CVE-2025-26418
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
W funkcji setUserDisclaimerAcknowledged w CarDevicePolicyService.java istnieje możliwość ominięcia okna dialogowego użytkownika podczas dodawania konta do zarządzanego urządzenia z powodu braku sprawdzenia uprawnień. Może to prowadzić do lokalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Eksploatacja nie wymaga interakcji użytkownika.
Ocena ryzyka
Atakujący może ominąć dialog użytkownika i dodać konto do zarządzanego urządzenia, co może prowadzić do nieautoryzowanego dostępu do danych firmowych.
Rekomendacja
Zaleca się aktualizację systemu Android do najnowszej wersji zawierającej poprawkę dla tej podatności.
Inne podatności w Android
Zobacz wszystkie- CVE-2016-0833Wysokie
Android umożliwia użytkownikom spowodowanie odmowy usługi.
- CVE-2025-48595WysokieAktywnie exploitowane
W wielu lokalizacjach istnieje możliwość wykonania kodu z powodu przepełnienia liczby całkowitej. Prowadzi to do lokalnej eskalacji uprawnień bez dodatkowych uprawnień i bez interakcji użytkownika.
- CVE-2025-48626Krytyczne
W wielu miejscach istnieje możliwość uruchomienia aplikacji z tła z powodu błędu w sprawdzaniu warunków wstępnych. Może to prowadzić do zdalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana.
- CVE-2016-3877Krytyczne
Nieokreślona podatność w systemie Android przed 2016-09-01, której wpływ i wektory ataku są nieznane.
- CVE-2026-49189Wysokie
Niesprawdzone uprawnienia dostępu publicznego do podstawowego odbiornika rozgłoszeniowego (Broadcast Receiver) umożliwiają nieautoryzowanym lokalnym komponentom oprogramowania wywoływanie operacji administracyjnych.
- CVE-2026-24088Wysokie
Problem kryptograficzny podczas przetwarzania określonej partycji umożliwia nieautoryzowany zapis w celu załadowania niestandardowego bootloadera.
- CVE-2026-28586Niskie
W wielu funkcjach pliku AppOpsService.java występuje brak sprawdzenia uprawnień z powodu obejścia uprawnień. Może to prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień. Interakcja użytkownika nie jest wymagana.
- CVE-2026-28581Średnie
W metodzie fixInitiatingUserIfNecessary w CallIntentProcessor.java występuje błąd logiczny umożliwiający wykonanie połączenia alarmowego bez odpowiednich uprawnień.
- CVE-2026-28580Wysokie
W wielu funkcjach występuje możliwa desynchronizacja trwałości z powodu nieprawidłowego sprawdzania granic. Może to prowadzić do lokalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana.
- CVE-2026-28578Średnie
W wielu funkcjach DevicePolicyManagerService.java występuje problem desynchronizacji z trwałym przechowywaniem danych z powodu nieprawidłowej walidacji wejścia, co może prowadzić do lokalnej odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
In setUserDisclaimerAcknowledged of CarDevicePolicyService.java, there is a possible way to bypass the user dialog when adding an account to a managed device due to a missing permission check. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.