Una falla sin parchar deja que cualquier app tome el control total de celulares OnePlus y Oppo
Un investigador de seguridad destapó una falla grave en OxygenOS, el sistema de OnePlus y Oppo, que le permite a cualquier app instalada tomar el control total del teléfono sin pedir un solo permiso. Alcanza con instalarla y abrirla una vez.
Si tenés uno de estos equipos, la recomendación es simple: revisar seguido si hay actualizaciones pendientes y no dar por sentado que ya está resuelto.
El hallazgo es de Rasmus Moorats, que encontró dos bugs que se encadenan. El primero está en AtlasService, un servicio de diagnóstico que corre como root y no chequea bien quién le manda órdenes: una app puede aprovecharlo para ejecutar comandos con privilegios elevados a través de una herramienta de depuración de audio. El segundo está en olc2, un componente que ejecuta órdenes de consola y solo se fija si el pedido viene de un proceso root, sin preguntar nada más. Juntando los dos, una app cualquiera termina con acceso root completo, sin dejar rastro para el usuario.
Moorats probó el exploit en un OnePlus 15 y en un OnePlus 12 Pro, pero avisa que la falla podría afectar a muchos más equipos con OxygenOS 16, tanto de OnePlus como de Oppo. Lo llamativo es cómo se manejó OnePlus: le avisaron el 18 de abril, la empresa confirmó el problema el 20 de mayo pero amenazó con acciones legales si se publicaba sin su permiso, y pidió estirar el plazo hasta el 17 de septiembre. Pasó esa fecha sin noticias, así que el investigador publicó todo el 24 de septiembre.
Por ahora solo el OnePlus 15 recibió el parche, con la versión de OxygenOS 16.0.10.500 (EX01). El resto de los modelos OnePlus y Oppo con la misma versión del sistema sigue expuesto, sin fecha de solución confirmada. Si tenés uno de estos equipos, la recomendación es simple: revisar seguido si hay actualizaciones pendientes y no dar por sentado que ya está resuelto.
