se hayan utilizado en un ataque real.
Moorats también confirmó el ataque en un OnePlus 12 Pro más antiguo y espera que el mismo problema afecte a OxygenOS 16 en general. OnePlus y OPPO comparten software base en sus teléfonos, lo que explica que la advertencia de OnePlus abarcara a ambas marcas. Hasta la divulgación de Moorats, OnePlus no había asignado ningún CVE, no había publicado un parche y no se encontraba ningún aviso de la compañía que nombrara las vulnerabilidades. Mientras no haya solución, la única defensa práctica es la misma que el ataque necesita para empezar: instalar aplicaciones solo de fuentes confiables, ya que el ataque no puede ejecutarse sin una app maliciosa en el teléfono.
Cronología de la divulgación
- 18 de abril de 2026: reportó ambos fallos a OnePlus.
- 20 de mayo: OnePlus los confirmó, reclamó control exclusivo sobre la divulgación y advirtió de responsabilidad legal si publicaba.
- 22 de junio: OnePlus dio una actualización sobre su parche y le pidió esperar; él aceptó no publicar antes del 17 de septiembre.
- 20 de julio y 11 de septiembre: solicitó actualizaciones y no recibió respuesta.
- 24 de septiembre: publicó.
Casos similares recientes
Este no es el único caso reciente de una aplicación instalada que alcanza root en teléfonos Android de gama alta. En agosto, Lukas Maar, investigador de la firma de seguridad Calif, mostró una técnica diferente que llevaba una app sin permisos a root en teléfonos bloqueados con el firmware más reciente de Samsung, Xiaomi, OPPO, OnePlus y Realme, atacando código que los fabricantes añaden a Android. Además, OnePlus ya había tardado en responder a investigadores antes: en 2025, Rapid7 reportó una falla separada en OxygenOS que permitía a cualquier app leer los mensajes de texto de un usuario, y señaló que OnePlus no respondió hasta que la investigación se hizo pública.
Deja una respuesta