Android: Entfernte Denial of Service durch Out-of-Range-Exception in SIP-Adressverarbeitung
Zusammenfassung
Ein Fehler in der Funktion CompareTelUris in SipAddress.cpp führt aufgrund einer fehlerhaften Grenzprüfung zu einer nicht behandelten Out-of-Range-Exception und kann einen Prozessabsturz auslösen. Ein entfernter Angreifer kann so ohne zusätzliche Berechtigungen und ohne Benutzerinteraktion einen Denial of Service verursachen. Gemäss dem gelieferten CVSS-Vektor sind Vertraulichkeit und Integrität nicht betroffen. Der CVE-Eintrag nennt den Android-Kernel als betroffene Komponente, was im Widerspruch zur Beschreibung steht, daher ist die betroffene Komponente nicht vollständig bestätigt.
Betroffen
- Google-Android-Geräte. Betroffene Android-Versionen und Komponente: nicht bestätigt (der CVE-Eintrag nennt den Android-Kernel, die Beschreibung verweist auf SIP-Adresscode).
- Betroffene Builds vor dem Sicherheitspatchlevel 2026-11-05.
Behoben in
- Sicherheitspatchlevel 2026-11-05 oder neuer (gemäss Pixel Update Bulletin von Google, November 2026).
- Die CVE wurde in den geprüften Auszügen des Bulletins nicht gefunden; die Abdeckung beruht auf der Aussage von Google, dass dieses Patchlevel alle Probleme des Bulletins behebt.
- Fixierte Build-Nummern: Unbekannt.
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers dokumentiert; das Einspielen von Updates ist die einzige dokumentierte Massnahme.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Exploitation none, Automatable yes, Technical Impact partial.
- NVD-Status: Awaiting Analysis.
Unsere Empfehlung
- Prüfen, ob Android-Geräte das Sicherheitspatchlevel 2026-11-05 oder neuer anzeigen (Einstellungen > Telefoninfo > Android-Sicherheitsupdate).
- Das Patchlevel über MDM durchsetzen und Pixel- sowie andere Android-Geräte getrennt verfolgen.
- Als reguläre Patch-Priorität behandeln, sofern die Geräte nicht in einem Hochrisikoumfeld eingesetzt werden.
- Die CVE im vollständigen Pixel-Bulletin prüfen, sobald die vollständige Tabelle verfügbar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-59623 www.cve.org
- Pixel Update Bulletin November 2026 source.android.com
- Android Security Bulletin November 2026 source.android.com
- CVE-2026-59623 threat intelligence mirror cve.threatint.com
- Strix CVE-2026-59623 status www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:53.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.