Google Android: Out-of-Bounds-Write im NFC-Stack erlaubt lokale Rechteerweiterung
Zusammenfassung
Ein Out-of-Bounds-Write, verursacht durch eine fehlende Grenzprüfung in mehreren Funktionen von nfa_nfcee_act.cc im NFC-Stack von Android. Ein lokaler Angreifer mit bereits bestehendem Zugriff auf das Gerät, etwa über eine schädliche App, könnte ohne zusätzliche Ausführungsrechte und ohne Benutzerinteraktion seine Rechte erweitern. Der Hersteller stuft die Lücke im Oktober-2026-Bulletin als High ein, der CVSS-Basiswert in der Eingabe lautet 7.8.
Betroffen
- Android 16, 16-qpr2 und 17 (gemäss Android Security Bulletin, Komponente System, Spalte AOSP)
- Android 14 und 15 sind für diese CVE nicht aufgeführt
- Genaue AOSP-Build-Nummern: Unbekannt.
Behoben in
- Sicherheitspatch-Level 2026-10-01 oder neuer (Android Security Bulletin—October 2026)
- Genaue korrigierte AOSP-Builds: Unbekannt.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Analysten-Vorschlag, nicht aus einer Quelle: Wenn NFC für den Geschäftsbetrieb nicht benötigt wird, NFC bis zum Patch deaktivieren. Die Option vor dem Einsatz im MDM prüfen.
Ausnutzung
- Nicht im CISA KEV aufgeführt.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- Google meldet keine Ausnutzung in freier Wildbahn für die Schwachstellen des Oktobers 2026.
- Kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Android-Geräte auf Sicherheitspatch-Level 2026-10-01 oder neuer aktualisieren.
- MDM-Berichte auf Geräte unterhalb dieses Patch-Levels prüfen und jene priorisieren, die für E-Mail und Firmendaten genutzt werden.
- Geräte ersetzen, die vom Hersteller nicht mehr unterstützt werden.
- CVSS-Wert und NVD-Status direkt im NVD-Eintrag prüfen, da sie aus den geprüften Quellen nicht bestätigt werden konnten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Android Security Bulletin—October 2026 source.android.com
- Strix CVE-2026-49880 www.strix.ai
- HOL Guard CVE-2026-49880 (CISA ADP Vulnrichment) hol.org
- Appaloosa Scout Android 2026-10-01 scout.appaloosa.io
- Threatint CVE-2026-49880 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 06:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.