Google Android Pixel: Use-after-free im Bluetooth-Stack
Zusammenfassung
Im Bluetooth-Bestandteil von Android (bluetooth_ccc.cc, BluetoothCccHandlerCallbackImpl) gibt es eine Use-after-free-Schwachstelle, die Pixel-Geräte betrifft. Die CVE-Beschreibung nennt die Möglichkeit einer Remote Code Execution ohne Benutzerinteraktion und ohne zusätzliche Berechtigungen, während Googles Pixel Update Bulletin vom Oktober 2026 das Problem als Elevation of Privilege (EoP) einstuft; die RCE-Angabe ist daher unbestätigt. Der CVSS-Vektor nennt Netzwerkzugriff, was für Bluetooth fraglich ist, und ein Angreifer müsste vermutlich in Funkreichweite sein. Eine Ausnutzung ist nicht dokumentiert.
Betroffen
- Google-Pixel-Geräte ohne Sicherheitspatch-Level 2026-10-05 oder neuer
- Betroffene Android-Versionen und Builds: Unbekannt.
- Andere Android-Hersteller: Unbekannt.
Behoben in
- Sicherheitspatch-Level 2026-10-05 oder neuer (Pixel Update Bulletin, Oktober 2026)
Umgehung
- Kein Workaround des Herstellers bekannt. Die Installation des Patches ist die Behebung.
- Bis zur Aktualisierung Bluetooth dort deaktivieren, wo es nicht benötigt wird, z. B. per MDM-Richtlinie.
Ausnutzung
- Nicht als aktiv ausgenutzt bekannt. CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Verwaltete Pixel-Geräte und BYOD-Smartphones mit Zugriff auf Firmendaten über MDM auf Sicherheitspatch-Level 2026-10-05 oder neuer aktualisieren.
- Bluetooth auf Geräten einschränken, auf denen es nicht erforderlich ist.
- Googles Angaben und den CISA KEV-Katalog auf aktualisierte Details zur Auswirkung und zur Ausnutzung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Pixel Update Bulletin, October 2026 source.android.com
- CVE-2026-55330 record (OpenCVE) app.opencve.io
- CISA ADP Vulnrichment (HOL Guard) hol.org
- VulDB entry 414392 vuldb.com
- SecurityWeek: Android October 2026 updates www.securityweek.com
- 9to5Google: October 2026 Pixel update 9to5google.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.