I ricercatori di Aleph Security hanno identificato nel mese di gennaio quattro vulnerabilità nel processo di aggiornamento OTA utilizzato su tutti gli smartphone OnePlus ma per il momento la compagnia cinese non è intervenuta in alcun modo.

La compagnia di sicurezza ha ritenuto opportuno rendere note le vulnerabilità per stimolare OnePlus a porre rimedio alla situazione che lascia aperte molte strade per eventuali malintenzionati. La prima vulnerabilità è rappresentata dalla trasmissione in chiaro degli aggiornamenti che consente attacchi di tipo Man-in-the-middle,

La possibilità di sostituire OxygenOS con HydrogenOS e viceversa anche se il bootloader è bloccato e quella di installare le ROM di OnePlus One e OnePlus X su entrambi i dispositivi ( che può portare al blocco del dispositivo) testimoniano la mancanza di un collegamento tra l’aggiornamento OTA e il dispositivo che permettono ad eventuali malintenzionati di fornire aggiornamenti opportunamente modificati e prendere possesso dello smartphone da remoto.

L’ultima vulnerabilità riguarda la possibilità di effettuare un downgrade del firmware anche con bootloader bloccato. Anche in questo caso un attaccante potrebbe installare una versione precedente del firmware e sfruttare una vulnerabilità precedente per entrare nel sistema.

Una parziale soluzione è rappresentata dall’attivazione della crittografia sulla memoria interna ma è auspicabile che nel frattempo OnePlus ponga rimedio a queste vulnerabilità che potrebbero compromettere la sicurezza degli utenti.