Lenovo Android-Tablets: Beliebiges Schreiben von Dateien über exportierte App-Komponenten

Zusammenfassung

Mehrere Lenovo-Android-Tablet-Modelle enthalten eine Schwachstelle, bei der Anwendungskomponenten unsachgemäss exportiert werden (CWE-926). Eine auf dem Gerät installierte Drittanbieter-App kann damit beliebige Dateien mit erhöhten Rechten schreiben. Der Angreifer benötigt eine schädliche App auf dem Gerät sowie eine Benutzerinteraktion und kann das Tablet nicht über das Netzwerk erreichen. Die Auswirkungen auf Integrität und Verfügbarkeit sind hoch, laut CVSS-4.0-Wert von 6.9 besteht keine Auswirkung auf die Vertraulichkeit.

Betroffen

• Lenovo Idea Tab Pro TB373FU: vor 17.5.10.107
• Lenovo Tab One TB305FU und Tab K9 TB305FU: vor 17.0.10.324
• Lenovo Tab One TB305XU und Tab K9 TB305XU: vor 17.0.10.318
• Lenovo Yoga Tab Plus TB520FU: vor 18.5.10.037
• Lenovo Legion Tab 8.8 TB321FU: vor 17.5.10.319
• Lenovo Tab mit Clear Case / Folio Case TB311FU: vor 17.5.36.508
• Lenovo Tab mit Clear Case / Folio Case TB311XU: vor 17.5.37.529
• Lenovo Idea Tab / Tab K11 Gen 2 TB336FU: vor 17.5.10.348
• Lenovo Idea Tab / Tab K11 Gen 2 TB336ZU: vor 17.5.10.443
• Lenovo Yoga Tab TB710FU: vor 1.5.04.519
• Lenovo Tab Plus TB351FU: Schwellenwert als TBD angegeben
• Ein weiterer Eintrag (vor 17.5.36.508) mit nicht identifiziertem Modell: Unbekannt

Behoben in

• Korrigierte Versionen gemäss CVE-Eintrag (diese Version oder höher): TB373FU 17.5.10.107; TB305FU/K9 TB305FU 17.0.10.324; TB305XU/K9 TB305XU 17.0.10.318; TB520FU 18.5.10.037; TB321FU 17.5.10.319; TB311FU 17.5.36.508; TB311XU 17.5.37.529; TB336FU 17.5.10.348; TB336ZU 17.5.10.443; TB710FU 1.5.04.519
• Tab Plus TB351FU: keine korrigierte Version bekannt
• Tab K9 und weitere Modelle ohne Versionsangaben in den Quellen: Unbekannt
• Versionen noch nicht gegen die Herstellermitteilung LEN-220237 geprüft

Umgehung

Unbekannt.

• Für TB351FU und Modelle ohne bekannte Korrektur: Drittanbieter-Apps einschränken oder entfernen und die Installation nicht vertrauenswürdiger Apps deaktivieren

Ausnutzung

• OffSeq führt die Schwachstelle am 11. November 2026 als nicht als ausgenutzt bekannt.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• Ein Eintrag im CISA-KEV-Katalog wurde nicht abschliessend geprüft.
• Die Bewertung 'easy' von VulDB beschreibt den Schwierigkeitsgrad der Ausnutzung und ist kein Beleg für eine aktive Ausnutzung.

Unsere Empfehlung

• Alle Lenovo-Tablets inventarisieren und exaktes Modell sowie Firmware-Build erfassen.
• Die korrigierte Firmware dort installieren, wo eine korrigierte Version angegeben ist.
• Bei TB351FU und nicht zugeordneten Modellen als offen behandeln: App-Installation einschränken und nicht benötigte Drittanbieter-Apps entfernen, bis Lenovo eine Korrektur veröffentlicht.
• Geteilte Tablets oder BYOD-Geräte mit offener App-Installation zuerst prüfen.
• LEN-220237 regelmässig auf Aktualisierungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Lenovo PSIRT advisory LEN-220237 support.lenovo.com
• CVE Record CVE-2026-116633 www.cve.org
• VulDB entry 435857 vuldb.com
• OffSeq Radar CVE-2026-116633 radar.offseq.com
• threatint CVE-2026-116633 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:26.