Android: Out-of-Bounds-Schreibzugriff ermöglicht lokale Rechteausweitung
Zusammenfassung
Google Android enthält an mehreren Stellen einen Out-of-Bounds-Schreibzugriff, der auf einer fehlerhaften Grenzprüfung beruht. Ein lokaler Angreifer mit geringen Berechtigungen und ohne Benutzerinteraktion kann auf dem betroffenen Gerät seine Rechte ausweiten. Das Bulletin führt die Lücke unter Framework, während die Einleitung ein Problem der System-Komponente beschreibt. Google hat keine Ausnutzung gemeldet.
Betroffen
- Android 14, 15, 16, 16-qpr2 und 17 (AOSP-Versionen laut Bulletin vom Oktober 2026)
- Herstellerversionen können abweichen; prüfen Sie das Bulletin Ihres Geräteherstellers
Behoben in
- Sicherheitspatchlevel 2026-10-01 oder neuer
- Pixel-Geräte: Patchlevel 2026-10-05 oder neuer
Umgehung
Unbekannt. In den geprüften Quellen ist keine Workaround dokumentiert; das Sicherheitsupdate ist einzuspielen.
Ausnutzung
- Google hat diese CVE nicht als aktiv ausgenutzt gemeldet.
- CISA KEV: Ein Drittanbieter-Spiegel meldet, dass sie nicht gelistet ist; nicht auf cisa.gov verifiziert.
- In den Recherchen wurde kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Alle Android-Geräte per MDM auf Sicherheitspatchlevel 2026-10-01 oder neuer aktualisieren.
- Das Patchlevel auf jedem Gerät prüfen und im Asset-Inventar erfassen.
- Pixel 6 und 6 Pro ersetzen oder isolieren, da sie nach Oktober 2026 keine Updates mehr erhalten.
- Herstellerupdates und Meldungen über Ausnutzung im Auge behalten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Android Security Bulletin October 2026 source.android.com
- Pixel Security Bulletin October 2026 source.android.com
- Samsung October 2026 security patch release notes www.sammyfans.com
- TechRepublic: Samsung October 2026 security update www.techrepublic.com
- DigitBin Pixel update tracker www.digitbin.com
- HOL Guard: CISA ADP Vulnrichment record (mirror) hol.org
- CVE.org record mirror cve.threatint.com
- Droid-Life: Pixel 6 and 7 update schedule www.droid-life.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 06:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.