CVE-2026-28597
WysokieCVSS 8.4Streszczenie
W metodzie writeGrantedUriPermissions klasy UriGrantsManagerService.java występuje możliwość obejścia uprawnień z powodu niewłaściwej walidacji danych wejściowych. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonawczych. Do wykorzystania nie jest wymagana interakcja użytkownika.
Ocena ryzyka
Lokalny atakujący może obejść mechanizm uprawnień i uzyskać wyższe uprawnienia w systemie Android, co może naruszyć poufność i integralność danych. Ryzyko dotyczy urządzeń z podatną wersją systemu.
Rekomendacja
Zaktualizuj system Android do najnowszej wersji zawierającej poprawkę bezpieczeństwa. W miarę możliwości ogranicz dostęp do urządzenia osobom niezaufanym.
Inne podatności w Android
Zobacz wszystkie- CVE-2026-59028Wysokie
W funkcji resolveAidConflictLocked pliku RegisteredAidCache.java występuje możliwe obejście uprawnień wynikające z ataku typu confused deputy. Może to prowadzić do lokalnego podniesienia uprawnień bez potrzeby dodatkowych uprawnień wykonawczych.
- CVE-2026-59022Nieznane
W wielu funkcjach pliku MediaProvider.java występuje możliwe obejście uprawnień spowodowane błędem logicznym w kodzie. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych.
- CVE-2026-59021Nieznane
W wielu miejscach występuje możliwa odmowa usługi spowodowana nieprawidłową walidacją danych wejściowych. Może to prowadzić do lokalnej odmowy usługi wymagającej uprawnień wykonawczych użytkownika.
- CVE-2026-59020Nieznane
W funkcji removeUserData pliku DevicePolicyManagerService.java występuje możliwa odmowa usługi spowodowana warunkiem wyścigu. Może to prowadzić do lokalnej odmowy usługi wymagającej uprawnień wykonawczych użytkownika.
- CVE-2026-59016Nieznane
W funkcji sendAnomalyProfile pliku ProfilingService.java występuje możliwy problem path traversal. Może to prowadzić do lokalnego podniesienia uprawnień bez potrzeby dodatkowych uprawnień wykonawczych.
- CVE-2026-59015Nieznane
W wielu miejscach występuje możliwe obejście uprawnień wynikające z ataku typu confused deputy. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych.
- CVE-2026-59014Nieznane
W wielu miejscach występuje możliwe zapisanie poza granicami bufora spowodowane przepełnieniem liczby całkowitej. Może to prowadzić do lokalnego podniesienia uprawnień bez potrzeby dodatkowych uprawnień wykonawczych.
- CVE-2026-59012Nieznane
W funkcji checkLastKnownCellIdAccessPermission pliku TelephonyPermissions.java występuje możliwe obejście uprawnień spowodowane brakiem sprawdzenia uprawnień. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych.
- CVE-2026-59011Nieznane
W wielu miejscach występuje możliwe obejście uprawnień spowodowane błędem logicznym w kodzie. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych.
- CVE-2026-59010Nieznane
W funkcji deserialize pliku legacy.rs występuje możliwa odmowa usługi spowodowana brakiem sprawdzenia granic. Może to prowadzić do lokalnej odmowy usługi bez potrzeby dodatkowych uprawnień wykonawczych.
Oryginalny opis (angielski, źródło NVD)
In writeGrantedUriPermissions of UriGrantsManagerService.java, there is a possible permission bypass due to improper input validation. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS