Google Android: Berechtigungsumgehung in der Logik der Deinstallationsschaltfläche führt zu lokaler Rechteerweiterung
Zusammenfassung
Ein Logikfehler im Einstellungs-Controller ApplicationActionButtonsPreferenceController von Android Automotive OS ermöglicht eine Umgehung von Berechtigungen. Ein lokaler Angreifer mit einem bestehenden Konto mit niedrigen Rechten, einer App oder einem Fussabdruck auf dem Gerät könnte dadurch seine Rechte auf dem Gerät erweitern. Es ist keine Benutzerinteraktion erforderlich, und laut Google setzt die Bewertung voraus, dass die Plattform-Schutzmechanismen deaktiviert oder umgangen sind.
Betroffen
- Android Automotive OS (AAOS) Versionen 14, 15 und 16-qpr2 (gemäss AAOS-Bulletin)
- Nicht aufgeführte Versionen werden laut Hersteller-Daten als nicht betroffen eingestuft; der Standardstatus ist nicht betroffen.
Behoben in
- Behoben im Sicherheitspatch-Level Oktober 2026 (AAOS-Bulletin: 2026-10-05 oder neuer; Detailabschnitt mit 2026-10-01 überschrieben). Die genaue Schwelle ist unklar; beim Fahrzeughersteller nachfragen.
- Genaue behobene AOSP-Build-Nummern: Unbekannt.
Umgehung
Unbekannt. In den geprüften Quellen ist kein Workaround dokumentiert. Ein Update mit dem Sicherheitspatch-Level Oktober 2026 installieren.
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt.
- In den Daten von CISA ADP Vulnrichment nicht als aktiv ausgenutzt markiert; kein Eintrag im CISA KEV gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle im Einsatz stehenden AAOS-basierten Fahrzeuge oder Geräte identifizieren und beim Hersteller das Datum des Oktober-2026-Updates erfragen.
- Android-Geräte im Bestand gegen das Sicherheitspatch-Level Oktober 2026 prüfen.
- Die Installation nicht verwalteter Apps auf verwalteten Android-Geräten einschränken, um das Risiko eines lokalen Fussabdrucks zu senken.
- NVD und das Hersteller-Bulletin auf Änderungen des CVSS-Werts, der betroffenen Versionen oder des Ausnutzungsstatus prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Android Security Bulletin—October 2026 (AAOS) source.android.com
- Android Security Bulletin—October 2026 source.android.com
- CVE-2026-28641 CVSS and SSVC data (Vulnrichment) vulners.com
- CVE-2026-28641 CISA ADP Vulnrichment hol.org
- CVE-2026-28641 threat intelligence record cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 06:30.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.