Samsung Mobile Devices: Unzureichende Eingabevalidierung in HEIF-Decoder-Bibliothek
Zusammenfassung
Eine unzureichende Eingabevalidierung in der HEIF-Bildverarbeitungskomponente libsimba.heifdec.media.samsung.so von Samsung-Mobilgeräten erlaubt einem lokalen Angreifer, möglicherweise beliebigen Code auszuführen. Der Angriff setzt lokalen Zugriff und keine Berechtigungen voraus; laut CVSS-Vektor ist zudem keine Benutzerinteraktion nötig, daher ist eine bösartige App oder eine präparierte Datei, die den Decoder erreicht, der realistische Weg. Das Sicherheitsupdate von Samsung vom Oktober 2026 behebt die Schwachstelle.
Betroffen
- Samsung Mobile Devices mit Android 14, 15, 16 und 17 mit Firmware vor SMR Oct-2026 Release 1 (Standard: betroffen)
- Betroffene Builds pro Modell: Unbekannt (siehe Samsung-Bulletin)
Behoben in
- SMR Oct-2026 Release 1 (Sicherheitsupdate vom Oktober 2026)
Umgehung
- Keine vom Hersteller dokumentierte Massnahme. Für ungepatchte Geräte unbekannt.
Ausnutzung
- Keine Hinweise auf eine bekannte Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden.
- Die Bewertung weicht ab: CVSS 4.0 8.6 (NVD/Vulners) gegenüber CVSS-Basisscore 8.8 (VulDB).
Unsere Empfehlung
- Über MDM prüfen, ob verwaltete Geräte SMR Oct-2026 Release 1 oder neuer verwenden.
- Updates für Geräte mit sensiblen Daten oder nicht verwalteten Apps priorisieren.
- Das Oktober-2026-Update trotzdem einspielen, da es weitere Android-Schwachstellen behebt.
- CISA-KEV und Herstellerhinweise auf Ausnutzung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Samsung Mobile Security Bulletin October 2026 security.samsungmobile.com
- NVD entry (via Vulners) vulners.com
- VulDB CVE entry vuldb.com
- VulDB vulnerability entry vuldb.com
- Android Headlines: Samsung October 2026 security update www.androidheadlines.com
- SammyFans: October 2026 update availability www.sammyfans.com
- Dijitalturk: Samsung October 2026 security update dijitalturk.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:52.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.