À quoi sert d’avoir une serrure quand on laisse la porte grande ouverte ? C’est le casse-tête auquel les propriétaires du OnePlus 6 font face maintenant, après avoir découvert comment le smartphone peut être aisément détourné de son utilisation première. Selon un chercheur en sécurité, il est possible de flasher toute image modifiée sur le OnePlus 6, que le bootloader soit verrouillé ou non. Le seul lot de consolation pour les propriétaires du smartphone est que le hacker aura besoin d’un accès physique à l’appareil pour accomplir aisément cet accès.
Le bootloader est la première ligne de défense d’un smartphone contre l’installation de logiciels non certifiés. C’est pourquoi c’est aussi le premier qui doit être déverrouillé avant que des ROM tierces puissent être installées ou avant que les smartphones puissent être rootés. Mais alors que la plupart des utilisateurs garderont leurs bootloaders déverrouillés, les utilisateurs du OnePlus 6 devront être encore plus prudents à cause de ce bug.
Selon Jason Donenfeld de Edge Security, le OnePlus 6, pour une raison étrange, peut démarrer n’importe quelle image arbitraire en utilisant la commande fastboot de l’outil adb. Cette image peut être conçue pour prendre le contrôle de l’appareil et de son contenu, en contournant toutes les autres mesures de sécurité mises en œuvre sur Android.
En d’autres termes, le OnePlus 6 est à peu près un livre ouvert que tout le monde peut exploiter.
Une faille bientôt corrigée
The #OnePlus6 allows booting arbitrary images with ’fastboot boot image.img’, even when the bootloader is completely locked and in secure mode. pic.twitter.com/MaP0bgEXXd
–Edge Security (@EdgeSecurity) 9 juin 2018
Mais comme un vrai livre, le hacker doit d’abord avoir un accès physique au smartphone. Néanmoins, contrairement à la plupart des cas de vol ou de piratage, c’est à peu près tout ce dont le hacker a besoin. Cela différencie ce bug de la précédente « porte dérobée » du OnePlus 5T qui nécessitait le débogage USB pour être activé en premier.
Selon XDA, les bonnes nouvelles sont que OnePlus est déjà sur le bug, et promet qu’une mise à jour logicielle viendra bientôt. Bien que la réponse de l’entreprise soit rapide, elle soulève toujours la question de savoir comment un tel oubli leur a encore échappé.
