Aktywnie wykorzystywana w atakach
Android Framework Information Disclosure Vulnerability
Android - Framework · Figuruje w katalogu CISA KEV od 2025-12-02. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-48633
ŚrednieCVSS 5.5KEVPrawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W metodzie hasAccountsOnAnyUser w DevicePolicyManagerService.java istnieje możliwość dodania właściciela urządzenia po konfiguracji z powodu błędu logicznego w kodzie. Może to prowadzić do lokalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana do wykorzystania.
Ocena ryzyka
Ryzyko obejmuje możliwość przejęcia kontroli nad urządzeniem przez atakującego z dostępem lokalnym, co może prowadzić do naruszenia polityk bezpieczeństwa urządzenia.
Rekomendacja
Zaleca się zastosowanie poprawek systemowych od producenta oraz monitorowanie urządzeń pod kątem nieautoryzowanych zmian właściciela.
Inne podatności w Android DevicePolicyManagerService
Oryginalny opis (angielski, źródło NVD)
In hasAccountsOnAnyUser of DevicePolicyManagerService.java, there is a possible way to add a Device Owner after provisioning due to a logic error in the code. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS