Google Android-Kernel: Heap-Buffer-Overflow führt zu lokaler Rechteerweiterung
Zusammenfassung
Ein Heap-basierter Buffer Overflow in mehreren Stellen des Android-Kernels ermöglicht einen Out-of-Bounds-Schreibzugriff. Ein lokaler Angreifer mit System-Berechtigungen könnte seine Rechte weiter erweitern. Es ist keine Benutzerinteraktion erforderlich. Die Schwachstelle ist im Pixel Update Bulletin vom November 2026 aufgeführt und mit dem Patch-Level 2026-11-05 behoben.
Betroffen
- Google Android-Kernel, wie im CVE-Eintrag genannt (Standard: nicht betroffen)
- Pixel-Geräte mit einem Sicherheits-Patch-Level vor 2026-11-05
- Genaue betroffene Android-Versionen für diese CVE: Unbekannt.
Behoben in
- Sicherheits-Patch-Level 2026-11-05 oder neuer (Pixel Update Bulletin November 2026)
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers dokumentiert; das Update ist die einzige Behebung.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- In der Recherche wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Es wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Sicherheits-Patch-Level aller Pixel-Geräte prüfen und auf 2026-11-05 oder neuer aktualisieren.
- Das Patch-Level über MDM durchsetzen und Geräte, die zurückliegen, nachverfolgen.
- Pixel 6 und 6 Pro erhalten möglicherweise keine Behebungen mehr; den Supportstatus auf den Support-Seiten von Google prüfen und einen Ersatz planen.
- NVD und den CISA-KEV-Katalog überwachen, da die NVD-Analyse zum Zeitpunkt der Recherche noch ausstand.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-58696 www.cve.org
- Pixel Update Bulletin November 2026 source.android.com
- OSV record PUB-A-505398752 osv.dev
- 9to5Google: Android 17 QPR2 November Pixel update 9to5google.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.