ColorOS 系统短信漏洞，以及用户自救方案

[yuuou]

https://www.rapid7.com/blog/post/cve-2025-10184-oneplus-oxygenos-telephony-provider-permission-bypass-not-fixed/

漏洞说明
类型：数据库注入攻击 1=1 AND
效果：任意 APP 读取短信数据。无需权限、无需用户交互、读取无感知
影响范围：21 年 OxygenOS 12 至今最新的 ColorOs 15 系统(有消息说 OxygenOS 11 及之前的系统无此漏洞)
影响范围更新：19 年发布的 ColorOS 7.1 存在此漏洞，合理推测此漏洞一直存在且将长久保留在无法 OTA 升级的机型上
修复情况：厂商已在 9 月 24 日回应 rapid7 （漏洞发现者）说会修复，预计十月中旬修复
解决方案：普通用户只能看完短信之后及时删除，要彻底删除
解决方案更新：root 用户可下载 yuu_xposed 模块。如何 root 请参考 ColorOS 刷机路径
漏洞影响：本机的所有短信信息、短信验证码泄露
本机测试：安装 apk 执行即可看到数据，如果看不到数据说明你的手机没有被影响

GitHub:https://github.com/yuuouu/ColorOS-CVE-2025-10184

[wu67]

解决方案：普通用户 不 装不明来源的应用, 支付和银行类 不要 用短信验证码验证支付就行.

[Dawnnnnnn]

你这个 xposed 模块怎么一堆乱七八糟的东西？

[catazshadow]

还是那句话，天朝厂没有重视安全的，一是赶工，二是安全无法证真，无法宣传我的产品就是安全的，天朝组装厂光是消化别人现成的技术就要死要活了，谁会花钱在改进上

这种层次的低级大漏洞以后有的是

[Dawnnnnnn]

你这个实现太不优雅了，要 hook 所有第三方应用。我推荐一个方案吧。

1. 下载并安装 Blocker ，应用包名 com.merxury.blocker
2. 在设置中打开 `显示系统应用` 和 `显示服务信息`
3. 搜索 telephony ，进入 `电话/短信存储` 内
4. 选择 `内容提供者` tab ，找到其中的 `PushMessageProvider`、`PushShopProvider`、`ServiceNumberProvider`三个选项关闭

这样应用就调用不了这些 content 了，我简单测试了一下收短信没啥问题

[Ketteiron]

暂时别用任何短信验证，一不小心你的账号就没了

[yuuou]

@Dawnnnnnn 以前的代码上加的，这个方案能限制，但是我想记录是哪个应用调用了此漏洞。晚点我把源码开源，老哥帮忙优化一下

[garlics]

重视安全的会 root 吗？我是不太敢在主力机上 root 的。只能是等厂商修复了，期间不使用来历不明的 app 。

[ajan]

@Dawnnnnnn :) vivo 没有这三个 内容提供者

[Ayanokouji]

真这么严重的话，赶紧换个手机吧，等修复黄花菜都凉了

[yuuou]

@garlics 这是一个悖论，有漏洞的情况下，不 root 没法修复，root 了不够安全... 我主力机一加 13 也不敢 root

[yuuou]

@ajan ColorOS 系统的漏洞，只影响 oppo 及其子品牌(一加、realme)，没有影响其它品牌

[yuuou]

@Ketteiron 这个概率低一点，读取已存在的信息做用户画像概率高点。

[droidmax61]

国情如此，只要没给曝光出来，就不会重视起来，就是安全的。回头看看 vivo 快应用事件；看看某些路由器厂商，bug 不修或者安全事件响应严重滞后都已经见怪不怪了。

[droidmax61]

@yuuou 一加 6 氢 OS 就没这样的问题，两个系统不是同一个开发团队开发的？

[yuuou]

@droidmax61 有消息说 OxygenOS 11 及之前的系统无此漏洞
ColorOS 7.1-15 应该都存在

[droidmax61]

@yuuou 什么草台班子？还是说有意为之？

[Configuration]

关键信息


披露时间表
2025 年 5 月 1 日：Rapid7 通过电子邮件联系 OnePlus 安全响应中心（ OneSRC ），请求沟通漏洞披露事宜。但尚未收到回复。

2025 年 5 月 6 日：Rapid7 通过电子邮件联系 OneSRC 。未收到回复。

2025 年 7 月 2 日：Rapid7 通过电子邮件联系 OnePlus 支持和 OneSRC 。

2025 年 7 月 3 日：一加客服回复称，他们会将 Rapid7 的请求内部转达给相关团队，然后再联系客服获取更多信息。但目前尚未收到任何后续回复。

2025 年 7 月 10 日：Rapid7 联系 OnePlus 支持团队，要求跟进。但尚未收到回复。

2025 年 7 月 22 日：Rapid7 向 OneSRC X 账户发送消息，请求沟通漏洞披露事宜。但未收到回复。

2025 年 8 月 16 日：Rapid7 联系了 OPPO 的 CNA 代表，该代表与一加有业务关系，请求介绍 OneSRC 团队。但未收到回复。

2025 年 9 月 23 日：Rapid7 认为 OnePlus 是一家没有响应的供应商，并通过此披露博客文章公开披露了 CVE-2025-10184 。

2025 年 9 月 24 日：研究发布后，OnePlus 回复 Rapid7 承认了这一披露，并表示他们正在调查此问题。

[yuuou]

@droidmax61 不是,氢 OS 12 之后用的是 ColorOS 的底层代码，所以出现了这个漏洞。有意为之不太可能，应该就是技术不过关，加上底层代码没问题很少有人会去审查

[edward1987]

类型：数据库注入攻击 1=1 AND ？
-------------------
按理应该是 OR 1=1 这种吧。

应用也要在后台允许才能拿到，平时不用野鸡应用应该还好

[qingmuhy0]

少装破解软件，感觉中招的概率也不大。