Rapid7 est une société spécialisée dans la cybersécurité, qui publie des rapports sur des vulnérabilités depuis des années. Récemment, ils ont fait parler d’eux avec des failles sur des imprimantes multifonctions. Cette semaine, ils sont revenus à la charge avec une faille sur OxygenOS, le système d’exploitation (basé sur Android) de OnePlus pour ses smartphones.

Une faille présente sur OxygenOS 12 à 15

« Lorsqu’elle est exploitée, la vulnérabilité permet à toute application installée sur le smartphone de lire les SMS/MMS et les métadonnées […] sans autorisation, interaction ou consentement » de la part de l’utilisateur, explique l’entreprise. L’utilisateur n’est pas informé non plus d’un éventuel accès à ses messages.

Rapid7 explique, à juste titre, que « cela pourrait entraîner la divulgation d’informations sensibles et pourrait aussi casser la sécurité de l’authentification multifacteur (MFA) par SMS ». En effet, puisque n’importe quelle application peut lire les SMS, il serait facile de récupérer le code envoyé par SMS pour s’identifier.

La faille est d’autant plus sérieuse qu’elle concerne toutes les versions de OxygenOS depuis 2021, c’est-à-dire de la 12 à 15 (la dernière en date lancée fin 2024). Il faut en effet remonter à OxygenOS 11 en 2020 pour ne pas y être confrontée.

L’entreprise propose sur son blog une analyse technique de cette brèche, référencée sous le numéro CVE-2025-10184. Le score associé est de 8.2 sur 10 en CVSS 4.0. Elle est identifiée comme AV:L (Attack Vector Local), AC:L (Attack Complexity Low), AT:N (Attack Requirements None), PR:N (Privileges Required None), UI:P (User Interaction Passive), VC:H (Confidentiality High)…

Vous avez demandé le OnePlus Security Response Center… veuillez patienter

Il n’y a, selon Rapid7, pas de méthode d’atténuation pour le moment, ni de correctif. L’entreprise conseille donc de n’installer que des applications provenant de sources fiables, de faire le ménage et d’utiliser au maximum une authentification multifacteurs par autre chose qu’un SMS.

Au-delà de la faille, la réaction (ou du moins la non-réaction, selon Rapid7) de OnePlus est intéressante à analyser et relève presque du cas d’école. Rapid7 affirme avoir contacté le OnePlus Security Response Center le 1ᵉʳ mai, sans réponse. Après des relances en mai et juillet, le support répond le 3 juillet qu’il fait suivre la demande en interne.

En juillet et août, malgré des relances et une tentative de passer par Oppo (OnePlus et Oppo appartiennent au même groupe BBK Electronics Corporation, comme Vivo et Realme), toujours aucune réponse de OnePlus. La première prise de contact remonte alors déjà à plus de trois mois.

Le 23 septembre, soit déjà plus de quatre mois après le premier message, Rapid7 « considère OnePlus comme un fournisseur qui ne répond pas et divulgue publiquement la CVE-2025-10184 » via son blog. Magie d’Internet, le lendemain (24 septembre), « OnePlus répond à Rapid7 en reconnaissant cette faille et en déclarant qu’ils enquêtaient sur le problème ».

Comment en est-on arrivé à une telle situation alors que OnePlus propose un programme de récompenses pour la divulgation de failles depuis plusieurs années ? « Bien que OnePlus fasse la promotion d’un programme public de bug bounty, Rapid7 ne peut pas participer à son programme en raison de ses conditions générales restrictives de non-divulgation (NDA) ».

Le correctif arrive en octobre

À 9to5Google, un porte-parole de OnePlus affirme avoir préparé un correctif, mais qu’il faudra encore être patient : il sera « déployé mondialement via une mise à jour logicielle à partir de mi-octobre ». La société ne dit rien de plus sur les versions d’OxygenOS qui auront le droit à une mise à jour de sécurité.

L’entreprise termine par le blabla habituel en pareille situation : « OnePlus reste engagé à protéger les données de ses clients ».

Le timing n’est pas des plus heureux pour OnePlus, qui profite du lancement par Qualcomm de son nouveau SoC Snapdragon 8 Elite Gen 5 pour annoncer son smartphone OnePlus 15.

• Hardware

  Jeux, performances, IA : Qualcomm montre ses muscles sur ordinateurs et smartphones

  Hardware

  Vendredi 26 septembre 2025 à 13h24 26/09/2025 13h24

  2