OnePlus와 OPPO 스마트폰에서 특별한 권한 없이도 앱 하나로 기기의 최고 관리자(루트) 권한을 탈취할 수 있는 두 가지 취약점이 공개되었습니다. 악성 앱을 설치하면 사용자 동의나 알림 없이 기기 전체를 장악당할 수 있으며, 아직 패치가 없습니다. OnePlus는 5개월 전에 해당 취약점을 보고받았음에도 수정 없이 연구자의 공개를 법적으로 막으려 했습니다. 인터넷을 통한 원격 공격은 불가능하지만, 신뢰할 수 없는 출처에서 앱을 설치한 경우 즉각적인 위험이 있습니다. CVE 번호도 아직 없고 공식 보안 공지도 존재하지 않습니다.
보안 연구자 Rasmus Moorats가 OnePlus의 AtlasService와 olc2 서비스에서 두 가지 취약점을 연계 악용해 권한 없는 앱으로 루트 권한을 획득하는 공격 기법을 공개했다. OnePlus는 동일 취약점이 OPPO 기기에도 영향을 준다고 인정했다.
OnePlus 15(최신 OxygenOS)를 포함한 다수의 OnePlus·OPPO 기기에서 악성 앱이 설치되면 사용자 모르게 커널 수준의 완전한 루트 권한 탈취가 가능하다. 사용자에게 별도 권한 요청이나 알림이 없어 탐지가 어렵다.
AtlasService가 호출자 검증 없이 루트로 동작하며, 입력값을 검증하지 않고 시스템 명령에 전달한다. 이를 통해 얻은 제한적 루트 권한을 olc2 서비스가 임의 셸 명령을 실행하는 두 번째 취약점으로 확장할 수 있다.
2026년 4월 보고 후 약 5개월이 지났으나 OnePlus는 패치·CVE·공식 공지를 제공하지 않았다. 회사는 오히려 연구자에게 법적 책임을 경고하며 공개를 막으려 했다. 연구자는 9월 24일 자체 공개를 강행했다.
현재 유일한 방어책은 신뢰할 수 없는 출처의 앱 설치를 금지하는 것이다. 공격은 로컬에서만 가능하므로 악성 앱이 설치되지 않으면 발동되지 않는다. OnePlus·OPPO 기기를 업무에 사용하는 경우 MDM 정책으로 앱 설치 경로를 제한해야 한다.
본문
Swati Khandelwal · 2026년 9월 24일 · 취약점 / 모바일 보안
최신 OxygenOS를 실행 중인 OnePlus 15는 특별한 권한을 요청하지 않는 악성 앱 하나로 루트를 탈취당할 수 있다. 연구자 Rasmus Moorats는 OnePlus 자체 소프트웨어에서 두 가지 취약점을 연계해 Android 폰에 대한 최고 수준의 제어권, 즉 루트 권한을 획득했다.
OnePlus는 동일한 취약점이 자사의 더 많은 기기와 OPPO 기기에도 영향을 미친다고 Moorats에게 알렸으나, 구체적인 기기 목록은 밝히지 않았다.
OnePlus는 5월에 두 취약점을 모두 확인했다. 같은 답변에서 OnePlus는 취약점 공개 시점을 결정할 권리는 자사에만 있다고 밝히며, 허가 없이 공개할 경우 법적 책임이 발생할 수 있다고 경고했다. Moorats는 OnePlus가 아무런 수정을 내놓지 않은 9월 24일에 결국 공개했다.
OnePlus는 Moorats가 전문을 공개한 답변서에서 자신의 입장을 밝혔다. 수정 일정이 잡혀 있다면서도 "취약점 공개에 대한 배타적 최종 결정권"은 자사에 있다고 주장하며, 수정 배포 이후에도 연구자가 독자적으로 상세 기술 정보를 공개해서는 안 된다고 통보했다.
OnePlus는 유럽 사이버보안 규정이 제조사에게 보고 수리를 요구하지만 제조사 동의 없는 연구자 공개는 허용하지 않는다고 주장하며, 허가 없이 공개하면 "관련 법률에 따라 법적 책임을 추궁하겠다"고 경고했다.
