Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar

CVE-2025-48633

Android Framework'te Cihaz Sahibi Eklenmesine İzin Veren Bilgi İfşası Açığı

Google Android

Orta 5,5 CVSS 3.1
Yayımlandı
Güncellendi
26 Şub 2026
Açık yaşı
324 gün
Kaydı açan
google_android
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 2 Ara 2025 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 23 Ara 2025.

ÖzetTürkçe

DevicePolicyManagerService.java içindeki hasAccountsOnAnyUser fonksiyonunda, kod mantığındaki bir hata nedeniyle sağlama işleminden sonra bir Cihaz Sahibi (Device Owner) eklenebilmesine olanak tanıyan bir durum tespit edilmiştir. Bu durum, ek bir çalıştırma yetkisi gerektirmeden yerel ayrıcalık yükseltmesine yol açabilir. Sömürülmesi için kullanıcı etkileşimi gerekmemektedir.

Kaynaktaki açıklama (İngilizce)

In hasAccountsOnAnyUser of DevicePolicyManagerService.java, there is a possible way to add a Device Owner after provisioning due to a logic error in the code. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Google Android 16 –
15 –
14 –
13 –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı
  2. CISA KEV listesine eklendi (saldırılarda kullanılıyor)

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.