Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-441

CVE-2026-58965

Google Android MusicFxHelper ses efekti yayınında yetki atlatma (confused deputy) açığı

Google Android

Yüksek 8,4 CVSS 3.1
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
1 gün
Kaydı açan
google_android

Yönetici özeti

Bu açık, Android cihazlarda yerel bir saldırganın yetkisiz ayrıcalık kazanmasına olanak tanıyabilir ve cihazdaki verilerin tamamını riske atabilir. Saldırı için kullanıcı işlemi gerekmediğinden risk yüksektir ve cihazların hızlıca güncellenmesi önerilir.

ÖzetTürkçe

Android'in MusicFxHelper.java bileşenindeki handleAudioEffectBroadcast fonksiyonunda, confused deputy (karıştırılmış vekil) türünde bir yetki atlatma açığı bulunmaktadır. Açık, Android 14, 15, 16, 16-qpr2 ve 17 sürümlerini etkilemektedir. Açığın CWE-441 sınıfına girdiği belirtilmiştir.

Saldırgan ne yapabilir?

Yerel bir saldırgan, ek yürütme yetkisine ihtiyaç duymadan ayrıcalıklarını yükseltebilir ve cihaz üzerindeki verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini etkileyebilir. Kullanıcı etkileşimi gerekmez.

Kaynaktaki açıklama (İngilizce)

In handleAudioEffectBroadcast of MusicFxHelper.java, there is a possible permission bypass due to a confused deputy. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.

Ne yapmalı?

  1. Android'in resmi güvenlik bülteninde belirtilen düzeltilmiş sürüme veya güvenlik yamasına derhal geçiş yapın. Cihazınızın üreticisi veya taşıyıcısı tarafından sunulan güncellemeleri uygulayın. Genel öneri
  2. Güvenlik yaması henüz uygulanmamış cihazları, yama gelene kadar hassas verilerden uzak tutun ve mümkünse ağ erişimini sınırlandırın. Genel öneri

Ek önlemler

  • Filo yönetim araçlarıyla Android cihazların güvenlik yama düzeylerini düzenli olarak denetleyin. Genel öneri
  • Cihazlarda yetkisiz uygulama yüklenmesini kısıtlayın ve yalnızca güvenilir kaynaklardan uygulama kurulmasına izin verin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Google Android 17 –
16-qpr2 –
16 –
15 –
14 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CVSS puanı değişti: – → 8.4
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.