공격 방식
Moorats는 디버깅 데이터를 수집하는 OnePlus 서비스 AtlasService에서 첫 번째 취약점을 발견했다. 이 서비스는 루트 권한으로 실행되며 호출자를 검증하지 않고 모든 앱의 요청을 수락한다.
조작된 호출은 앱의 텍스트를 받아 검증 없이 시스템 명령에 그대로 삽입하는 OnePlus 디버깅 도구로 전달된다. 이를 통해 앱은 루트 권한을 얻게 되지만, 일반적인 루트가 할 수 있는 모든 작업이 가능한 것은 아닌 dumpstate라는 제한된 시스템 영역 안에서만 동작한다.
두 번째 취약점이 공격을 완성한다. OnePlus는 하드웨어 보조 서비스인 olc2를 함께 탑재하는데, 이 서비스에는 수신한 셸 명령을 그대로 실행하는 명령이 있다. 유일한 방어 장치는 호출자가 이미 루트여야 한다는 조건인데, 첫 번째 취약점이 이를 충족시켜 준다.
이번 명령은 커널 코드 로드를 포함한 모든 저수준 Linux 권한을 부여하는 영역에서 실행되어, 앱이 시스템 수준에서 기기 전체를 제어할 수 있게 된다.
피해 대상과 대응 방법
공격은 로컬에서만 가능하다. 악성 앱이 먼저 폰에 설치되어 실행 중이어야 하므로 인터넷을 통한 원격 공격은 불가능하다. 그러나 일단 설치되면 앱은 아무런 권한도 필요 없고 사용자에게 어떠한 알림도 표시되지 않으며, Moorats가 수정하지 않은 순정 폰에서도 공격이 성공했다.
실제 공격에 이 취약점이 사용되었다는 증거는 없다.
Moorats는 구형 OnePlus 12 Pro에서도 공격을 확인했으며, OxygenOS 16 전반에 동일한 문제가 존재할 것으로 예상하고 있다. OnePlus와 OPPO는 공유 소프트웨어를 기반으로 폰을 제조하기 때문에 OnePlus의 경고가 양사를 모두 포함한 것이다.
Moorats의 공개 시점 기준으로 OnePlus는 CVE를 할당하지 않았고 수정도 배포하지 않았으며, 해당 취약점을 명시한 OnePlus 보안 공지를 찾을 수 없었다. 수정이 배포될 때까지 현실적인 유일한 방어책은 공격이 시작되기 위해 반드시 필요한 조건, 즉 악성 앱이 없으면 실행될 수 없다는 점을 활용해 신뢰할 수 있는 출처에서만 앱을 설치하는 것이다.
Moorats의 설명에 따르면 공시 과정은 약 5개월에 걸쳐 진행되었다:
- 2026년 4월 18일: 두 취약점을 OnePlus에 보고.
- 5월 20일: OnePlus가 취약점 확인, 공개에 대한 단독 결정권 주장 및 공개 시 법적 책임 경고.
- 6월 22일: OnePlus가 수정 진행 상황을 알리고 공개 유예를 요청, Moorats는 9월 17일 전까지 공개하지 않기로 합의.
- 7월 20일 및 9월 11일: 진행 상황을 문의했으나 답변 없음.
- 9월 24일: 공개 강행.
별개로, 설치된 앱이 플래그십 Android 폰에서 루트에 도달하는 최근 사례가 이것만은 아니다.
8월, 보안 기업 Calif의 연구자 Lukas Maar는 Samsung, Xiaomi, OPPO, OnePlus, Realme의 최신 펌웨어가 적용된 잠금 상태 폰에서 제조사들이 Android에 추가한 코드를 공격해 권한 없는 앱으로 루트를 획득하는 별개의 기법을 발표했다.
OnePlus는 이전에도 연구자 대응이 느렸다. 2025년 Rapid7은 모든 앱이 사용자의 문자 메시지를 읽을 수 있는 별도의 OxygenOS 취약점을 보고했으나, OnePlus는 연구 결과가 공개된 후에야 응답했다고 밝혔다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
