- Son 7 gün
- CWE-441
CVE-2026-59028
Google Android RegisteredAidCache bileşeninde izin atlatma (confused deputy) açığı
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- google_android
Yönetici özeti
Bu açık, Android cihazlarda bir saldırganın yetkisiz ayrıcalık kazanmasına yol açabilir ve cihazdaki verilerin güvenliğini tehlikeye atabilir. Kullanıcı etkileşimi gerektirmediği için risk yüksektir. Etkilenen cihazların hızlıca güncellenmesi önerilir.
ÖzetTürkçe
Android'in RegisteredAidCache.java dosyasındaki resolveAidConflictLocked fonksiyonunda, confused deputy (karıştırılmış vekil) türü bir hata nedeniyle izin denetimi atlatılabilir. Etkilenen sürümler, veri kaynağında Android 15, 16, 16-qpr2 ve 17 olarak belirtilmiştir. Açık, yerel bir saldırganın ek yürütme yetkisine ihtiyaç duymadan ayrıcalık yükseltmesi yapmasına olanak tanıyabilir.
Saldırgan ne yapabilir?
Yerel bir saldırgan, kullanıcı etkileşimi olmadan izin kısıtlamalarını aşarak cihazda yükseltilmiş ayrıcalıklar elde edebilir. Bu, gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek düzeyde etki doğurabilir.
Kaynaktaki açıklama (İngilizce)
In resolveAidConflictLocked of RegisteredAidCache.java, there is a possible permission bypass due to a confused deputy. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
Ne yapmalı?
- Google'ın yayımladığı Android güvenlik güncellemesini, etkilenen sürümler için en kısa sürede cihazlara uygulayın. Genel öneri
- Cihaz üreticiniz veya operatörünüz tarafından sunulan güncellemelerin durumunu kontrol edin, çünkü güvenlik yamaları cihaz modeline göre gecikebilir. Genel öneri
- Güncelleme uygulanana kadar cihazlara bilinmeyen veya güvenilmeyen uygulamaların yüklenmesini engelleyin ve yetkisiz yerel erişimi sınırlandırın. Genel öneri
Ek önlemler
- Kurumsal cihazlarda Android güvenlik yamalarının düzenli ve zamanında uygulanmasını bir politika haline getirin. Genel öneri
- Yüklü uygulamaların izinlerini periyodik olarak gözden geçirin ve gereksiz izin isteyen uygulamaları kaldırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Google Android | 17 | – |
| 16-qpr2 | – | |
| 16 | – | |
| 15 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- CVSS puanı değişti: – → 8.4
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.