Google Android: Lokale Rechteausweitung durch Umgehung von Berechtigungen

Zusammenfassung

Ein Logikfehler an mehreren Stellen der Systemkomponente von Android ermöglicht die Umgehung von Berechtigungen. Ein lokaler Angreifer mit niedrigen Rechten, zum Beispiel eine installierte böswillige App, kann seine Rechte auf eine höhere Stufe ausweiten. Für die Ausnutzung ist keine Benutzerinteraktion nötig, und die Schwachstelle ist nicht aus dem Internet remote ausnutzbar.

Betroffen

• Android 14, 15, 16, 16-qpr2 und 17 (gemäss AOSP-Advisory)
• Android Automotive OS: siehe AAOS-Bulletin 2026-10-01
• Der Standardwert im CVE-Eintrag weist Android 14 als nicht betroffen aus, das AOSP-Bulletin listet Android 14 jedoch als betroffen

Behoben in

• Sicherheitspatchlevel 2026-10-01 oder neuer (Android Security Bulletin Oktober 2026)
• AAOS: Patchlevel 2026-10-05 oder neuer sowie alle Probleme des AAOS-Bulletins
• Genaue AOSP-Build-Tags und Commit-IDs: Unbekannt.

Umgehung

Unbekannt. In den geprüften Quellen ist kein Workaround dokumentiert.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Kein öffentlicher Proof-of-Concept gefunden
• Nicht als aktiv in freier Wildbahn ausgenutzt gemeldet
• Nicht in der CISA-KEV-Liste aufgeführt
• EPSS 0.00071 (sehr niedrig)

Unsere Empfehlung

• Android-Sicherheitspatchlevel 2026-10-01 oder neuer auf allen mobilen Geräten installieren und den Patchstand auf jedem Gerät prüfen
• Für Head-Units mit Android Automotive OS das AAOS-Update mit Patchlevel 2026-10-05 oder neuer installieren
• Geräte in BYOD-, Shared- oder Flottenszenarien mit Priorität behandeln, wo nicht vertrauenswürdige Apps oder Benutzer vorhanden sein können
• Herstellerbulletins (z. B. Samsung, Pixel) auf gerätespezifische Builds prüfen
• Die Installation von Apps auf vertrauenswürdige Quellen beschränken und auf verdächtige Apps achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Android Security Bulletin October 2026 (AAOS) source.android.com
• Android Security Bulletin October 2026 source.android.com
• Vulners VulnRichment CVE-2026-28625 vulners.com
• GovCERT.HK alert www.govcert.gov.hk

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 06:33.