Google Android: Out-of-Bounds-Schreibzugriff ermöglicht lokale Rechteausweitung
Zusammenfassung
Ein Out-of-Bounds-Schreibzugriff aufgrund einer fehlenden Grenzprüfung betrifft Android auf Pixel-Geräten. Ein lokaler Angreifer, der bereits über System-Ausführungsrechte verfügt, könnte seine Rechte ausweiten, und es ist keine Benutzerinteraktion erforderlich. Der CVE-Eintrag nennt den Android-Kernel als betroffene Komponente, während das Pixel-Bulletin von Google die Subkomponente CHRE angibt. Der mitgelieferte CVSS-Wert 6.7 konnte nicht verifiziert werden, da NVD die CVE noch nicht analysiert hat.
Betroffen
- Google Android, Pixel-Geräte (Bulletin-Fehler A-508385434, Subkomponente CHRE, Typ EoP, Schweregrad High)
- CVE-Eintrag nennt als betroffene Komponente den Android-Kernel; das Bulletin nennt CHRE
- Genaue betroffene Android-Builds und Pixel-Modelle: Unbekannt.
Behoben in
- Sicherheitspatchlevel 2026-11-05 oder neuer, gemäss Pixel Update Bulletin vom November 2026 und OSV.
Umgehung
- Kein Workaround in den Quellen dokumentiert.
- Die Installation des Sicherheitspatchlevels 2026-11-05 ist der einzige identifizierte Fix.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- Eine sekundäre Quelle gibt an, dass die CVE nicht im KEV-Katalog der CISA geführt wird.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Das Patchlevel aller Pixel-Geräte in den Einstellungen prüfen und das Update 2026-11-05 oder neuer installieren.
- Verwaltete Pixel-Geräte mit sensiblen Daten priorisieren.
- Pixel-Modelle identifizieren, die keine Patches mehr erhalten; diese lassen sich nicht beheben und sollten ersetzt oder eingeschränkt werden.
- Auf Aktualisierungen des NVD-Eintrags und des Herstellerbulletins achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Pixel Update Bulletin, November 2026 source.android.com
- CVE Record CVE-2026-58729 www.cve.org
- OSV entry A-508385434 osv.dev
- Strix CVE details (secondary) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.