Google Android: Unsicherer Standardwert ermöglicht Manipulation des Coprozessor-Speichers
Zusammenfassung
Ein unsicherer Standardwert an mehreren Stellen der Android-Plattform erlaubt nicht vertrauenswürdiger Software, den Instruktions- und Datenspeicher eines Coprozessors zu verändern. Ein Angreifer mit lokalem Zugriff und System-Berechtigungen kann dadurch seine Privilegien erweitern. Eine Benutzerinteraktion ist nicht erforderlich. Der betroffene Coprozessor wird in den Quellen nicht genannt, und die Google-Bulletin-Zeile zu dieser CVE konnte nicht bestätigt werden.
Betroffen
- Google-Android-Geräte; die Quellen nennen den Android-Kernel als betroffene Komponente, dies ist jedoch nicht bestätigt.
- Konkrete betroffene Builds und Versionsbereiche: Unbekannt.
- Pixel-Geräte sind im Pixel Update Bulletin vom November 2026 erfasst.
Behoben in
- Sicherheitspatchlevel 2026-11-05 oder neuer laut OSV. Dies konnte nicht mit der Google-Bulletin-Zeile zu dieser CVE verifiziert werden.
- Pixel 6 und Pixel 6 Pro erhalten keine Updates mehr; ihr letztes Patchlevel war Oktober 2026, daher steht für sie kein Fix zur Verfügung.
Umgehung
Unbekannt. Es ist keine Massnahme ohne Patch dokumentiert.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; in den geprüften Quellen nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden. VulDB gibt die technischen Details als unbekannt an.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Verwaltete Pixel-Geräte auf das Sicherheitspatchlevel 2026-11-05 oder neuer aktualisieren und das Patchlevel auf jedem Gerät prüfen.
- Nicht mehr unterstützte Modelle wie Pixel 6 und Pixel 6 Pro ausser Betrieb nehmen.
- Lokalen Zugriff auf verwaltete Mobilgeräte einschränken und auf Aktualisierungen des NVD-Eintrags und des CISA-KEV-Katalogs achten.
- Schweregrad: NVD gibt CVSS 6.7 (Mittel) an; VulDB nennt 8.8 als Schätzung eines Drittanbieters.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Pixel Update Bulletin, November 2026 (Google) source.android.com
- OSV record PUB-A-513139696 osv.dev
- VulDB entry 434519 vuldb.com
- CVE record mirror (threatint) cve.threatint.com
- Verification of Android patch level (Gadget Hacks) android.gadgethacks.com
- Exploitation status summary (OffSeq Radar) radar.offseq.com
- Public exploit status (The Hacker Wire) www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.