Google Android: Race Condition erlaubt Manipulation der Coprozessor-Firmware
Zusammenfassung
Eine Race Condition an mehreren Stellen erlaubt es, authentifizierte Coprozessor-Firmware im Shared Memory vor dem Laden zu manipulieren. Ein Angreifer, der bereits System-Berechtigungen auf einem Gerät besitzt, kann dies für eine lokale Rechteerweiterung nutzen. Für die Ausnutzung ist keine Benutzerinteraktion nötig, aber ein bestehender Zugriff auf das Gerät.
Betroffen
- Google Android auf betroffenen Pixel-Geräten (Pixel Update Bulletin, November 2026)
- Genaue betroffene Komponente: nicht bestätigt. Der CVE-Eintrag nennt den Android-Kernel; das Bulletin führt die Subkomponente als Bootloader auf.
- Patch-Levels vor 2026-11-05 (genauer Versionsbereich unbekannt)
Behoben in
- Sicherheits-Patch-Level 2026-11-05 oder neuer, gemäss Pixel Update Bulletin von Google
- Fixierte Build-Nummern für diese CVE: Unbekannt.
- Die Verfügbarkeit des Updates wird uneinheitlich berichtet; Patch-Level jedes Geräts direkt prüfen
- Pixel 6 und Pixel 6 Pro erhalten möglicherweise nach Oktober 2026 keine Updates mehr; dies ist nicht verifiziert
Umgehung
Unbekannt. Es wurde keine vom Hersteller veröffentlichte Workaround-Massnahme gefunden. Die Installation des Patch-Levels 2026-11-05 ist die praktische Massnahme.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; ein Aggregator führt KEV als "No" auf, was keine verbindliche CISA-Prüfung ist
- Kein öffentlicher Proof of Concept gefunden
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total
Unsere Empfehlung
- Sicherstellen, dass alle verwalteten Pixel-Geräte das Sicherheits-Patch-Level 2026-11-05 oder neuer haben
- Geräte identifizieren, die keine Sicherheitsupdates mehr erhalten, und deren Ersatz oder Isolation planen
- Den KEV-Status im CISA-Katalog überprüfen
- Dies als Schritt zur Rechteerweiterung behandeln; der CVSS-Wert beträgt 6.4 (MEDIUM), Google stuft die Lücke jedoch als Critical ein, daher nicht unterschätzen
- Den monatlichen Update-Zyklus einhalten, da dieses Bulletin viele weitere kritische Korrekturen enthält
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Pixel Update Bulletin November 2026 source.android.com
- CVE Record CVE-2026-56949 www.cve.org
- OSV entry PUB-A-511823474 osv.dev
- Strix CVE-2026-56949 www.strix.ai
- Google Pixel November 2026 update rollout (Jetstream) jetstream.blog
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:45.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.