Критическая уязвимость OnePlus OxygenOS раскрывает ваши СМС и MFA-коды

Критическая уязвимость OnePlus OxygenOS раскрывает ваши СМС и MFA-коды

Критическая уязвимость OnePlus OxygenOS раскрывает ваши СМС и MFA-коды

Исследователи из Rapid7 рассказали о критической дыре в безопасности смартфонов OnePlus. Уязвимость получила номер CVE-2025-10184 и связана с оболочкой OxygenOS. Суть проблемы в том, что любое установленное приложение может без спроса читать ваши СМС и ММС — включая коды двухфакторной аутентификации, банковские уведомления и личную переписку.

И при этом пользователь никак не узнает, что его сообщения уже «утекли». Виноваты в этом встроенные провайдеры контента OxygenOS — ServiceNumberProvider, PushMessageProvider и PushShopProvider.

Они неправильно настроены и дают доступ к данным без проверки разрешений. Более того, исследователи нашли и возможность «слепой» SQL-инъекции, то есть злоумышленники могут выкачивать СМС буквально посимвольно.

Подтверждено, что баг работает на:

  • OnePlus 8T (OxygenOS 12, сборка KB2003_11_C.33).
  • OnePlus 10 Pro 5G (OxygenOS 14–15, сборки NE2213_14.0.0.700, 15.0.0.502, 15.0.0.700, 15.0.0.901).

Любопытно, что более старые версии OxygenOS 11 уязвимости не подвержены. Видимо, ошибка появилась, начиная с OxygenOS 12 в 2021 году.

Особенно опасно то, что уязвимость напрямую подрывает работу СМС-МФА. Приложение может тихо украсть одноразовый код, и пользователь ничего не заметит.

Rapid7 пытались связаться с OnePlus, но безуспешно. Формально у компании есть баг-баунти, но его условия оказались слишком жёсткими для исследователей. В итоге баг до сих пор не закрыт.

Что делать пользователям:

  • Стараться ставить только проверенные приложения.
  • Перейти с СМС-подтверждений на аутентификаторы (Google Authenticator, Authy и т. п.).
  • Для переписки использовать мессенджеры со сквозным шифрованием.
  • Где возможно, заменить СМС-уведомления на пуш-оповещения.

Пока OnePlus молчит, пользователям остаётся только осторожность.

В App Store появились подделки под МАКС, Rutube и VK Видео

После удаления российских сервисов из App Store их место в поиске начали занимать приложения с похожими названиями и логотипами. Пользователи обнаружили копии, маскирующиеся под МАКС, Rutube и VK Видео, однако с оригинальными платформами они не связаны.

Приложение maxmessenger может создать впечатление, что перед пользователем официальный национальный мессенджер, выяснили в телеграм-канале «Сети и сигналы».

В пресс-службе МАКС это опровергли и рекомендовали владельцам iPhone использовать веб-версию сервиса.

Rutube-video-player пошёл ещё дальше: приложение копирует название и логотип Rutube, но вместо доступа к видеохостингу предлагает загружать ролики из социальных сетей и регулярно показывает рекламу. В «Газпром-Медиа Холдинге» подтвердили, что отношения к разработке не имеют.


Приложение VKI Video напоминает по названию VK Видео, однако представляет собой дневник для публикации отзывов. Доказательств его вредоносности нет, но похожее оформление способно ввести пользователей в заблуждение.

Официальный МАКС исчез из App Store 3 июня. Затем, 25 июня, Apple удалила приложения VK, включая «Видео», «Музыку», «Мессенджер», «Знакомства», Skillbox и «Дзен». Позже магазин покинули «ВКонтакте», «Одноклассники» и почта Mail.ru. Apple объяснила решение соблюдением санкционных требований.


Уже установленные приложения продолжают работать, однако обновить их через App Store нельзя. В VK также предупреждали о проблемах с пуш-уведомлениями. На Android после удаления сервисов из Google Play пользователи активнее пошли в RuStore и другие магазины: число установок за несколько дней выросло более чем в полтора раза.

Пользователям iPhone остаётся проверять разработчика, ссылки с официального сайта и описание программы перед установкой.

RSS: Новости на портале Anti-Malware.ru