Android (ASB) Seite 21

In der Android-Komponente SpriteWallpaper vor dem SMR-Release Jun-2026 Release 1 werden App-Komponenten unsicher exportiert. Dadurch können lokale Angreifer auf schützenswerte Informationen zugreifen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: das SMR-Update Jun-2026 Release 1 einspielen.

Ein unsachgemäßer Export von Android-Anwendungskomponenten in Samsung Auto vor Version 3.1.2.61 (Android 15) bzw. 3.2.0.38 (Android 16) erlaubt einem lokalen Angreifer, die Audiokonfiguration zu verändern. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Samsung Auto auf Version 3.1.2.61 (Android 15) bzw. 3.2.0.38 (Android 16) oder neuer aktualisieren.

In mehreren Android-Dateien fehlt eine Berechtigungsprüfung, die es ermöglicht, nutzerspezifische Informationen an andere Nutzer preiszugeben. Für die Ausnutzung sind keine zusätzlichen Ausführungsrechte erforderlich. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

jadx ist ein Dex-zu-Java-Decompiler. Vor Version 1.5.6 fügt jadx den Wert android:versionName aus einem AndroidManifest ohne ausreichende Bereinigung in die generierte app/build.gradle-Groovy-Vorlage ein. Ein präparierter versionName-Wert kann so beliebigen Groovy-Code in die generierte Build-Datei einschleusen, der beim späteren Bauen des dekompilierten Projekts ausgeführt wird. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

In F5 Access für Android 3.x vor 3.0.8 besteht eine Task-Hijacking-Schwachstelle, über die ein Angreifer sensible Benutzerinformationen stehlen kann. CVSS-Basiswert: 5.5 (Mittel).

VideoLAN VLC für Android vor Version 3.7.0 enthält im Remote-Access-Server eine Authentifizierungsumgehung, weil bei der Verifizierung des Einmalpassworts (OTP) eine ausreichende Rate-Begrenzung fehlt oder unzureichend ist. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf VLC für Android 3.7.0 oder neuer aktualisieren.

In Google Chrome für Android vor Version 150.0.7871.47 erlaubte eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in WebShare einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hatte, UI-Spoofing. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Chrome für Android 150.0.7871.47 oder neuer aktualisieren.

In der Meesho Online Shopping App bis Version 27.3 für Android besteht eine Schwachstelle in einer unbekannten Funktion der Datei /api/endpoint der Komponente com.meesho.supply. Laut Quelle lässt sich diese durch Manipulation ausnutzen. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald verfügbar.

Eine unzureichende Policy-Durchsetzung in CustomTabs von Google Chrome auf Android vor Version 149.0.7827.53 erlaubt einem entfernten Angreifer, über eine präparierte HTML-Seite Cross-Origin-Daten auszulesen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

In RtcpChunk::decodeRtcpChunk besteht ein möglicher Out-of-Bounds-Read infolge eines Heap-Pufferüberlaufs. Dies kann ohne zusätzliche Ausführungsrechte zu einer entfernten Informationsoffenlegung führen. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In RtcpByePacket::decodeByePacket fehlt eine Bounds-Prüfung. Dies kann ohne zusätzliche Ausführungsrechte zu einer entfernten Offenlegung von Informationen führen; eine Nutzerinteraktion ist erforderlich. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: verfügbare Sicherheitsupdates der betroffenen Hersteller einspielen.

In der Wahoo Fitness SYSTM App bis Version 7.2.1 für Android besteht eine Schwachstelle in einer unbekannten Funktion der Datei com/WahooFitness/SYSTM/BuildConfig.java der Komponente com.WahooFitness. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine unangemessene Implementierung in der Passwords-Komponente von Google Chrome auf Android vor Version 149.0.7827.115 erlaubte einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hatte, über eine präparierte HTML-Seite die Umgehung der Site-Isolation. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.115 oder neuer aktualisieren.

