สรุปสั้น

นาย Rasmus Moorats นักวิจัยด้านความปลอดภัยเปิดเผยว่าโทรศัพท์ OnePlus 15 ที่รัน OxygenOS รุ่นล่าสุดสามารถถูกยกระดับสิทธิ์เป็น root ได้ด้วยแอปมุ่งร้ายเพียงตัวเดียวที่ผู้ใช้ติดตั้งเอง โดยแอปนั้นไม่ต้องขอ permission พิเศษใด ๆ และไม่มีการแสดงหน้าต่างแจ้งเตือนให้ผู้ใช้อนุมัติ เขาทำได้ด้วยการนำช่องโหว่ 2 จุดในซอฟต์แวร์ที่ OnePlus เขียนขึ้นเองมาต่อกันเป็นสายโซ่ จนได้สิทธิ์ควบคุมเครื่องระดับสูงสุด และทดสอบสำเร็จบนเครื่องที่ยังไม่ได้ดัดแปลงใด ๆ

OnePlus แจ้งกับนาย Moorats ว่าช่องโหว่ชุดเดียวกันนี้กระทบอุปกรณ์ของบริษัทอีกหลายรุ่น รวมถึงเครื่องของ OPPO ที่สร้างบนซอฟต์แวร์ร่วมกัน แม้บริษัทจะยืนยันช่องโหว่ทั้งสองมาตั้งแต่เดือนพฤษภาคม 2569 แต่จนถึงวันเปิดเผยข้อมูลก็ยังไม่ได้ออกแพตช์ ไม่ได้กำหนดหมายเลข CVE และไม่มีประกาศแจ้งเตือนอย่างเป็นทางการ ที่น่ากังวลกว่านั้นคือ OnePlus อ้างสิทธิ์ควบคุมการเปิดเผยช่องโหว่แต่เพียงผู้เดียว และขู่ว่าจะดำเนินคดีตามกฎหมายหากนักวิจัยเผยแพร่โดยไม่ได้รับอนุญาต

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 24 กันยายน 2569 ว่า นาย Rasmus Moorats นักวิจัยด้านความปลอดภัยได้เผยแพร่รายละเอียดการโจมตีที่ยกระดับสิทธิ์เป็น root บนโทรศัพท์ OnePlus โดยอาศัยการเชื่อมช่องโหว่สองจุดในบริการภายในของ OxygenOS หลังจากที่บริษัทไม่ยอมออกแพตช์เป็นเวลานานกว่าห้าเดือน

จากไทม์ไลน์ที่นาย Moorats เผยแพร่ เขารายงานช่องโหว่ทั้งสองให้ OnePlus เมื่อวันที่ 18 เมษายน 2569 บริษัทยืนยันช่องโหว่เมื่อวันที่ 20 พฤษภาคม พร้อมอ้างสิทธิ์ควบคุมการเปิดเผยแต่เพียงผู้เดียวและเตือนเรื่องความรับผิดทางกฎหมาย ต่อมาวันที่ 22 มิถุนายน บริษัทแจ้งความคืบหน้าเรื่องแพตช์และขอให้เขาชะลอการเผยแพร่ ซึ่งเขาตกลงจะไม่เปิดเผยก่อนวันที่ 17 กันยายน หลังจากนั้นเขาสอบถามความคืบหน้าอีกในวันที่ 20 กรกฎาคมและ 11 กันยายนแต่ไม่ได้รับการตอบกลับ สุดท้ายจึงตัดสินใจเผยแพร่ในวันที่ 24 กันยายน ทั้งที่ OnePlus ยังไม่ปล่อยแพตช์ออกมา

OnePlus ยังยืนยันในคำตอบว่า แม้จะออกแพตช์แล้ว นักวิจัยก็ไม่สามารถเผยแพร่รายละเอียดเชิงเทคนิคทั้งหมดได้ด้วยตนเอง โดยอ้างว่ากฎด้านไซเบอร์ของยุโรปกำหนดให้ผู้ผลิตต้องรับและแก้ไขรายงานช่องโหว่ แต่ไม่อนุญาตให้นักวิจัยเปิดเผยโดยไม่ได้รับความยินยอมจากผู้ผลิต

รายละเอียดช่องโหว่

ช่องโหว่จุดแรกอยู่ในบริการของ OnePlus ที่ชื่อ AtlasService ซึ่งทำหน้าที่รวบรวมข้อมูลสำหรับ debug ทำงานด้วยสิทธิ์ root และรับการเรียกจากแอปใดก็ได้โดยไม่ตรวจสอบว่าผู้เรียกคือใคร การเรียกที่ถูกออกแบบมาเป็นพิเศษจะไปถึงเครื่องมือ debug ของ OnePlus ที่นำข้อความจากแอปไปใส่ในคำสั่งระบบโดยไม่ตรวจสอบ (command injection) ทำให้แอปได้สิทธิ์ root แต่ยังถูกจำกัดอยู่ในโซนระบบที่เรียกว่า dumpstate ซึ่งทำงานได้ไม่ครบทุกอย่างเหมือน root ปกติ

