Най-новите флагмански смартфони на Samsung, Xiaomi, Oppo и OnePlus – всички те с инсталирани най-нови актуализации за сигурност бяха пробити от приложение без привилегии. И вината не е на Android – софтуерът, добавен от производителите на тези смартфони е критично уязвим и дава дълбок достъп до системата.

Лукас Маар, изследовател по сигурността в Calif разкри една неприятна слабост в устройствата с Android – софтуерът на производителите (OEM) е критично уязвим, което позволява на хакерите да отворят root shell на смартфони от водещите марки. Изследователят демонстрира как приложение без специални привилегии и без никакви разрешения поема пълен контрол над устройствата с Android.

Същата хакерска стратегия, наречена OEMpocalypse Now доведе до три вериги от експлойти, насочени към флагманските модели на Samsung – поне от серията Galaxy S23 до Galaxy S26 и най-новите модели от серията Galaxy Z Flip, към повечето устройства на Xiaomi от средния клас до флагманските модели, както и към най-новите флагмани на Oppo, OnePlus и Realme.

Уязвимостите не са свързани с конкретна версия на Android, чипсет, версия на ядрото или дори модел на устройството. Много смартфони използват един и същ уязвим допълнителен софтуерен софтуерен слой, като One UI, HyperOS или ColorOS с драйвери за ядрото, специфични за съответния производител.

„Основната идея е да се насочим единствено към код, написан от производители на оригинално оборудване (OEM), като Samsung и Xiaomi.“

заявява Маар в първата част на изследването

Root достъпът предоставя на атакуващите почти пълен контрол над устройството и данните му, като заобикаля модела на разрешенията на Android и дори им позволява да манипулират недостъпни за потребителя настройки на системно ниво, което потенциално може да доведе до повреда на хардуера. Изследователят не разкри кода за доказателство на концепцията и сподели само няколко видеоклипа като доказателство за хакване на флагмански смартфони. Маар планира да продължи поредицата с по-подробен поглед върху веригата за всеки отделен OEM.

Как работят тези експлойти?

Приложенията за Android от трети страни се изпълняват в изолирана среда, наречена untrusted_app – обикновено те не могат да комуникират директно с драйверите на ядрото и никога не бива да имат достъп до root права. Маар описва експлойт от untrusted_app към root, който според докладите постига почти 100% надеждност, независимо от защитите или персонализациите на Android и е преносим с минимални настройки за всяка версия на ядрото, за всеки OEM, за всеки чипсет или за всяко устройство и обхваща универсално много устройства.

Експлойтът се изпълнява в два основни етапа. Първият е излизане от пясъчника. Android вече предоставя много начини за взаимодействие между приложенията чрез т.нар. крайни точки за междупроцесна комуникация (IPC). Софтуерът на производителите разширява тази повърхност за атака, като добавя свои собствени приложения, услуги и демони, всеки от които с допълнителен набор от такива крайни точки. А компонентите на производителите могат да отворят драйвера на ядрото. Един-единствен логически пропуск в един от тези OEM IPC, например липсваща проверка на извикващия, експортиран компонент, който не би трябвало да бъде, или непроверен път към файл е достатъчен, за да се пресече границата на привилегиите, обяснява Маар.

Изследователят се е възползвал от бъг, който се намира изцяло в логиката на потребителското пространство на OEM, за да премине от ненадеждно приложение в процес, принадлежащ на OEM.

На втория етап изследователят се е насочил към уязвимост от типа „use-after-free“ в драйвер на ядрото, специфичен за даден производител. Драйверът запазва препратка към конкретен блок памет (страница), след като ядрото го е освободило за повторна употреба, което позволява на изследователя да използва тази неактуална препратка, за да получи достъп до данни в ядрото и да ги промени.

„След това приложих стратегията три пъти – по веднъж за всеки от големите производители на Android устройства и по този начин открих множество уязвимости.“

заявява изследователят

Всяко приложение без декларирани разрешения беше тествано на Samsung Galaxy S26 Ultra, S26 и Galaxy S23, Xiaomi 17, Oppo Find X9 Ultra и OnePlus Ace 6 Ultra. Google Pixel, работещ със стандартен Android не би бил уязвим към този вид уязвимост – за да се случи това, би била необходима по-обща уязвимост в ядрото на Linux.

Докладът предупреждава, че този клас уязвимости от типа „use-after-free“ е труден за отстраняване, след като достигне кода на ядрото. Решаването на проблема изисква одит на драйверите, които картират страници, принадлежащи на ядрото, в потребителското пространство или адресното пространство на устройството, и гарантиране, че всяко картиране се премахва, преди страницата да бъде освободена.