Sicherheitsrisiko: Oneplus-Smartphones kommen mit eingebautem Root-Zugang

Oneplus verkauft offenbar seit Jahren seine Smartphones mit einem vorinstallierten Entwicklertool von Qualcomm, das Zugriff auf zahlreiche Systemressourcen erlaubt. Per ADB ist ein Root-Zugriff auf das jeweilige Gerät möglich. Der Hersteller will die Anwendung herauspatchen.

Artikel veröffentlicht am ,
Die App Engineermode ermöglicht weitreichenden Zugriff.
Die App Engineermode ermöglicht weitreichenden Zugriff. (Bild: Screenshot Golem.de)

Ein Twitter-Nutzer mit dem Usernamen Elliot Alderson hat herausgefunden, dass Oneplus-Smartphones mit einer Testanwendung von Qualcomm ausgeliefert werden. Diese ermöglicht nicht nur eine Reihe von Tests für Ingenieure, sondern auch, das Smartphone zu rooten.

Engineermode ist auf Oneplus-Smartphones vorinstalliert

Stellenmarkt
  1. Fullstack-PHP-Entwickler (m/w/d)
    SHD System-Haus-Dresden GmbH, Dresden
  2. Experte / Inhouse Consultant Cyber Security Product Governance (m/w/d)
    DRÄXLMAIER Group, Vilsbiburg bei Landshut
Detailsuche

Die App namens Engineermode ist leicht auf Oneplus-Smartphones zu finden: In der Auflistung aller installierten Apps in den Systemeinstellungen taucht sie auch bei unserem Oneplus 5 unter den Systemprozessen auf. Aufgerufen werden kann die Anwendung unter anderem über den Activity Launcher, eine kostenlose App aus dem Play Store.

Sicherheitsrelevant scheint der Prozess "Diagenabled" zu sein. Hierüber kann über ADB ein Root-Zugang auf das Gerät erlangt werden. Das nötige Passwort hat Elliot Alderson nach wenigen Stunden herausgefunden. Aktuell kann der Root-Zugang nicht einfach von anderen Apps ausgenutzt werden, Alderson schließt dies allerdings generell nicht aus.

Oneplus hat sich mittlerweile zu der Sache geäußert. In einer Stellungnahme erklärt der Hersteller, dass die Anwendung Engineeringmode für Tests nach der Produktion verwendet werde und die App auch einen Root-Zugang ermögliche. Dieser könne allerdings nicht durch andere Apps genutzt werden - eine Tatsache, die die Nachforschungen von Alderson bestätigen.

Golem Akademie
  1. Unreal Engine 4 Grundlagen: virtueller Drei-Tage-Workshop
    28. Februar–2. März 2022, Virtuell
  2. ITIL 4® Foundation: virtueller Zwei-Tage-Workshop
    24.–25. Januar 2022, virtuell
Weitere IT-Trainings

Zudem sei der ADB-Zugang nur möglich, wenn auf dem betreffenden Smartphone USB-Debugging eingestellt ist. Dennoch erkennt Oneplus, weshalb sich Nutzer Sorgen deswegen machen können und will daher den Root-Zugang in einem kommenden Update aus Engineeringmode entfernen.

Nachtrag vom 16. November 2017, 14:24 Uhr

Qualcomm will mit der aktuellen Version der Engineeringmode-App nichts zu tun haben, wie Qualcomms Vice President of Product Security Engineering Alex Gantman auf Twitter mitteilt. Zwar habe es in der Vergangenheit eine gleichnamige App des Chipherstellers gegeben, die auf den Oneplus-Smartphones veröffentlichte habe mit dieser aber nicht mehr viel zu tun. Denkbar ist, dass Oneplus die App im Laufe der Zeit verändert hat.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Lego Star Wars UCS AT-AT aufgebaut
"Das ist kein Mond, das ist ein Lego-Modell"

Ganz wie der Imperator es wünscht: Der Lego UCS AT-AT ist riesig und imposant - und eines der besten Star-Wars-Modelle aus Klemmbausteinen.
Ein Praxistest von Oliver Nickel

Lego Star Wars UCS AT-AT aufgebaut: Das ist kein Mond, das ist ein Lego-Modell
Artikel
  1. Fernwartung: Der Kundenansturm, der Teamviewer nicht gut getan hat
    Fernwartung
    Der Kundenansturm, der Teamviewer nicht gut getan hat

    Wie schätzt man die weitere Geschäftsentwicklung ein, wenn die Kunden in der Pandemie plötzlich Panikkäufe machen? Das gelang bei Teamviewer nicht.
    Ein Bericht von Achim Sawall

  2. Wochenrückblick: Schlechte Karten
    Wochenrückblick
    Schlechte Karten

    Golem.de-Wochenrückblick Eine neue Grafikkarte und eine mysteriöse Behörde: die Woche im Video.

  3. Pluton in Windows 11: Lenovo will Microsofts Sicherheitschip nicht aktivieren
    Pluton in Windows 11
    Lenovo will Microsofts Sicherheitschip nicht aktivieren

    Die neuen Windows-11-Laptops kommen mit dem Chip Pluton. Lenovo will diesen aber noch nicht selbst aktivieren.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • RTX 3070 989€ • The A500 Mini Retro-Konsole mit 25 Amiga-Spielen vorbestellbar 189,90€ • RX 6800 16GB 1.129€ • Intel Core i9 3.7 459,50€ Ghz • WD Black 1TB inkl. Kühlkörper PS5-kompatibel 189,99€ • Switch: 3 für 2 Aktion • RX 6700 12GB 869€ • MindStar (u.a. 1TB SSD 69€) [Werbung]
    •  /