OnePlus OxygenOS: Lokale Rechteerweiterung zu Root über AtlasService und Hersteller-HAL

Zusammenfassung

Eine lokal installierte Android-App ohne deklarierte Berechtigungen kann auf betroffenen OnePlus- und OPPO-Geräten Shell-Befehle als Root (uid 0) ausführen. Der Angriff verkettet einen nicht autorisierten AtlasService-Binder-Aufruf mit einer Command Injection im Dienst audioDumpInfo sowie einem Hersteller-HAL (olc2), der Shell-Befehle für jeden Aufrufer mit uid 0 ausführt. Der Angreifer benötigt eine installierte Schadsoftware-App auf dem Gerät und muss diese nur starten.

Betroffen

• OxygenOS ab 16.1.0 vor 16.1.10.500
• OxygenOS ab 16.0.0 vor 16.0.5.1200
• OxygenOS ab 15.0.0 vor 15.0.0.2000
• Vollständige Liste der betroffenen OnePlus- und OPPO-Modelle: Unbekannt; OnePlus hat sie noch nicht veröffentlicht.

Behoben in

• Korrigierte Builds gemäss den Schwellenwerten im CVE-Eintrag: 16.1.10.500, 16.0.5.1200, 15.0.0.2000 (oder neuer).
• Der Forscher meldet, dass OxygenOS 16.0.10.500(EX01) die Probleme auf dem OnePlus 15 behebt. Dies passt nicht zum Schwellenwert der Version 16.1, daher ist der korrigierte Build pro Zweig zu prüfen.
• OnePlus meldete 151 gewartete Geräte mit Patch und 18 mit ausstehender Freigabe (Stand 28. September 2026).
• Offizielle Sicherheitsmitteilung von OnePlus: Nicht auffindbar.

Umgehung

• Kein Workaround ersetzt den Patch.
• Installation nicht genehmigter Apps einschränken und Sideloading vermeiden.
• Geräte auf Anzeichen für Root-Zugriff prüfen.
• Ein MDM kann den verwundbaren Hersteller-Dienst nicht reparieren.

Ausnutzung

• Ein öffentlicher Proof of Concept und eine Beschreibung sind verfügbar (Blog des Forschers, 24. September 2026).
• CISA SSVC: Ausnutzungsstatus PoC, nicht automatisierbar.
• Nicht im CISA-KEV-Katalog. EPSS etwa 1.2% zum Zeitpunkt der Daten.
• Zum Zeitpunkt der Veröffentlichung gab es keine Hinweise auf Ausnutzung in freier Wildbahn.

Unsere Empfehlung

• Alle im Einsatz befindlichen OnePlus- und OPPO-Geräte erfassen, einschliesslich BYOD-Geräten mit Zugriff auf Firmendaten.
• OxygenOS auf den neusten Build für das jeweilige Modell aktualisieren und die Build-Nummer mit der Sicherheitsmitteilung von OnePlus abgleichen.
• Nur genehmigte Apps aus dem Play Store zulassen und Sideloading per MDM blockieren.
• Geräte auf unbekannte Apps und Root-Anzeichen überwachen; Geräte mit vermuteter Kompromittierung als nicht vertrauenswürdig behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Researcher write-up (nns.ee) blog.nns.ee
• OpenCVE CVE-2026-70386 app.opencve.io
• Hexnode threat watch: OxygenOS unpatched root flaws www.hexnode.com
• GSMGoTech: OxygenOS root exploit www.gsmgotech.com
• TechJournal: OnePlus root flaw patches techjournal.org
• OnePlus community thread community.oneplus.com
• Tech Insider: OnePlus root vulnerability tech-insider.org
• CVE threatint record cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:16.