Google Android: Denial of Service durch Integer-Überlauf im UCE-Timer
Zusammenfassung
Ein Fehler in der Funktion StartTimer von UcePublishManager.cpp erlaubt einen Integer-Überlauf bei der Timer-Berechnung. Ein entfernter Angreifer kann dadurch einen Prozessabbruch auslösen, wodurch der betroffene Dienst auf dem Gerät unterbrochen wird. Es sind keine Berechtigungen und keine Benutzerinteraktion erforderlich, die Auswirkung beschränkt sich auf die Verfügbarkeit.
Betroffen
- Google Android, wie im CVE-Eintrag aufgeführt (als 'Android kernel' beschrieben; die betroffene Komponente scheint ein Userspace-Dienst zu sein, nicht bestätigt)
- Betroffene Android-Versionen und Builds: Unbekannt.
Behoben in
- Enthalten im Pixel Update Bulletin November 2026, Patch-Level 2026-11-05 oder neuer (Zielstand; Tabelleneintrag für diese CVE nicht bestätigt)
- Fixe Build-Nummern: Unbekannt.
Umgehung
- Unbekannt. Es wurde kein Workaround oder keine Massnahme des Herstellers veröffentlicht.
Ausnutzung
- Keine bekannte Ausnutzung.
- Nicht im CISA-KEV-Katalog; kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Das Android-Sicherheitsupdate mit Patch-Level 2026-11-05 oder neuer auf allen Pixel- und Android-Geräten per MDM installieren.
- Das Sicherheits-Patch-Level auf jedem Gerät prüfen (Einstellungen > Telefoninfo).
- Pixel-Geräte, die keine Updates mehr erhalten, ersetzen oder isolieren.
- Die Installation im üblichen monatlichen Patch-Zyklus umsetzen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-59582 www.cve.org
- Pixel Update Bulletin November 2026 source.android.com
- Android Security Bulletin November 2026 source.android.com
- Strix CVE page CVE-2026-59582 www.strix.ai
- ThreatInt CVE page CVE-2026-59582 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:56.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.