CVE-2025-26418
WysokieCVSS 7.8Streszczenie
W metodzie setUserDisclaimerAcknowledged w pliku CarDevicePolicyService.java istnieje możliwość ominięcia dialogu użytkownika podczas dodawania konta do zarządzanego urządzenia z powodu braku sprawdzenia uprawnień. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonawczych.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do zasobów, co może prowadzić do poważnych naruszeń bezpieczeństwa. Eskalacja uprawnień może umożliwić atakującym przejęcie kontroli nad zarządzanym urządzeniem.
Rekomendacja
Zaleca się wprowadzenie odpowiednich sprawdzeń uprawnień w metodzie setUserDisclaimerAcknowledged oraz monitorowanie i aktualizowanie polityki bezpieczeństwa urządzeń zarządzanych.
Oryginalny opis (angielski, źródło NVD)
In setUserDisclaimerAcknowledged of CarDevicePolicyService.java, there is a possible way to bypass the user dialog when adding an account to a managed device due to a missing permission check. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.