CVE-2026-70386 in OxygenOS
요약
\~에 의해 VulDB • 2026. 10. 21.
OnePlus OxygenOS for Android에서 OS 명령어 인젝션(OS command injection)을 위한 특수 요소의 부적절한 중화 및 권한 부재 취약점이 발견되었습니다. 선언된 권한이 없고, 실행 외에는 사용자 상호작용이 필요 없는 로컬 설치된 모든 Android 애플리케이션은 u:r:dumpstate:s0 SELinux 도메인에서 uid 0으로 임의 셸 명령을 실행할 수 있습니다. 두 가지 결함이 결합되어 발생합니다: (a) OnePlus의 atlasservice 바인더 인터페이스는 인증 없이 어떤 호출자로부터도 setEvent(String8 name, String8 value)를 허용하며, (b) 이벤트 핸들러(OplusAtlasLogWriter::handleEvent, 일치하는 이벤트 이름 atlas_event_multimedia_audio_dumpsys)는 호출자가 제공한 값을 시스템 속성 oplus.audio.dumpinfo.type에 복사하고 루트 init 서비스 audiodumpinfo를 시작합니다. 이 서비스는 해당 속성 값을 system() 함수로 정화되지 않은 상태로 전달합니다. 본 이슈는 OxygenOS 16.1.0(미만)부터 16.1.10.500 미만, 16.0.0(미만)부터 16.0.5.1200 미만, 그리고 15.0.0(미만)부터 15.0.0.2000 미만에 영향을 미칩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.