C’è una backdoor su OnePlus 3, 3T e 5 che consente di ottenere i permessi di root (aggiornato x2: nuovi problemi)

Nicola Ligas - E ciò non è affatto bello come potrebbe sembrare.

Ottenere i permessi di root su uno smartphone richiede solitamente lo sblocco del bootloader di quest’ultimo, ma non è questo il caso per gli ultimi top di gamma OnePlus. E ciò non è bene.

Scoperta da un “anonimo hacker“, su OnePlus 3, 3T e 5 è stata trovata un’app chiamata EngineerMode, sviluppata da Qualcomm, e pensata per eseguire dei test diagnostici in fase di produzione industriale. La stessa app è presente anche su OnePlus One versione OxygenOS, ma non in quella con il defunto CyanogenOS. Non siamo invece in grado di confermare se sia pre-installata anche su OnePlus 2, come verrebbe logico pensare.

LEGGI ANCHE: OnePlus 5T: tutto ciò che sappiamo

Il problema nel tenere quest’app anche nei dispositivi commerciali è che lanciando una sua specifica attività (DiagEnabled) con una specifica password (angela), è possibile ottenere i permessi di root senza colpo ferire. Tutto quello che dovrete fare è inviare un semplice comando via adb allo smartphone, in questo modo:

adb shell am start -n com.android.engineeringmode/.qualcomm.DiagEnabled --es "code" "angela"

Lo sviluppatore ha anche promesso che pubblicherà a breve un’app sul Play Store utile ad automatizzare il tutto, in modo che possiate ottenere i permessi di root sul vostro OnePlus nel modo più rapido e semplice possibile. (Aggiorneremo l’articolo per segnalarvene il rilascio.)

Detta così sembra quasi una cosa buona, ma non lo è in alcun modo. Qualche malintenzionato potrebbe infatti sfruttare questa scappatoia, in congiunzione ad altre vulnerabilità, per minacciare la sicurezza del vostro OnePlus, ed è praticamente certo che quest’app verrà rimossa in un prossimo aggiornamento di OxygenOS, anche solo a causa del clamore suscitato. Fino ad allora, state magari attenti alle app di terze parti che andrete ad installare, e speriamo che OnePlus 5T sia già al sicuro da questa potenziale minaccia.

Aggiornamento15/11/2017 ore 10:00

OnePlus ha detto la sua in merito sul forum ufficiale, con un breve post che riportiamo integralmente qui sotto.

Friends,

Yesterday, we received a lot of questions regarding an apk found in several devices, including our own, named EngineerMode, and we would like to explain what it is. EngineerMode is a diagnostic tool mainly used for factory production line functionality testing and after sales support.

We’ve seen several statements by community developers that are worried because this apk grants root privileges. While, it can enable adb root which provides privileges for adb commands, it will not let 3rd-party apps access full root privileges. Additionally, adb root is only accessible if USB debugging, which is off by default, is turned on, and any sort of root access would still require physical access to your device.

While we don’t see this as a major security issue, we understand that users may still have concerns and therefore we will remove the adb root function from EngineerMode in an upcoming OTA.

Thanks

L’app in questione sarà quindi rimossa in un futuro aggiornamento OTA. OnePlus chiarisce anche che non ci dovrebbero essere rischi per la sicurezza, in quanto è richiesto di accedere via adb al dispositivo per abilitare i permessi di root, e non è una cosa che app di terze parti possano fare. Inoltre il debug USB deve essere abilitato, e di default non lo è, anche se gli utenti più smanettoni l’avranno senz’altro messo già su ON da tempo.

Se quindi da una parte è vero che ogni tentativo di accesso privilegiato richiede un accesso fisico al dispositivo, ciò non toglie che il potenziale rischio rimanga, ed è meglio che l’app sia rimossa. OnePlus afferma anche che l’app EngineerMode si trova in “diversi altri dispositivi“, pur senza specificare quali e di che brand. Ad oggi non ci risultano però altre segnalazioni simili, sebbene sia vero che OnePlus viene particolarmente “passata al setaccio” dalla community, quindi non è del tutto da escludere che anche altri produttori possano essere coinvolti.

Aggiornamento16/11/2017 ore 09:15

Qualcomm ha replicato (fonte: XDA) che l’app in questione, EngineerMode, non le appartiene. Ci sono sì evidenti tracce di sorgenti Qualcomm, ma il chip maker è convinto che ciò sia dovuto al fatto che l’app è basata su una vecchia app Qualcomm con un nome simile, che si limitava a mostrare informazioni sul dispositivo, app che sarebbe però stata modificata da terze parti fino a diventare quella odierna. Il risultato è che l’app EngineerMode presente sugli smartphone OnePlus non riflette più il codice originale. A seguire trovate la dichiarazione integrale.

After an in-depth investigation, we have determined that the EngineerMode app in question was not authored by Qualcomm. Although remnants of some Qualcomm source code is evident, we believe that others built upon a past, similarly named Qualcomm testing app that was limited to displaying device information. EngineerMode no longer resembles the original code we provided.

Nel frattempo una nuova tegola sta per abbattersi su OnePlus. Lo stesso autore della scoperta iniziale su EngineerMode, afferma ora che c’è un’altra app di debug presente anche nei modelli commerciali: OnePlusLogKit. Tramite questa, un malintenzionato potrebbe accedere a vari log del dispositivo, dal Wi-Fi al GPS, ma il livello di minaccia non è ben chiaro così come la sua semplicità di attuazione. Attendiamo repliche in merito.

Non possiamo però fare a meno di notare un certo accanimento della community verso OnePlus, un po’ come ce n’è stato nei confronti dei Pixel 2, dei quali si è parlato tanto (male) prima ancora che fossero effettivamente in mano agli utenti, e molti dei problemi riscontrati sono infatti già stati risolti. Non stiamo negando che dei problemi ci siano stati, ma saremmo curiosi di vedere cosa verrebbe fuori se un simile grado di attenzione al dettaglio (per non dire “alla magagna) fosse riservato ad ogni top di gamma (e non solo) in commercio.

Via: XDA