CVE-2026-70386 in OxygenOS
Resumen
por VulDB • 2026-10-21
Vulnerabilidad de neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo ('inyección de comandos OS') y falta de autorización en OnePlus OxygenOS para Android. Cualquier aplicación instalada localmente en Android, sin permisos declarados ni interacción del usuario más allá de su lanzamiento, puede ejecutar comandos shell arbitrarios como uid 0 en el dominio SELinux u:r:dumpstate:s0. Dos defectos se combinan: (a) la interfaz binder atlasservice de OnePlus acepta setEvent(String8 name, String8 value) de cualquier llamante sin autorización; y (b) un controlador de eventos (OplusAtlasLogWriter::handleEvent, con el nombre de evento atlas_event_multimedia_audio_dumpsys) copia el valor proporcionado por el llamante en la propiedad del sistema oplus.audio.dumpinfo.type e inicia el servicio raíz init audiodumpinfo, que pasa ese valor de propiedad sin sanitizar a system(). Este problema afecta a OxygenOS: desde 16.1.0 hasta antes de 16.1.10.500, desde 16.0.0 hasta antes de 16.0.5.1200 y desde 15.0.0 hasta antes de 15.0.0.2000.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.