Simple Contacts Pro: Unsachgemässe Freigabe eines Content Providers legt private Kontakte offen
Zusammenfassung
Simple Contacts Pro mit versionCode 107 (laut Advisory auch 108) deklariert einen exportierten Content Provider ohne jegliche Berechtigungsanforderung. Jede auf demselben Android-Gerät installierte App kann diesen abfragen und private lokale Kontakte auslesen, darunter Namen, Telefonnummern, Geburtstage und Jahrestage, sofern die Einstellung für ausgeblendete Kontakte aktiviert ist, was standardmässig der Fall ist. Der Provider ist nur lesend, und es wird weder Codeausführung noch Rechteerweiterung beansprucht. Der NVD-Eintrag führt CVSS 9.1 mit Netzwerk als Angriffsvektor, was nicht zur lokalen Natur dieser im Advisory beschriebenen Schwachstelle passt.
Betroffen
- Simple Contacts Pro, versionCode 107
- Laut Advisory auch versionCode 108 (de.ritscher.simplemobiletools.contacts.pro)
- Versionsname für versionCode 107 und 108: Unbekannt.
Behoben in
Unbekannt. Es wurde kein Herstellerhinweis oder Patch gefunden.
Umgehung
- Keine bekannte Workaround-Massnahme des Herstellers.
- Die Einstellung für ausgeblendete Kontakte (Private Kontakte anzeigen) in der App deaktivieren, sofern die App weiterhin genutzt wird.
- App deinstallieren und Kontakte in eine offiziell gepflegte App verschieben.
Ausnutzung
- Ein Proof of Concept existiert: Das Advisory beschreibt eine funktionierende Abfrage des Providers ohne Berechtigung.
- CISA SSVC: Ausnutzungsstatus poc, automatisierbar ja, technische Auswirkung total.
- Nicht bekannt, dass die Lücke aktiv ausgenutzt wird; nicht im CISA-KEV-Katalog gelistet.
Unsere Empfehlung
- Prüfen, ob Simple Contacts Pro (insbesondere aus F-Droid, APK-Portalen oder per Sideloading) auf Firmen- oder BYOD-Geräten installiert ist.
- Die App auf verwalteten Geräten deinstallieren und keine Geschäfts- oder Kundendaten darin speichern.
- Das Code-Repository des Herstellers auf eine Korrektur überwachen und bei Veröffentlichung einer behobenen Version aktualisieren.
- Priorität: mittel für KMU, in denen die App im Einsatz ist; sonst niedrig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- FFG0d fdroid-android-advisories: CVE-2026-107015 / CVE-2026-107016 github.com
- SimpleMobileTools Simple-Contacts (upstream repository) github.com
- kanytu Simple-Contacts issue 628 github.com
- VulDB entry 428470 vuldb.com
- cve-daily-brief issue 129 github.com
- OffSeq Radar: CVE-2026-107015 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:14.
Referenzen der NVD (4)
- https://github.com/FFG0d/fdroid-android-advisories/blob/main/advisories/CVE-2026-107015-CVE-2026-107016.md
- https://github.com/SimpleMobileTools/Simple-Contacts
- https://github.com/kanytu/Simple-Contacts/issues/628
- https://github.com/FFG0d/fdroid-android-advisories/blob/main/advisories/CVE-2026-107015-CVE-2026-107016.md
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.