CVE-2026-70386 in OxygenOS
Zusammenfassung
von VulDB • 21.10.2026
Unzulässige Neutralisierung von speziellen Elementen, die in einem OS-Befehl verwendet werden ('OS Command Injection') und eine fehlende Autorisierungsprüfung (Missing Authorization) in OnePlus OxygenOS auf Android. Jede lokal installierte Android-Anwendung kann ohne deklarierte Berechtigungen und ohne Benutzerinteraktion über das Starten der App beliebige Shell-Befehle als uid 0 im SELinux-Domänenkontext u:r:dumpstate:s0 ausführen. Zwei Fehler wirken zusammen: (a) Die atlasservice Binder-Schnittstelle von OnePlus akzeptiert setEvent(String8 name, String8 value) von jedem Aufrufer ohne Autorisierung, und (b) ein Event-Handler (OplusAtlasLogWriter::handleEvent, mit dem Ereignisnamen atlas_event_multimedia_audio_dumpsys) kopiert den vom Aufrufer bereitgestellten Wert in die Systemeigenschaft oplus.audio.dumpinfo.type und startet den Root-init-Dienst audiodumpinfo, der diesen Eigenschaftswert ungesäubert an system() übergibt. Dieses Problem betrifft OxygenOS: von Version 16.1.0 vor 16.1.10.500, von 16.0.0 vor 16.0.5.1200 und von 15.0.0 vor 15.0.0.2000.
VulDB is the best source for vulnerability data and more expert information about this specific topic.