Критическая уязвимость OnePlus OxygenOS раскрывает ваши СМС и MFA-коды

Критическая уязвимость OnePlus OxygenOS раскрывает ваши СМС и MFA-коды

Критическая уязвимость OnePlus OxygenOS раскрывает ваши СМС и MFA-коды

Исследователи из Rapid7 рассказали о критической дыре в безопасности смартфонов OnePlus. Уязвимость получила номер CVE-2025-10184 и связана с оболочкой OxygenOS. Суть проблемы в том, что любое установленное приложение может без спроса читать ваши СМС и ММС — включая коды двухфакторной аутентификации, банковские уведомления и личную переписку.

И при этом пользователь никак не узнает, что его сообщения уже «утекли». Виноваты в этом встроенные провайдеры контента OxygenOS — ServiceNumberProvider, PushMessageProvider и PushShopProvider.

Они неправильно настроены и дают доступ к данным без проверки разрешений. Более того, исследователи нашли и возможность «слепой» SQL-инъекции, то есть злоумышленники могут выкачивать СМС буквально посимвольно.

Подтверждено, что баг работает на:

  • OnePlus 8T (OxygenOS 12, сборка KB2003_11_C.33).
  • OnePlus 10 Pro 5G (OxygenOS 14–15, сборки NE2213_14.0.0.700, 15.0.0.502, 15.0.0.700, 15.0.0.901).

Любопытно, что более старые версии OxygenOS 11 уязвимости не подвержены. Видимо, ошибка появилась, начиная с OxygenOS 12 в 2021 году.

Особенно опасно то, что уязвимость напрямую подрывает работу СМС-МФА. Приложение может тихо украсть одноразовый код, и пользователь ничего не заметит.

Rapid7 пытались связаться с OnePlus, но безуспешно. Формально у компании есть баг-баунти, но его условия оказались слишком жёсткими для исследователей. В итоге баг до сих пор не закрыт.

Что делать пользователям:

  • Стараться ставить только проверенные приложения.
  • Перейти с СМС-подтверждений на аутентификаторы (Google Authenticator, Authy и т. п.).
  • Для переписки использовать мессенджеры со сквозным шифрованием.
  • Где возможно, заменить СМС-уведомления на пуш-оповещения.

Пока OnePlus молчит, пользователям остаётся только осторожность.

Госзакупки решений для защиты учетных записей выросли почти на 22% за год

По данным аналитики Staffcop и «Контур.Эгида», в 2025 году рынок закупок решений для защиты учетных записей по 44-ФЗ, 223-ФЗ, а также в коммерческом сегменте и малых закупках вырос до 47,58 млрд рублей. Рост в денежном выражении составил 21,9%. В количественном выражении объем увеличился на 16% — до 14,54 тыс. контрактов.

В исследование включены закупки решений для управления доступом, идентификацией и аутентификацией пользователей в государственных и корпоративных ИТ-инфраструктурах.

Речь идет о системах управления цифровыми идентичностями и правами доступа (IAM, IDM, IGA), средствах многофакторной и двухфакторной аутентификации (MFA/2FA), решениях для защиты привилегированных учетных записей (PAM), а также услугах по внедрению и сопровождению таких продуктов.

Рост спроса отмечен во всех сегментах — в госсекторе, коммерческих закупках и малых торгах. По оценке экспертов, это связано с устойчивым повышением интереса заказчиков к решениям в области управления доступом и аутентификации.

Средняя максимальная цена контракта увеличилась на 4,5% — с 3,37 млн рублей в 2024 году до 3,52 млн рублей в 2025 году. При этом в сегменте госзакупок усилилась конкуренция: средний уровень снижения цены составил 27,7% против 25,6% годом ранее.

Темпы роста в этом сегменте превысили динамику ИТ- и ИБ-рынка в целом. Продажи увеличились на 21,9% в денежном выражении и на 16% в количественном, тогда как средний рост ИБ-рынка составил около 10%.

По словам заместителя руководителя продуктовой группы «Контур.Эгида» и Staffcop Юрия Драченина, положительная динамика обусловлена ужесточением требований к защите ИТ-инфраструктуры в государственном и корпоративном секторе, активным внедрением двухфакторной аутентификации и централизованных платформ управления доступом. Дополнительное влияние оказало укрупнение проектов и включение в контракты услуг по внедрению и сопровождению решений.

RSS: Новости на портале Anti-Malware.ru