- Son 7 gün
- CWE-284
CVE-2026-28588
Android ExternalStorageProvider bileşeninde yetkisiz veri erişimi (yerel yetki yükseltme)
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- google_android
Yönetici özeti
Bu açık, cihazda yerel olarak bulunan bir saldırganın korunması gereken verilere erişmesine ve daha yüksek yetki kazanmasına olanak tanır. Kullanıcı etkileşimi gerektirmediği için istismar kolaydır, bu nedenle cihazların hızlı şekilde güncellenmesi önemlidir.
ÖzetTürkçe
Android'in ExternalStorageProvider bileşeninde yer alan shouldBlockDirectoryFromTree fonksiyonunda mantık hatası bulunmaktadır. Bu hata, korunan verilere erişime izin verebilmektedir. Etkilenen sürümler Android 14, 15, 16, 16-qpr2 ve 17 olarak belirtilmiştir.
Saldırgan ne yapabilir?
Yerel bir saldırgan, ek bir çalıştırma yetkisine ihtiyaç duymadan ve kullanıcı etkileşimi olmadan korunan verilere erişebilir ve yetkisini yükseltebilir.
Kaynaktaki açıklama (İngilizce)
In shouldBlockDirectoryFromTree of ExternalStorageProvider.java, there is a possible way to access protected data due to a logic error in the code. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
Ne yapmalı?
- Android güvenlik yamasını içeren en güncel sürüme yükseltin. Etkilenen sürümler Android 14, 15, 16, 16-qpr2 ve 17'dir; üreticinizin veya operatörünüzün sunduğu en son güvenlik güncellemesini uygulayın. Genel öneri
- Güncelleme sağlanana kadar cihazlara yalnızca güvenilir uygulamaların yüklenmesine izin verin ve bilinmeyen kaynaklı uygulamaları kapatın. Genel öneri
- Cihazlarda yetkisiz uygulama veya şüpheli dosya erişimi belirtisi olup olmadığını izleyin. Genel öneri
Ek önlemler
- Filo yönetim araçlarıyla cihaz güvenlik yama düzeylerini düzenli olarak denetleyin. Genel öneri
- Mobil cihazlarda gereksiz uygulama ve depolama izinlerini kaldırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Google Android | 17 | – |
| 16-qpr2 | – | |
| 16 | – | |
| 15 | – | |
| 14 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- CVSS puanı değişti: – → 8.4
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.