CVE-2026-0008
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
W wielu funkcjach pliku FaceEnroll.kt istnieje możliwość eskalacji uprawnień z powodu błędu typu 'confused deputy'. Podatność ta może prowadzić do lokalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Do wykorzystania nie jest wymagana interakcja użytkownika.
Ocena ryzyka
Lokalny atakujący może wykorzystać tę podatność do uzyskania wyższych uprawnień, co może umożliwić dostęp do wrażliwych danych lub funkcji systemowych. Brak wymaganej interakcji użytkownika zwiększa ryzyko wykorzystania.
Rekomendacja
Zaleca się zastosowanie poprawek dostarczonych przez producenta systemu. Należy również ograniczyć dostęp do funkcji związanych z FaceEnroll oraz monitorować system pod kątem anomalii.
Inne podatności w Android
Zobacz wszystkie- CVE-2016-0833Wysokie
Android umożliwia użytkownikom spowodowanie odmowy usługi.
- CVE-2026-28606Krytyczne
W funkcji handleBondStateChanged pliku AdapterService.java istnieje możliwość pominięcia parowania urządzeń Bluetooth z powodu błędu logicznego w kodzie. Może to prowadzić do zdalnej eskalacji uprawnień bez zgody użytkownika i bez dodatkowych uprawnień wykonawczych. Do wykorzystania nie jest wymagana interakcja użytkownika.
- CVE-2025-48595WysokieAktywnie exploitowane
W wielu lokalizacjach istnieje możliwość wykonania kodu z powodu przepełnienia liczby całkowitej. Prowadzi to do lokalnej eskalacji uprawnień bez dodatkowych uprawnień i bez interakcji użytkownika.
- CVE-2025-48626Krytyczne
W wielu miejscach istnieje możliwość uruchomienia aplikacji z tła z powodu błędu w sprawdzaniu warunków wstępnych. Może to prowadzić do zdalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana.
- CVE-2016-3877Krytyczne
Nieokreślona podatność w systemie Android przed 2016-09-01, której wpływ i wektory ataku są nieznane.
- CVE-2026-58744Wysokie
W wielu miejscach kodu występuje nieprawidłowa walidacja danych wejściowych, co może prowadzić do eskalacji uprawnień. Wykorzystanie wymaga dostępu lokalnego i nie wymaga interakcji użytkownika ani dodatkowych uprawnień wykonawczych.
- CVE-2026-58724Wysokie
W wielu miejscach kodu występuje warunek wyścigu prowadzący do użycia zwolnionej pamięci (use-after-free). Może to prowadzić do lokalnej eskalacji uprawnień, przy czym wymagane są uprawnienia wykonawcze na poziomie System.
- CVE-2026-58699Wysokie
W funkcji Vp9DecEndOfStream w pliku vp9hwd_output.cc występuje możliwy odczyt poza zakresem z powodu nieprawidłowej kontroli granic. Może to prowadzić do lokalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana.
- CVE-2026-58695Wysokie
W funkcji gmc_phy_lp3_exit_restore_registers w pliku phy_power.c występuje możliwa eskalacja uprawnień z powodu brakującej kontroli granic. Może to prowadzić do lokalnej eskalacji uprawnień z wymaganymi uprawnieniami System. Interakcja użytkownika nie jest wymagana.
- CVE-2026-58691Wysokie
W funkcji FsmReleaseKey w pliku fsm.c występuje możliwe obejście uprawnień z powodu nieprawidłowej walidacji danych wejściowych. Może to prowadzić do lokalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana.
Oryginalny opis (angielski, źródło NVD)
In multiple functions of FaceEnroll.kt, there is a possible privilege escalation due to a confused deputy. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.