Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-862

CVE-2026-58866

Android AccessibilityWindowManager eksik yetki denetimi nedeniyle yerel yetki yükseltme

Google Android

Yüksek 8,4 CVSS 3.1
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
0 gün
Kaydı açan
google_android

Yönetici özeti

Bu açık, Android cihazlarda kötü niyetli bir uygulamanın veya kişinin sistem üzerindeki yetkisini artırmasına yol açabilir. Kullanıcı etkileşimi gerektirmediği için risk yüksektir ve etkilenen cihazların hızla güncellenmesi önerilir.

ÖzetTürkçe

Android'in AccessibilityWindowManager bileşenindeki setAccessibilityWindowAttributes fonksiyonunda yetki denetimi eksik olduğu bildirilmiştir. Bu durum, yerel erişimi olan ve ek yürütme ayrıcalığına ihtiyaç duymayan bir saldırganın yanıltıcı arayüz davranışı üzerinden yetkisini yükseltmesine olanak tanıyabilir. Etkilenen sürümler Android 14, 15, 16, 16 QPR2 ve 17 olarak listelenmiştir.

Saldırgan ne yapabilir?

Saldırgan, kullanıcı etkileşimi gerekmeden cihaz üzerinde yerel olarak yetkisini yükseltebilir ve gizlilik, bütünlük ve erişilebilirlik açısından yüksek düzeyde etki yaratabilir.

Kaynaktaki açıklama (İngilizce)

In setAccessibilityWindowAttributes of AccessibilityWindowManager.java, there is a possible untrusted/misleading UI issue due to a missing permission check. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.

Ne yapmalı?

  1. Cihaz üreticinizin veya operatörünüzün yayımladığı en son Android güvenlik yamasını içeren güncellemeyi hemen uygulayın. Genel öneri
  2. Güncelleme mevcut olana kadar cihaz üzerinde güvenilmeyen uygulamaların yüklenmesini engelleyin ve mevcut uygulamaları gözden geçirin. Genel öneri
  3. Cihazın yerel erişimini kısıtlayın ve fiziksel erişimi olan kişilerin cihaza müdahale etmesini önleyin. Genel öneri

Ek önlemler

  • Cihazlarda otomatik güvenlik güncellemelerinin açık olduğunu düzenli olarak doğrulayın. Genel öneri
  • Kurumsal cihazlarda yalnızca resmi kaynaklardan uygulama yüklenmesine izin verin. Genel öneri
  • Yetki yükseltme girişimlerini gösterebilecek alışılmadık sistem davranışlarını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Google Android 17 –
16-qpr2 –
16 –
15 –
14 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CVSS puanı değişti: – → 8.4
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.