Google Android: Lokale Rechteerweiterung durch Out-of-Bounds Read
Zusammenfassung
Ein Fehler in mehreren Funktionen von MessageQueueBase.h, verursacht durch eine fehlerhafte Grenzprüfung, erlaubt einen Out-of-Bounds Read auf Android-Geräten. Ein lokaler Angreifer mit niedrigen Berechtigungen, zum Beispiel über eine schädliche oder kompromittierte App, könnte auf dem Gerät seine Rechte erweitern. Sobald der Angreifer auf dem Gerät Fuss gefasst hat, ist keine Benutzerinteraktion nötig. Die Geräte sind nicht direkt aus dem Internet erreichbar, das Risiko betrifft jedoch Firmen- und BYOD-Smartphones und -Tablets.
Betroffen
- Android 14
- Android 15
- Android 16
- Android 16-qpr2
- Android 17
Behoben in
- Sicherheitspatchlevel 2026-10-01 oder neuer
- Keine spezifische Fix-Buildnummer für AOSP für diese CVE veröffentlicht.
Umgehung
- Unbekannt. Es ist kein Workaround des Herstellers dokumentiert.
- Lokales Risiko reduzieren, indem Sideloading und unbekannte Apps eingeschränkt und Updates über MDM erzwungen werden.
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt. Google hat keine aktive Ausnutzung angezeigt.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- In den Recherchen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Android-Geräte und deren Sicherheitspatchlevel inventarisieren.
- Alle unterstützten Geräte auf Sicherheitspatchlevel 2026-10-01 oder neuer aktualisieren, Geräte mit Geschäftsdaten zuerst.
- Updates über MDM erzwingen und Sideloading einschränken.
- NVD und den CISA-KEV-Katalog auf Änderungen des Ausnutzungsstatus überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Android Security Bulletin October 2026 source.android.com
- Canadian Cyber Centre alert AV26-1003 www.cyber.gc.ca
- CISA ADP Vulnrichment record for CVE-2026-49937 hol.org
- Android October 2026 patch level overview scout.appaloosa.io
- Hexnode threat watch: Android October 2026 security update www.hexnode.com
- Vulners PT-2026-106150 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 06:29.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.