Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-441

CVE-2026-58957

Android ActivityStarter bileşeninde yetki karıştırma nedeniyle yerel ayrıcalık yükseltme açığı

Google Android

Yüksek 8,4 CVSS 3.1
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
0 gün
Kaydı açan
google_android

Yönetici özeti

Bu açık, cihazda yerel olarak çalışan kötü niyetli bir uygulamanın sistem seviyesinde daha fazla yetki kazanmasına olanak tanıyabilir. Kullanıcı etkileşimi gerektirmediği için istismarı kolaydır ve etkilenen cihazların verilerini riske atabilir. Etkilenen Android sürümlerini kullanan cihazlarda güvenlik güncellemelerinin öncelikli olarak uygulanması önerilir.

ÖzetTürkçe

Android'in ActivityStarter.java içindeki resolveToHeavyWeightSwitcherIfNeeded fonksiyonunda, bir confused deputy (karıştırılmış vekil) sorunu nedeniyle arka plandan etkinlik başlatılabilmektedir. Etkilenen sürümler Android 14, 15, 16, 16-qpr2 ve 17'dir. Saldırgan, cihazda ek bir çalıştırma yetkisi olmadan ve kullanıcı etkileşimi gerekmeden bu açığı kullanabilir.

Saldırgan ne yapabilir?

Yerel bir saldırgan, cihaz üzerinde ayrıcalıklarını yükselterek gizlilik, bütünlük ve erişilebilirlik üzerinde tam etki yaratabilir.

Kaynaktaki açıklama (İngilizce)

In resolveToHeavyWeightSwitcherIfNeeded of ActivityStarter.java, there is a possible background activity launch due to a confused deputy. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.

Ne yapmalı?

  1. Cihazlarınızı, Android güvenlik bülteninde bu sorun için yayımlanan güvenlik yamasını içeren en güncel sürüme yükseltin. Genel öneri
  2. Güncelleme henüz uygulanamıyorsa, güvenilmeyen uygulamaları cihazdan kaldırın ve yalnızca resmi mağazalardan uygulama yüklemeye özen gösterin. Genel öneri

Ek önlemler

  • Cihaz üretici ve operatörünüzün güvenlik güncellemelerini takip edin ve kritik yamaları gecikmeden uygulayın. Genel öneri
  • Filosundaki cihazların güncelleme durumunu düzenli olarak envanterleyin ve güncel olmayan cihazları izole edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Google Android 17 –
16-qpr2 –
16 –
15 –
14 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CVSS puanı değişti: – → 8.4
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.