CVE-2026-70386 Inyección de comandos del sistema en OnePlus OxygenOS vía atlasservice

Qué es CVE-2026-70386

Vulnerabilidad de neutralización incorrecta de elementos especiales en comandos del sistema operativo y de autorización faltante en OnePlus OxygenOS sobre Android. Cualquier aplicación Android instalada localmente, sin permisos declarados y sin interacción del usuario más allá de abrirla, puede ejecutar comandos de shell arbitrarios como uid 0 en el dominio SELinux u:r:dumpstate:s0, combinando la interfaz binder atlasservice sin autorización y un manejador de eventos que pasa el valor a system(). Afecta a…

Productos y versiones afectadas

• OnePlus OxygenOS

  • desde 16.0.0 hasta antes de 16.0.5.1200
  • desde 15.0.0 hasta antes de 15.0.0.2000

Qué hacer

1. Verificá si usás OxygenOS y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.5 ALTA

CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Improper neutralization of special elements used in an OS command ('OS command injection') and Missing Authorization vulnerability in OnePlus OxygenOS on Android. Any locally installed Android application, with no permissions declared and no user interaction beyond launching it, can execute arbitrary shell commands as uid 0 in the u:r:dumpstate:s0 SELinux domain. Two defects combine: (a) OnePlus's atlasservice binder interface accepts setEvent(String8 name, String8 value) from any caller without authorization, and (b) one event handler (OplusAtlasLogWriter::handleEvent, matching event name atlas_event_multimedia_audio_dumpsys) copies the caller-supplied value into the system property oplus.audio.dumpinfo.type and starts the root init service audiodumpinfo, which passes that property value unsanitized to system(). This issue affects OxygenOS: from 16.1.0 before 16.1.10.500, from 16.0.0 before 16.0.5.1200, and from 15.0.0 before 15.0.0.2000.

Referencias

• blog.nns.ee/2026/09/24/oneplus-root/TECHNICAL-DESCRIPTION

Historial de la alerta

1. 21 OCT · 06:23VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.