Shelter: Unzureichende Authentifizierung in exportierter Activity erlaubt auth_key-Registrierung
Zusammenfassung
Shelter versionCode 445 (F-Droid-Version 1.9.1) exportiert eine Activity, die Intents von beliebigen Apps ohne Berechtigung annimmt. Laut einem Drittanbieter-Advisory kann eine lokale App ohne Berechtigungen auf einer nie registrierten Shelter-Instanz einen eigenen auth_key hinterlegen und danach den Binder-Dienst der App nutzen sowie den Präferenzstatus ändern. Sobald ein Schlüssel registriert ist, wird der gespeicherte Schlüssel verlangt, weshalb das Hauptrisiko bei der Ersteinrichtung liegt. Der NVD-Score von 9.8 setzt Netzwerkzugriff voraus, was das Advisory nicht bestätigt; das Risiko sollte daher als Bedrohung durch andere Apps auf demselben Gerät behandelt werden.
Betroffen
- Shelter versionCode 445 (F-Droid-Version 1.9.1 (445))
- Andere Versionen: Unbekannt.
Behoben in
Unbekannt. Es wurde kein korrigierter Build bestätigt.
Umgehung
- Shelter deinstallieren oder das Arbeitsprofil entfernen, falls die App nicht benötigt wird.
- Ein Workaround des Herstellers ist nicht bekannt.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: Nicht bekannt.
- Öffentlicher Proof of Concept: Das Drittanbieter-Advisory beschreibt einen getesteten Proof of Concept. Am 29. Okt. 2026 wurden keine Einträge in öffentlichen Exploit-Datenbanken gefunden.
- CISA SSVC: Exploitation poc, automatable yes, technical impact total.
Unsere Empfehlung
- Prüfen, ob Shelter auf Firmen- oder BYOD-Geräten installiert ist und welche versionCode vorhanden ist.
- Shelter deinstallieren oder das Arbeitsprofil entfernen, wo die App nicht benötigt wird.
- Android-Geräte auf einem aktuellen Sicherheitspatchstand halten.
- Das Shelter-Repository und die F-Droid-Seite auf einen korrigierten Build überwachen und sofort aktualisieren, sobald einer verfügbar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- F-Droid: Shelter f-droid.org
- FFG0d advisory CVE-2026-107058 github.com
- Shelter project repository github.com
- Vulners NVD mirror CVE-2026-107058 vulners.com
- Strix CVE-2026-107058 www.strix.ai
- OffSeq Radar CVE-2026-107058 radar.offseq.com
- PSIRT CVE-2026-107058 psirt.com
- The Hacker Wire CVE-2026-107058 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.