CVE-2026-70387 in OxygenOS
Sumário
de VulDB • 21/10/2026
Vulnerabilidade de método ou função perigosa exposta e Autorização incorreta no OxygenOS da OnePlus para Android. O HAL de logging olc2 expõe um binder method que executa fork() e chama execl("/vendor/bin/sh", "sh", "-c", cmd, NULL) com uma string de comando fornecida pelo chamador. A única verificação de autorização é getCallingUid() == 0. Como a política SELinux concede acesso ao binder para este HAL a um amplo conjunto de atributos de cliente, qualquer processo uid-0 em um desses domínios (incluindo dumpstate, que é acessível por meio de um aplicativo não privilegiado via Vulnerabilidade 1) obtém execução arbitrária de comandos. O shell gerado assume o contexto SELinux u:r:vendor_qti_init_shell:s0 através de uma transição de tipo na política, sendo este domínio detentor de todas as capacidades do Linux. Este problema afeta OxygenOS: da versão 16.1.0 até antes da 16.1.10.500, da 16.0.0 até antes da 16.0.5.1200 e da 15.0.0 até antes da 15.0.0.2000.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.