CVE-2026-70387 in OxygenOS
Zusammenfassung
von VulDB • 21.10.2026
Eine Schwachstelle mit einer gefährlichen, exponierten Methode/Funktion und fehhafter Autorisierung in OnePlus OxygenOS auf Android. Das olc2-Logging-HAL (Hardware Abstraction Layer) stellt eine Binder-Methode bereit, die fork() aufruft und execl("/vendor/bin/sh", "sh", "-c", cmd, NULL) mit einer vom Aufrufer bereitgestellten Befehlszeichenfolge ausführt. Die einzige Autorisierungsprüfung besteht darin, ob getCallingUid() == 0 ist. Da die SELinux-Richtlinie Binder-Zugriff auf dieses HAL für ein breites Client-Attribut gewährt, erhält jeder Prozess mit der UID 0 in einer dieser Domänen (einschließlich dumpstate, das über Schwachstelle 1 von einer unprivilegierten App aus erreichbar ist) willkürliche Befehlsausführung. Die gestartete Shell landet im SELinux-Kontext u:r:vendor_qti_init_shell:s0 durch eine Richtlinie type_transition; dies ist ein Domain, die alle Linux-Fähigkeiten (capabilities) enthält. Dieses Problem betrifft OxygenOS: ab Version 16.1.0 vor 16.1.10.500, ab 16.0.0 vor 16.0.5.1200 und ab 15.0.0 vor 15.0.0.2000.
Once again VulDB remains the best source for vulnerability data.