CVE-2025-48590
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W metodzie verifyAndGetBypass klasy AppOpsService.java występuje możliwość uniemożliwienia przez złośliwą aplikację wybierania numerów alarmowych w ograniczonych okolicznościach z powodu wyczerpania zasobów. Może to prowadzić do lokalnej odmowy usługi bez potrzeby dodatkowych uprawnień wykonawczych. Do wykorzystania nie jest wymagana interakcja użytkownika.
Ocena ryzyka
Złośliwa aplikacja może uniemożliwić wybieranie numerów alarmowych, co może zagrozić bezpieczeństwu użytkownika w sytuacjach awaryjnych. Stanowi to ryzyko dla dostępności usług ratunkowych.
Rekomendacja
Zaktualizuj system Android do wersji zawierającej poprawkę tego CVE. Ogranicz instalację aplikacji z niezaufanych źródeł i monitoruj zużycie zasobów przez aplikacje.
Inne podatności w Android
Zobacz wszystkie- CVE-2016-0833Wysokie
Android umożliwia użytkownikom spowodowanie odmowy usługi.
- CVE-2026-28606Krytyczne
W funkcji handleBondStateChanged pliku AdapterService.java istnieje możliwość pominięcia parowania urządzeń Bluetooth z powodu błędu logicznego w kodzie. Może to prowadzić do zdalnej eskalacji uprawnień bez zgody użytkownika i bez dodatkowych uprawnień wykonawczych. Do wykorzystania nie jest wymagana interakcja użytkownika.
- CVE-2025-48595WysokieAktywnie exploitowane
W wielu lokalizacjach istnieje możliwość wykonania kodu z powodu przepełnienia liczby całkowitej. Prowadzi to do lokalnej eskalacji uprawnień bez dodatkowych uprawnień i bez interakcji użytkownika.
- CVE-2025-48626Krytyczne
W wielu miejscach istnieje możliwość uruchomienia aplikacji z tła z powodu błędu w sprawdzaniu warunków wstępnych. Może to prowadzić do zdalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana.
- CVE-2025-48572WysokieAktywnie exploitowane
W wielu miejscach występuje możliwość uruchamiania aktywności z tła w wyniku obejścia kontroli uprawnień. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonawczych i bez interakcji użytkownika.
- CVE-2024-32896WysokieAktywnie exploitowane
Podatność wynika z błędu logicznego w kodzie, który umożliwia obejście zabezpieczeń. Może prowadzić do lokalnego podniesienia uprawnień bez dodatkowych uprawnień wykonawczych, ale wymaga interakcji użytkownika.
- CVE-2023-35674WysokieAktywnie exploitowane
W metodzie onCreate pliku WindowState.java występuje błąd logiczny, który umożliwia uruchomienie aktywności w tle. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonawczych. Do wykorzystania nie jest wymagana interakcja użytkownika.
- CVE-2023-21237ŚrednieAktywnie exploitowane
W applyRemoteView w NotificationContentInflater.java istnieje możliwość ukrycia powiadomienia o usłudze pierwszoplanowej z powodu mylącego lub niewystarczającego interfejsu użytkownika. Może to prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana do wykorzystania podatności.
- CVE-2023-21492ŚrednieAktywnie exploitowane
Wskaźniki jądra są drukowane w pliku dziennika przed wydaniem SMR May-2023 Release 1, co pozwala uprzywilejowanemu lokalnemu atakującemu obejść ASLR. Podatność dotyczy urządzeń z systemem Android.
- CVE-2023-20963WysokieAktywnie exploitowane
W komponencie WorkSource systemu Android występuje możliwość niezgodności parceli (parcel mismatch). Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonawczych. Do wykorzystania nie jest wymagana interakcja użytkownika.
Oryginalny opis (angielski, źródło NVD)
In verifyAndGetBypass of AppOpsService.java, there is a possible method for a malicious app to prevent dialing emergency services under limited circumstances due to resource exhaustion. This could lead to local denial of service with no additional execution privileges needed. User interaction is not needed for exploitation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS