Σύμφωνα με μια νέα έκθεση της Piunikaweb, μερικά OnePlus smartphones κατεβάζουν δεδομένα GPS μέσω μη ασφαλών HTTP servers.
Φημολογείται ότι οι μηχανικοί της OnePlus ήταν σε θέση να αντικαταστήσουν τις τυπικές πολιτικές AOSP (Android Open Source Project) και να εγκαταστήσουν το debug build του gps.conf στο λειτουργικό σύστημα OxygenOS του OnePlus.
Αυτό οδήγησε στην ενεργοποίηση μη ασφαλών XTRA servers, από έναν κινέζο μηχανικό της OnePlus.
Οι XTRA servers συνέβαλαν στη λήψη δεδομένων GPS, GLO και BDS και επέτρεψαν σε κάθε πιθανό κακόβουλο εισβολέα να αλλάξει τα δεδομένα τοποθεσίας στο GPS ενός χρήστη, τα οποία μπορούν να χρησιμοποιηθούν για να ξεγελάσουν τους χρήστες να ακολουθήσουν διαφορετική και λανθασμένη διαδρομή.
Η έκθεση υποδηλώνει ότι ένα μέλος της εταιρείας LineageOS, βοήθησε στην επαλήθευση του προβλήματος της λήψης δεδομένων μέσω μη ασφαλών server.
Μετά από αυτό, η Piunikaweb κατέθεσε μια αναφορά σφάλματος στο forum της OnePlus και ένας συντονιστής της εταιρείας, με το όνομα Funk Wizard, απάντησε λέγοντας ότι το ζήτημα θα διορθωθεί σύντομα.
Ο ίδιος δήλωσε: “Για τη λήψη δεδομένων από XTRA servers, η συσκευή διαβάζει τη διεύθυνση στο Configure του Modem NV, η οποία περνά μέσω HTTPS αντί για HTTP και το GPS.conf έχει ήδη αγνοηθεί έτσι ώστε το XTRA config να μην λειτουργεί. Ευχαριστούμε για την ενημέρωση και θα συγχρονίσουμε το GPS.conf με το HTTPS στις επερχόμενες ενημερώσεις για να διορθώσουμε το πρόβλημα.”
Ωστόσο, προτείνεται ότι το ζήτημα εξακολουθεί να υφίσταται και δεν υπάρχει καμία ενημέρωση για το κατά πόσον ή όχι η OnePlus εγκατέστησε το debug επί σκοπού.