ช่องโหว่จุดที่สองเป็นตัวปิดจ๊อบ OnePlus มีบริการตัวช่วยฮาร์ดแวร์ชื่อ olc2 ที่มาพร้อมคำสั่งซึ่งรันคำสั่ง shell อะไรก็ได้ที่ได้รับ โดยมีการป้องกันเพียงอย่างเดียวคือผู้เรียกต้องมีสิทธิ์ root อยู่แล้ว ซึ่งช่องโหว่จุดแรกจัดหาให้ได้พอดี คราวนี้คำสั่งจะรันในโซนที่ให้สิทธิ์ระดับล่างของ Linux ครบทุกอย่าง รวมถึงความสามารถในการโหลดโค้ดเข้าเคอร์เนล ทำให้แอปควบคุมอุปกรณ์ได้ในระดับระบบอย่างสมบูรณ์

การโจมตีนี้เป็นแบบเฉพาะเครื่อง (local) แอปมุ่งร้ายต้องถูกติดตั้งและทำงานอยู่บนเครื่องก่อน จึงไม่สามารถสั่งการผ่านอินเทอร์เน็ตได้โดยตรง แต่เมื่ออยู่ในเครื่องแล้ว แอปไม่ต้องขอ permission และไม่แสดงหน้าต่างใด ๆ ให้ผู้ใช้ นาย Moorats ยังทดสอบสำเร็จบน OnePlus 12 Pro รุ่นเก่ากว่า และคาดว่าปัญหานี้กระทบ OxygenOS 16 โดยรวม ทั้งนี้ยังไม่พบหลักฐานว่ามีการนำช่องโหว่ไปใช้โจมตีจริง

ผลกระทบ

ผู้ใช้โทรศัพท์ OnePlus และ OPPO ที่รัน OxygenOS จำนวนมากเสี่ยงถูกแอปมุ่งร้ายเข้าควบคุมเครื่องระดับ root โดยไม่รู้ตัว เพราะแอปที่ดูไม่มีพิษภัยและไม่ขอสิทธิ์พิเศษก็สามารถยึดเครื่องได้ทั้งหมด เมื่อได้ root แล้วผู้โจมตีสามารถอ่านข้อมูลทุกอย่างบนเครื่อง ติดตั้งมัลแวร์ที่ถอนได้ยาก ดักฟังแอปอื่น และคงสถานะบนเครื่องได้อย่างถาวร ความรุนแรงเพิ่มขึ้นจากการที่ OnePlus ยังไม่ออกแพตช์และไม่กำหนด CVE ทำให้ผู้ใช้ไม่มีทั้งตัวแก้ไขและช่องทางติดตามสถานะช่องโหว่ นอกจากนี้ท่าทีของบริษัทที่ขู่ดำเนินคดีกับนักวิจัยยังอาจบั่นทอนการเปิดเผยช่องโหว่อย่างมีความรับผิดชอบในอนาคต

กรณีนี้ไม่ใช่ครั้งเดียวที่แอปที่ติดตั้งไว้สามารถไต่ขึ้นเป็น root บนมือถือเรือธง เมื่อเดือนสิงหาคมที่ผ่านมา นาย Lukas Maar นักวิจัยจากบริษัท Calif ได้สาธิตอีกเทคนิคหนึ่งที่พาแอปไร้ permission ขึ้นเป็น root บนเครื่องที่ล็อกอยู่และรันเฟิร์มแวร์ล่าสุดของ Samsung, Xiaomi, OPPO, OnePlus และ Realme ด้วยการโจมตีโค้ดที่ผู้ผลิตเพิ่มเข้าไปใน Android ขณะที่ในปี 2568 บริษัท Rapid7 เคยรายงานช่องโหว่ OxygenOS อีกจุดที่เปิดทางให้แอปใดก็ได้อ่านข้อความ SMS ของผู้ใช้ และระบุว่า OnePlus ไม่ตอบสนองจนกว่างานวิจัยจะถูกเผยแพร่ต่อสาธารณะ

คำแนะนำ

ระหว่างที่ยังไม่มีแพตช์ การป้องกันที่ทำได้จริงคือการตัดเงื่อนไขที่การโจมตีต้องใช้ในการเริ่มต้น นั่นคือการติดตั้งแอปเฉพาะจากแหล่งที่เชื่อถือได้เท่านั้น เพราะการโจมตีนี้ทำงานไม่ได้เลยหากไม่มีแอปมุ่งร้ายอยู่บนเครื่อง ผู้ดูแลระบบและองค์กรที่บริหารจัดการอุปกรณ์พกพา (MDM) ควรจำกัดการติดตั้งแอปนอก Play Store โดยเฉพาะไฟล์ APK ที่ผู้ใช้โหลดมาติดตั้งเอง และควรตรวจสอบพฤติกรรมแอปที่เรียกใช้บริการระบบผิดปกติ ผู้ใช้ทั่วไปควรหลีกเลี่ยงการติดตั้งแอปจากลิงก์หรือเว็บที่ไม่รู้จัก และติดตามประกาศแพตช์จาก OnePlus อย่างใกล้ชิดเพื่ออัปเดตทันทีที่ตัวแก้ไขพร้อมใช้งาน

แหล่งอ้างอิง