CVE-2017-8850
Açıklama
OnePlus One, X, 2, 3 ve 3T cihazlarında bir sorun tespit edilmiştir. OnePlus OTA imajlarındaki esnek updater-script nedeniyle ve her iki ROM'un da aynı OTA doğrulama anahtarlarını kullanması sebebiyle; saldırganlar kilitli bootloader'larda bile HydrogenOS'u OxygenOS üzerine veya tersini yükleyebilirler. Bu durum, saldırı yüzeyinin genişlemesinin yanı sıra, bir imajda yamalanmış ancak diğerinde yamalanmamış olan güvenlik açıklarının istismar edilmesine olanak tanır. Bu zafiyet, güncelleme sürecini hedef alan Man-in-the-Middle (MiTM) saldırganları tarafından istismar edilebilir. Güncelleme işleminin TLS üzerinden gerçekleşmemesi nedeniyle bu durum mümkündür (CVE-2016-10370). Ayrıca, fiziksel erişimi olan saldırganlar telefonu recovery modunda yeniden başlatabilir ve ardından OTA paketini yüklemek için 'adb sideload' komutunu kullanabilirler (OnePlus 3/3T modellerinde 'Secure Start-up' kapalı olmalıdır).
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| oneplus oxygenos | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.