OnePlus a laissé une porte dérobée au sein de sa ROM : Qualcomm se dédouane

 
Des utilisateurs ont découvert une mystérieuse application au sein de la ROM des OnePlus 3, 3T et 5. Normalement destinée aux tests usine du téléphone, elle laisse une dangereuse porte dérobée au sein du système.
OnePlus 5

Mise à jour du 16/11 :

Suivant la réponse officielle de OnePlus, Qualcomm a aussi tenu à réagir à cette controverse du fait que l’outil ciblé est censé être l’un des siens. Pour s’en dissocier, la marque américaine a déclaré :

Après enquête approfondie, nous avons déterminé que l’application EngineerMode pointée du doigt ici n’a pas été validée par Qualcomm. Bien que des parties du code source de Qualcomm soient toujours présentes, nous pensons que d’autres ont construit sur la base d’une ancienne version de l’application de test Qualcomm au nom similaire qui n’avait pour but que d’afficher les informations de l’appareil. EngineerMode ne ressemble plus au programme original que nous avons fourni.

Il n’est pas étonnant que les constructeurs eux-mêmes modifient l’application de base afin de correspondre à leurs attentes en matière de contrôle qualité. Ce communiqué a de toute évidence pour but de séparer Qualcomm d’éventuelles complications dans cette affaire.

Mise à jour du 15/11 :

Par le biais d’un post sur son forum officiel, OnePlus a réagi à la découverte du fameux EngineerMode et ses capacités. En voici la traduction :

Hier, nous avons reçu de nombreuses questions concernant un APK découvert sur beaucoup d’appareils, dont les nôtres, appelé EngineerMode, et nous aimerions vous expliquer de quoi il s’agit. EngineerMode est un outil de diagnostic principalement utilisé pour les tests en chaîne de production et le support après-vente.

Nous avons vu plusieurs messages par les développeurs de notre communauté qui s’inquiètent parce que cet APK donne les privilèges root. Bien qu’il puisse activer adb root qui offre ces privilèges sur les commandes adb, il ne laissera pas d’applications tierces avoir accès à tous les privilèges root. De plus, adb root est accessible uniquement si le débogage USB, qui est désactivé par défaut, est activé, et n’importe quelle sorte d’accès root requiert ainsi un accès physique à l’appareil.

Bien que nous ne voyons pas cela comme une faille de sécurité majeure, nous comprenons que les utilisateurs puissent toujours être inquiets et allons donc retirer la function adb root d’EngineerMode dans une prochaine mise à jour OTA.

EngineerMode n’était donc pas laissé par erreur, mais ne représente pas selon l’entreprise un risque majeur. La fonction pointée du doigt comme dangereuse sera toutefois prochainement retirée, sans que l’APK en lui-même ne disparaisse.

Article original du 14/11 :

Les constructeurs se doivent de tester les téléphones avant de les envoyer de leur usine vers nos magasins. Pour ce faire, quelques applications existent afin d’en tester rapidement les fonctionnalités de base. Ces applications disparaissent dès lors que les tests sont effectués.

Mieux vaut bien évidemment qu’elles disparaissent, puisqu’elles ont généralement accès à des droits supérieurs à la moyenne. Problème étant que OnePlus a oublié d’en enlever une très importante au sein des OnePlus 3, 3T et 5.

Les OnePlus 3, 3T et 5 ont une porte dérobée préinstallée par erreur

L’application « EngineerMode » a en effet été découverte au sein des ROM installées sur ces 3 appareils. Comme le révèle « Elliot Alderson », fan de Mr Robot mais aussi développeur, cette application est normalement fournie par Qualcomm afin de laisser les OEM tester les fonctionnalités hardware de leurs produits.

Problème étant qu’elle est encore présente sur la ROM utilisateur… et qu’elle ne permet pas que ça. Il est en effet possible de lancer ADB en tant que root directement grâce à celle-ci, en prime d’accéder aux droits root sans même déverrouiller le bootloader.

Des conséquences fâcheuses

Un outil pour ce faire sera bientôt proposé par Elliot Alderson. C’est là, une conséquence bienheureuse de cette application, mais qui a aussi ses répercussions sur la sécurité des appareils.

En effet, l’existence d’une telle application laisse une porte dérobée que peuvent potentiellement utiliser des personnes malveillantes et des malwares. À titre d’exemple, le développeur indique que combiner la vulnérabilité de l’overlay Toast avec ce type d’application pourrait permettre à un malware d’accéder à de nombreux droits.

Il y a fort à parier que OnePlus supprimera très bientôt cette application de son système dans une mise à jour future. D’ici là, ceux souhaitant rooter leurs OnePlus 3, 3T ou 5 seront bien heureux de l’avoir… en espérant que les pirates ne saisissent pas l’occasion trop vite. Rappelons par ailleurs que OnePlus avait été vivement critiqué pour les indiscrétions d’Oxygen OS qui récoltait des données sur ses utilisateurs, avant que la marque ne promette de mieux encadrer ce processus.

Pour aller plus loin
OnePlus 5T : écran, caractéristiques… tous ses détails publiés sur la Toile