De um APK comum ao root no OnePlus

O artigo de Rasmus Moorats mostra como duas vulnerabilidades do OxygenOS podem ser encadeadas a partir de um APK comum, sem permissões especiais, até uid 0 e, subsequentemente, o domínio SELinux vendor_qti_init_shell. A cadeia foi confirmada em um OnePlus 15 executando OxygenOS 16; a OnePlus relatou que vários dispositivos OnePlus e OPPO foram afetados, mas não forneceu uma lista completa.

• Injeção de comando no AtlasService — Qualquer UID podia chamar AtlasService.setEvent() com o evento atlas_event_multimedia_audio_dumpsys. O valor fornecido chegava a audioDumpInfo, que construía system("chmod 777 " + value) sem escape, permitindo que comandos fossem executados como uid 0 no domínio dumpstate. Nenhum privilégio especial de aplicativo era necessário.

• Execução de shell no HAL olc2 — O HAL vendor.oplus.hardware.olc2.IOplusLogCore/default expunha doShell() e aceitava chamadas de qualquer processo cujo UID do chamador fosse 0. Ele executava /vendor/bin/sh -c e gerava o processo filho em vendor_qti_init_shell, fornecendo todas as capacidades Linux listadas no artigo, enquanto o SELinux ainda restringia o acesso resultante. No OnePlus 15 testado, os problemas foram corrigidos na compilação 16.0.10.500(EX01).

Artigo: https://blog.nns.ee/2026/09/24/oneplus_root/