📱 “CVE-2025-10184: ช่องโหว่ OnePlus เปิดทางแอปดู SMS โดยไม่ขออนุญาต — MFA พัง, ข้อมูลส่วนตัวรั่ว, ยังไม่มีแพตช์” Rapid7 บริษัทด้านความปลอดภัยไซเบอร์เปิดเผยช่องโหว่ร้ายแรงในระบบ OxygenOS ของ OnePlus ซึ่งถูกติดตามในชื่อ CVE-2025-10184 โดยช่องโหว่นี้เปิดทางให้แอปใดก็ตามที่ติดตั้งอยู่ในเครื่องสามารถอ่านข้อมูล SMS/MMS และ metadata ได้ทันที โดยไม่ต้องขอสิทธิ์จากผู้ใช้ ไม่ต้องมีการโต้ตอบ และไม่มีการแจ้งเตือนใด ๆ ช่องโหว่นี้เกิดจากการเปิดเผย content provider ภายในระบบ OxygenOS ที่ไม่ควรเข้าถึงได้ เช่น ServiceNumberProvider, PushMessageProvider และ PushShopProvider ซึ่งไม่ได้บังคับใช้สิทธิ์ READ_SMS อย่างถูกต้อง ทำให้แอปสามารถดึงข้อมูลออกมาได้โดยตรง แม้จะไม่มีสิทธิ์ที่จำเป็น ผลกระทบที่ตามมาคือการล่มของระบบ Multi-Factor Authentication (MFA) ที่ใช้ SMS เป็นช่องทางส่งรหัส OTP เพราะแอปที่เป็นอันตรายสามารถขโมยรหัสเหล่านี้ได้แบบเงียบ ๆ โดยไม่ต้องแจ้งเตือนผู้ใช้เลย นอกจากนี้ยังสามารถใช้ช่องโหว่นี้ในการโจมตีแบบ blind SQL injection เพื่อดึงข้อมูลข้อความทีละตัวอักษร Rapid7 ยืนยันว่าได้ทดสอบช่องโหว่นี้บน OnePlus 8T และ OnePlus 10 Pro ที่ใช้ OxygenOS เวอร์ชัน 12 ถึง 15 และเชื่อว่ารุ่นอื่น ๆ ที่ใช้เวอร์ชันเดียวกันก็ได้รับผลกระทบเช่นกัน โดย OxygenOS 11 ไม่พบช่องโหว่นี้ ที่น่ากังวลคือ OnePlus ยังไม่ตอบสนองต่อการแจ้งเตือนจาก Rapid7 แม้จะมีการติดต่อผ่านช่องทางต่าง ๆ ตั้งแต่เดือนพฤษภาคม 2025 รวมถึงการส่งข้อความผ่าน X และติดต่อผ่าน Oppo ซึ่งเป็นบริษัทแม่ แต่ก็ยังไม่มีการตอบกลับหรือออกแพตช์ใด ๆ Rapid7 จึงตัดสินใจเปิดเผยช่องโหว่นี้ต่อสาธารณะ พร้อมแนะนำให้ผู้ใช้ OnePlus: ✔️ ลบแอปที่ไม่จำเป็นและติดตั้งเฉพาะแอปที่เชื่อถือได้ ✔️ เปลี่ยนจาก SMS-based MFA ไปใช้แอปยืนยันตัวตน เช่น Google Authenticator หรือ Authy ✔️ หลีกเลี่ยงการใช้ SMS ในการสื่อสารข้อมูลสำคัญ และหันไปใช้แอปที่เข้ารหัส เช่น Signal หรือ WhatsApp ✅ ข้อมูลสำคัญจากข่าว ➡️ CVE-2025-10184 เป็นช่องโหว่ permission bypass ใน OxygenOS ของ OnePlus ➡️ แอปสามารถอ่าน SMS/MMS และ metadata ได้โดยไม่ต้องขอสิทธิ์หรือแจ้งผู้ใช้ ➡️ เกิดจาก content provider ที่เปิดเผยโดยไม่บังคับใช้ READ_SMS ➡️ ส่งผลให้ระบบ MFA ที่ใช้ SMS ถูกขโมยรหัส OTP ได้ง่าย ➡️ ช่องโหว่นี้ยังเปิดทางให้โจมตีแบบ blind SQL injection ➡️ ทดสอบแล้วบน OnePlus 8T และ 10 Pro ที่ใช้ OxygenOS 12–15 ➡️ OxygenOS 11 ไม่ได้รับผลกระทบ ➡️ Rapid7 ติดต่อ OnePlus หลายครั้งแต่ไม่ได้รับการตอบกลับ ➡️ ยังไม่มีแพตช์แก้ไขจาก OnePlus ณ วันที่เปิดเผย ✅ ข้อมูลเสริมจากภายนอก ➡️ Content provider เป็นระบบจัดการข้อมูลใน Android ที่ควรมีการควบคุมสิทธิ์เข้าถึง ➡️ Blind SQL injection คือการดึงข้อมูลจากฐานข้อมูลโดยไม่เห็นผลลัพธ์โดยตรง ➡️ MFA ที่ใช้ SMS ถูกวิจารณ์ว่าไม่ปลอดภัยมานาน เพราะเสี่ยงต่อการถูกขโมยรหัส ➡️ OnePlus เคยมีประวัติด้านความปลอดภัย เช่น การส่งข้อมูล IMEI ไปยังเซิร์ฟเวอร์จีน ➡️ Rapid7 เป็นบริษัทที่มีชื่อเสียงด้านการเปิดเผยช่องโหว่แบบ responsible disclosure https://securityonline.info/cve-2025-10184-unpatched-oneplus-flaw-exposes-sms-data-breaks-mfa-no-patch/