OnePlus OxygenOS: Befehlsausführung über den olc2-Logging-HAL

Zusammenfassung

Das Android-basierte OxygenOS von OnePlus enthält eine Schwachstelle bei der Berechtigungsprüfung im olc2-Logging-Vendor-HAL. Dessen Binder-Methode doShell startet eine Shell und führt einen vom Aufrufer gelieferten Befehl aus, und die einzige Prüfung besteht darin, dass der Aufrufer die UID 0 hat. Ein lokaler Angreifer, der bereits Code mit UID 0 in einer erlaubten SELinux-Domäne ausführt (zum Beispiel über dumpstate), kann beliebige Befehle mit allen Linux-Capabilities ausführen. Der CVE-Eintrag beschreibt eine Rechteausweitung in der zweiten Stufe, und die veröffentlichte Angriffskette beginnt mit einer gewöhnlichen installierten App.

Betroffen

• OxygenOS 16.1.0 vor 16.1.10.500
• OxygenOS 16.0.0 vor 16.0.5.1200
• OxygenOS 15.0.0 vor 15.0.0.2000
• Betroffene OnePlus- und OPPO-Geräte: vollständige Liste vom Hersteller nicht veröffentlicht (Forscher berichtet von vielen Modellen)

Behoben in

• OxygenOS 16.1.10.500 und neuer (gemäss CVE-Eintrag für den 16.1-Zweig)
• OxygenOS 15.0.0.2000 und neuer (gemäss CVE-Eintrag für den 15.0-Zweig)
• 16.0-Zweig: ungeklärt. Der CVE-Eintrag nennt 16.0.5.1200, der Forscher meldet 16.0.10.500(EX01) als behoben auf dem OnePlus 15. Vor einem Entscheid beim Hersteller prüfen.
• Umfang des Herstellers: Laut einem Sekundärbericht wurden bis 28. Sep 2026 151 gepflegte Modelle gepatcht, 18 waren ausstehend. Nicht bei OnePlus verifiziert.

Umgehung

Unbekannt. Kein Workaround des Herstellers gefunden. Das neueste OxygenOS-Update installieren.

Ausnutzung

• Nicht im CISA-KEV-Katalog; EPSS unter 1%
• CISA-SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung
• Eine ausführliche öffentliche Beschreibung (24. Sep 2026) zeigt die vollständige Kette auf OnePlus 15 und OnePlus 12 Pro; kein eigenständiger PoC-Code gefunden
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; dies beweist deren Fehlen nicht

Unsere Empfehlung

• Alle OnePlus- und OPPO-Geräte inventarisieren, einschliesslich BYOD-Geräte
• Das neueste OxygenOS-Update per MDM durchsetzen und die installierte Version prüfen
• Sideloading und nicht verwaltete App-Installationen blockieren oder einschränken
• Auf die Root-Erkennung des MDM nicht vertrauen; eine Kompromittierung kann unbemerkt bleiben
• Für den korrekten Fixstand des eigenen Zweigs direkt die Sicherheitsmitteilung von OnePlus prüfen
• Priorität: mittel bis hoch für Flotten mit OnePlus- oder OPPO-Geräten, sonst niedrig

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Researcher write-up (nns.ee) blog.nns.ee
• OpenCVE app.opencve.io
• VulDB CVE entry vuldb.com
• VulDB vulnerability entry vuldb.com
• Hexnode threat watch www.hexnode.com
• TechJournal (secondary report) techjournal.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:11.