Falha em versões 12 a 15 do OxygenOS permite que aplicativos leiam SMS sem autorização

Pesquisadores da empresa de segurança Rapid7 identificaram uma vulnerabilidade grave no OxygenOS, sistema baseado em Android usado pela OnePlus. O problema afeta as versões entre a 12 e a 15 e possibilita que qualquer aplicativo instalado no aparelho acesse mensagens SMS, MMS e seus metadados sem necessidade de permissão do usuário.

A falha foi relatada à OnePlus em maio de 2025, mas, até o momento, não há correção disponibilizada. O caso tornou-se público nesta quarta-feira (24), quando a Rapid7 divulgou detalhes do estudo.

Como o acesso indevido acontece

Segundo a Rapid7, o OxygenOS inclui content providers – atalhos internos para troca de dados entre sistema e aplicativos – configurados de forma inadequada. Esses provedores utilizam apenas o atributo readPermission, o que libera a leitura de dados no pacote com.android.providers.telephony, responsável pelo armazenamento de mensagens.

Anúncios

Apple iPhone 17 Pro (256 GB) - Prateado

5 / 5 (18 avaliações de clientes)

R$ 10.348,99

Memória and Cor
Características
Informações do Produto

Memória

512 GB
256 GB

Cor

Informações do Produto

Marca

Apple
Sistema operacional

iOS
Capacidade de armazenamento da memória

256 GB
Nome do modelo

iPhone 17 Pro
Operadora de celulares e tecnologia sem fio

Todas as Operadoras

Características

DESIGN UNIBODY. CAPACIDADES EXCECIONAIS. — Num design unibody forjado em alumínio, está o melhor iPhone de sempre.
CERAMIC SHIELD ULTRARRESISTENTE, À FRENTE E ATRÁS — O Ceramic Shield protege a parte de trás do iPhone 17 Pro, tornando‑o quatro vezes mais resistente ao choque. E o novo Ceramic Shield 2 à frente dá‑lhe o triplo da resistência a riscos.
O MELHOR SISTEMA DE CÂMARAS PRO — Câmaras traseiras de 48 MP e zoom ótico a 8x, o mais potente de sempre num iPhone. ɠcomo ter oito objetivas profissionais à sua disposição.
CÂMARA FRONTAL 18MP CENTER STAGE — Enquadramento flexível. Selfies de grupo mais inteligentes. Captura dupla de vídeo para gravação simultânea nas câmaras frontal e traseira. E não só.
A19 PRO. ARREFECIDO POR EVAPORAÇÃO. SUPERRÁPIDO. — O A19 Pro é o processador mais poderoso de sempre num iPhone, com um desempenho consistente até 40% superior.
AUTONOMIA REVOLUCIONÁRIA — O design unibody aumenta significativamente a capacidade da bateria, permitindo ver até 31 horas de vídeo. Carregue até 50% em 20 minutos.
iOS 26. NOVO LOOK. CARREGADO DE MAGIA. — Novo design com Liquid Glass. Fascinante e tão familiar. Com um Ecrã bloqueado mais vibrante, fundos personalizáveis e sondagens na app Mensagens, Filtro de chamadas e muito mais.
FEITO PARA A APPLE INTELLIGENCE — Pessoal, privada, poderosa. Escreva, expresse as suas ideias e faça mais coisas com toda a facilidade.
FUNCIONALIDADES VIA SATÉLITE — Se não tiver rede móvel nem Wi‑Fi, pode usar o SOS emergência via satélite. Em caso de acidente grave, o iPhone liga aos serviços de emergência por si.
LIGAÇÕES MAIS FORTES. VELOCIDADES ULTRARRÁPIDAS. — Atinja velocidades nunca vistas com as ligações seguras Wi‑Fi 7, redes 5G e Bluetooth 6, além do eSIM.

Com essa configuração, um aplicativo malicioso consegue executar ataques de blind SQL injection para coletar os SMS em partes até reconstruir o conteúdo completo, sem interação ou aviso ao usuário. Além das conversas, códigos de autenticação via SMS também ficam expostos, comprometendo sistemas de verificação em duas etapas.

Impacto restrito aos aparelhos OnePlus

A análise comparou o código do OxygenOS com outras implementações do Android e concluiu que o defeito é exclusivo dos dispositivos da OnePlus. Em outros fabricantes, o provedor de telefonia exige permissões adicionais, reduzindo o risco de leitura não autorizada.

Falha em versões 12 a 15 do OxygenOS permite que aplicativos leiam SMS sem autorização - Imagem do artigo

Imagem: Internet

Recomendações de segurança

Enquanto não há atualização oficial, a Rapid7 sugere:

Instalar somente aplicativos de desenvolvedores confiáveis e remover apps desnecessários;
Trocar autenticação em dois fatores por SMS por métodos baseados em aplicativos autenticadores;
Adotar mensageiros com criptografia de ponta a ponta em vez de SMS para informações sensíveis;
Substituir alertas por SMS por notificações push sempre que possível.

Até que a OnePlus libere um patch, usuários devem redobrar a atenção à instalação de novos aplicativos e rever serviços que dependem de mensagens de texto para autenticação.