- Son 7 gün
- CWE-862
CVE-2026-58873
Google Android XR'da WindowManagerService izin denetimi eksikliği nedeniyle yetki yükseltme
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- google_android
Yönetici özeti
Bu açık, cihaz üzerinde yerel erişimi olan bir kişinin sistem üzerindeki denetimi ele geçirmesine olanak tanıyabilir. Etkilenen cihazların kullanıldığı iş ortamlarında risk yüksek olup güncellemenin öncelikli olarak uygulanması önerilir.
ÖzetTürkçe
Android'in WindowManagerService bileşenindeki addDragDropListener fonksiyonunda eksik bir izin denetimi bulunmaktadır. Bu durum izin atlatmaya yol açabilmektedir. Etkilenen ürün Google Android XR sürüm 14'tür.
Saldırgan ne yapabilir?
Saldırgan, cihazda yerel olarak ek ayrıcalık gerektirmeden yetkisini yükseltebilir ve gizlilik, bütünlük ile erişilebilirlik açısından yüksek düzeyde etki yaratabilir. Kullanıcı etkileşimi gerekmemektedir.
Kaynaktaki açıklama (İngilizce)
In addDragDropListener of WindowManagerService.java, there is a possible permission bypass due to a missing permission check. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
Ne yapmalı?
- Google'ın yayımladığı Android güvenlik bülteni ve ilgili Android XR güncellemesini inceleyin ve Android XR 14 cihazlarınızı en güncel düzeltilmiş sürüme yükseltin. Genel öneri
- Güncelleme uygulanana kadar cihazlara yalnızca güvenilen uygulamaları yükleyin ve bilinmeyen kaynaklardan gelen uygulamaları kaldırın. Genel öneri
- Cihaz yönetim araçlarında güncelleme durumunu doğrulayın ve güncellenmemiş cihazları izole edin. Genel öneri
Ek önlemler
- Cihazlarda yetkisiz ayrıcalık yükseltme belirtilerini izleyin, beklenmedik süreç veya yetki değişikliklerini kayıt altına alın. Genel öneri
- Cihazlara fiziksel erişimi kısıtlayın ve ekran kilidi ile cihaz şifrelemesinin etkin olduğundan emin olun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Google Android XR | 14 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- CVSS puanı değişti: – → 8.4
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.