Android: Berechtigungsumgehung in den Einstellungen für Geräteadministratoren ermöglicht lokale Rechteerweiterung
Zusammenfassung
Ein Logikfehler in der Einstellungskomponente für Geräteadministrator-Apps (DeviceAdminAppsPreferenceController, updateState) von Android ermöglicht eine Umgehung von Berechtigungen. Ein lokaler Angreifer mit niedrigen Rechten, zum Beispiel eine bösartige App, die bereits auf dem Gerät läuft, kann seine Rechte auf eine höhere Stufe erweitern. Es ist keine Benutzerinteraktion erforderlich, und es werden keine zusätzlichen Ausführungsrechte benötigt.
Betroffen
- Android 14, 15 und 16-qpr2 (AOSP-Branches gemäss Bulletin vom Oktober 2026)
- Android Automotive OS: Die betroffenen AOSP-Branches sind im AAOS-Bulletin aufgeführt
- Betroffene Gerätemodelle: Unbekannt.
Behoben in
- Sicherheits-Patchlevel 2026-10-01 oder neuer (Android Security Bulletin Oktober 2026)
- Für Android Automotive OS: vollständiges AAOS-Update mit Sicherheits-Patchlevel 2026-10-05 oder neuer
- Das Patchlevel unter Einstellungen prüfen, nicht nur das Datum des Google-Play-Systemupdates.
Umgehung
- Keine gefunden. Es ist kein vom Hersteller veröffentlichter Workaround bekannt. Die Installation des Sicherheitsupdates ist die Massnahme.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden. Google weist im Bulletin nicht auf eine aktive Ausnutzung hin.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- In den geprüften Quellen nicht als bekanntermassen ausgenutzt markiert (Katalog CISA KEV nicht direkt geprüft).
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Das Sicherheitsupdate vom Oktober 2026 (Patchlevel 2026-10-01 oder neuer) auf verwalteten Telefonen und Tablets installieren sowie das AAOS-Update 2026-10-05 oder neuer auf Fahrzeugsystemen.
- Das Patchlevel auf jedem Gerät prüfen und bestätigen, dass das Telefon-Bulletin diese CVE abdeckt, bevor die Flotte als geschützt gemeldet wird.
- Die Installation von Apps auf vertrauenswürdige Quellen beschränken und ungewöhnliche Rechteänderungen auf Geräten überwachen.
- Priorität: mittel. Kein Notfall, solange keine Kompromittierung vermutet wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Android Security Bulletin - October 2026 (AAOS) source.android.com
- Android Security Bulletin - October 2026 source.android.com
- Vulnrichment record CVE-2026-28647 (CVSS 3.1) vulners.com
- CISA ADP Vulnrichment record CVE-2026-28647 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 06:31.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.