Leafpad: Exportierte Android-Komponente erlaubt Schreiben von Notizen ohne Berechtigung

Zusammenfassung

Leafpad für Android in Version 1.21 exportiert eine Activity, die keine Berechtigung erfordert. Jede auf demselben Gerät installierte App kann Text an diese Activity senden, und dieser Text wird ohne Benutzerinteraktion als neue Notiz in der Datenbank der App gespeichert. Der Melder hat dies mit einer Test-App demonstriert, und die eingeschleusten Notizen blieben nach einem Neustart erhalten. Der NVD-Wert von 9.1 setzt einen Netzwerkangriff voraus, während eine andere Quelle den Angriff als lokal einstuft; das tatsächliche Risiko ist daher umstritten.

Betroffen

• Leafpad 1.21 (versionCode 21) für Android, gemäss CVE-Eintrag und Advisory
• Versionen 1.22 bis 1.24: unbekannt, noch nicht bestätigt

Behoben in

Unbekannt. Das Advisory hält fest, dass der Upstream-Projekt-Maintainer bis zum 2026-09-27 keine Korrektur veröffentlicht hatte. Die Versionshinweise zu 1.24 beschreiben nur UI-Änderungen und keine Sicherheitskorrektur.

Umgehung

• Unbekannt. Es ist kein vom Hersteller bestätigter Workaround verfügbar.
• Keine vertraulichen Informationen in der App speichern, bis eine Korrektur bestätigt ist.
• Installation unbekannter Apps auf Firmengeräten einschränken.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Nicht im CISA-KEV-Katalog aufgeführt.
• Im Advisory ist ein vom Melder verifizierter Proof of Concept beschrieben; andere Quellen bestätigen keinen öffentlichen Exploit.
• CISA SSVC: Ausnutzung poc, automatisierbar ja, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, ob Leafpad auf Firmen- oder Mitarbeitergeräten installiert ist.
• Leafpad deinstallieren oder für vertrauliche Notizen nicht mehr verwenden, bis das Advisory eine korrigierte Version bestätigt.
• Advisory und F-Droid-Eintrag auf ein Update überwachen.
• Geräte mit Bildschirmsperre und Geräteverschlüsselung schützen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• F-Droid: Leafpad package f-droid.org
• Advisory CVE-2026-107034 (FFG0d/fdroid-android-advisories) github.com
• Upstream repository: amarradi/leafpad_Android github.com
• VulDB entry 428564 vuldb.com
• Strix: CVE-2026-107034 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:12.