Google Android: Denial of Service im Kernel durch Integer-Overflow-Trap
Zusammenfassung
Der Android-Kernel enthält mehrere Stellen, an denen fehlende Eingabevalidierung einen Integer-Overflow-Trap auslösen kann. Laut CVE-Eintrag kann ein Angreifer einen vorübergehenden Denial of Service auslösen, der nur die Verfügbarkeit betrifft, ohne zusätzliche Berechtigungen und ohne Benutzerinteraktion. Der CVE-Eintrag beschreibt den Angriff als remote, die erreichbare Schnittstelle ist jedoch nicht angegeben und nicht verifiziert.
Betroffen
- Android-Kernel (genaue Versionen im CVE-Eintrag nicht angegeben)
- Herstellerhinweis: Pixel Update Bulletin November 2026; die Aufnahme dieser CVE ist im abgerufenen Auszug nicht bestätigt
Behoben in
Unbekannt. Google gibt an, dass das Patch-Level 2026-11-05 oder neuer alle Probleme im Pixel Update Bulletin November 2026 behebt; die Zuordnung zu dieser CVE ist nicht bestätigt.
Umgehung
Unbekannt. In den geprüften Quellen ist keine Gegenmassnahme dokumentiert.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Das Android- bzw. Pixel-Update vom November 2026 (Patch-Level 2026-11-05 oder neuer) auf allen Android-Geräten installieren.
- Patch-Level von Firmen- und BYOD-Smartphones und -Tablets prüfen und Modelle ersetzen, die keine Updates mehr erhalten.
- Nicht überwachte oder hochverfügbare Geräte priorisieren.
- Die vollständige Herstellerinformation beobachten, um den Auslösepfad zu bestätigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-59611 www.cve.org
- Android Pixel Update Bulletin November 2026 source.android.com
- Strix CVE-2026-59611 www.strix.ai
- 9to5Google: November 2026 Pixel update 9to5google.com
- Gadget Hacks: November 2026 Pixel update explained android.gadgethacks.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:54.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.