Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-125

CVE-2026-58924

Android EVS HAL bileşeninde getStreamList üzerinde heap sınır dışı okuma açığı

Google Android

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
3 gün
Kaydı açan
google_android

Yönetici özeti

Bu açık, Android cihazlarda kamera ve görüntü altyapısının sistem seviyesindeki bileşenini etkiler ve bir saldırganın cihazın gizli bilgilerine erişmesine yol açabilir. Etkilenen cihazların güncellenmesi, veri sızıntısı riskini azaltmak için önemlidir ve öncelikli olarak ele alınmalıdır.

ÖzetTürkçe

Android'in EVS HAL bileşenindeki getStreamList metodu, CameraDesc.metadata bayt dizisini doğrulamadan ayrıştırır. Bu nedenle saldırgan, HAL sürecinin heap belleğinde kendi belirlediği bir ofsetten sınır dışı okuma yaptırabilir. Etkilenen sürümler Android 14, 15, 16, 16-qpr2 ve 17'dir.

Saldırgan ne yapabilir?

Saldırgan, HAL sürecinin belleğinden işaretçi ve tampon tutamaçları gibi hassas bilgileri okuyabilir ve bunları kendisine geri gönderebilir. Bu durum, başka açıklarla birleştirildiğinde daha ciddi saldırıların önünü açabilir.

Kaynaktaki açıklama (İngilizce)

The vulnerability is a heap out-of-bounds read in the EVS HAL's getStreamList() method. An attacker can craft a CameraDesc.metadata byte array, which is parsed without validation, leading to an out-of-bounds read at an attacker-controlled offset within the HAL process's heap. The read data is then exfiltrated back to the attacker, potentially leaking sensitive information like pointers and buffer handles.

Ne yapmalı?

  1. Android'in resmi güvenlik bülteninde belirtilen düzeltilmiş sürüme veya güvenlik yamasını içeren sürüme cihazınızı güncelleyin. Etkilenen sürümler Android 14, 15, 16, 16-qpr2 ve 17'dir. Genel öneri
  2. Cihaz üreticinizin (OEM) kendi güncelleme kanalından yayımladığı güvenlik yamasını uygulayın; yama gecikmesi olabileceği için üreticinizin duyurularını takip edin. Genel öneri
  3. Güncelleme yapılana kadar cihazda kamera erişimi gerektirmeyen uygulamaları kaldırın veya devre dışı bırakın ve bilinmeyen kaynaklardan gelen uygulamaları yüklemeyin. Genel öneri

Ek önlemler

  • Cihaz yazılımını ve güvenlik yamalarını düzenli olarak kontrol edin ve otomatik güncellemeleri açık tutun. Genel öneri
  • Kamera izinlerini yalnızca güvenilir uygulamalara verin ve gereksiz izinleri periyodik olarak gözden geçirin. Genel öneri
  • Kurumsal cihazlarda mobil cihaz yönetimi (MDM) çözümleriyle yama durumunu merkezi olarak izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Google Android 17 –
16-qpr2 –
16 –
15 –
14 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CVSS puanı değişti: – → 7.5
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.