CVE-2025-26418
HighCVSS 7.8Summary
W metodzie setUserDisclaimerAcknowledged w pliku CarDevicePolicyService.java istnieje możliwość ominięcia dialogu użytkownika podczas dodawania konta do zarządzanego urządzenia z powodu braku sprawdzenia uprawnień. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonawczych.
Risk Assessment
Organizacja może być narażona na nieautoryzowany dostęp do zasobów, co może prowadzić do poważnych naruszeń bezpieczeństwa. Eskalacja uprawnień może umożliwić atakującym przejęcie kontroli nad zarządzanym urządzeniem.
Recommendation
Zaleca się wprowadzenie odpowiednich sprawdzeń uprawnień w metodzie setUserDisclaimerAcknowledged oraz monitorowanie i aktualizowanie polityki bezpieczeństwa urządzeń zarządzanych.
Original NVD description (English source)
In setUserDisclaimerAcknowledged of CarDevicePolicyService.java, there is a possible way to bypass the user dialog when adding an account to a managed device due to a missing permission check. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.