In der UCC CampusConnect App bis Version 14.3.5 für Android betrifft eine Schwachstelle unbekannten Code der Datei campusconnect/BuildConfig.java der Komponente campusconnect.ucc. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der Noelse Individuals & Pro App bis Version 2.1.7 für Android besteht eine Schwäche in einer unbekannten Funktion der Datei com/reactnative/antelop/BuildConfig.java. Die Manipulation betrifft die genannte Komponente der Anwendung. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der PropertyGuru AgentNet Singapore App bis Version 23.7.10 für Android wurde eine Sicherheitslücke entdeckt. Betroffen ist eine unbekannte Funktion der Datei BuildConfig.java. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der App Rico só vantagem pra investir bis Version 4.58.32.12421 für Android wurde eine Schwachstelle gefunden. Betroffen ist eine unbekannte Verarbeitung der Datei SegmentSettingsModule.java. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der GRID Organiser App bis Version 1.0.5 für Android besteht in einer unbekannten Funktion der Datei res/raw/app.json der Komponente co.gridapp.organiser eine Schwachstelle. Durch Manipulation lässt sich die App-Konfiguration beeinflussen; der Angriff setzt lokalen Zugriff voraus. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der Investory Toy Planet Trouble App bis Version 1.5.5 für Android betrifft eine Schwachstelle eine unbekannte Funktion der Datei assets/google-services-desktop.json. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Die von Siber Systems, Inc. bereitgestellte Android-App RoboForm Password Manager verarbeitet Android-Intents ohne ausreichende URL-Validierung, Nutzerbestätigung oder Benachrichtigung. Dadurch kann eine URL zu einer schädlichen Webseite untergeschoben werden. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der USB-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 erlaubt eine unzureichende Richtliniendurchsetzung einem entfernten Angreifer, der den Renderer-Prozess bereits kompromittiert hat, Cross-Origin-Daten auszulesen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der CustomTabs-Komponente von Google Chrome auf Android vor Version 150.0.7871.47 ermöglicht es einem lokalen Angreifer, über eine bösartige Datei UI-Spoofing durchzuführen. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 150.0.7871.47 oder neuer.

In der Dialogue App bis Version 4.3.2 für Android betrifft eine Schwachstelle eine unbekannte Funktion der Datei res/raw/config.json der Komponente ca.diagram.dialogue. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der Align Technology My Invisalign App 3.12.4 für Android betrifft eine Schwachstelle eine unbekannte Funktion der Datei com/aligntech/myinvisalign/BuildConfig.java. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der Clipboard-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 ermöglichte eine unzureichende Validierung nicht vertrauenswürdiger Eingaben einem lokalen Angreifer, über eine präparierte HTML-Seite ursprungsübergreifende Daten auszulesen. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der WebAppInstalls-Komponente von Google Chrome auf Android vor Version 150.0.7871.115 erlaubte einem lokalen Angreifer über eine präparierte HTML-Seite die Umgehung der Same-Origin-Policy. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.115 oder neuer aktualisieren.

Laut NVD wurde in der Meesho Online Shopping App (bis Version 20260607) auf Android eine Schwachstelle identifiziert, die die Komponente com.meesho.supply betrifft; Details zu Angriffsvektor und konkreter Auswirkung gehen aus der Quellbeschreibung nur eingeschränkt hervor. CVSS-Basiswert: 2.1 (Niedrig), Vektor CVSS:3.1/AV:P/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N. Zu einer Ausnutzungswahrscheinlichkeit (EPSS) liegen in den Quelldaten keine Angaben vor.

In der Mobile-Komponente von Google Chrome auf Android (vor Version 151.0.7922.72) besteht eine unzureichende Validierung nicht vertrauenswürdiger Eingaben. Ein lokaler Angreifer kann darüber über eine bösartige Datei den Inhalt der Omnibox (Adressleiste) fälschen. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 151.0.7922.72 oder neuer.

In der Funktion PostWipeData von recovery_ui.cpp besteht durch einen Logikfehler ein Problem mit der Datenpersistenz nach einem Werksreset, das zu lokaler Informationspreisgabe führen kann. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Sicherheitsupdate gemäss Android Security Bulletin einspielen.

In mehreren Funktionen von KeyguardViewMediator.java ermöglicht ein Logikfehler das Umgehen des Lockdown-Modus in Kombination mit Screen Pinning, was zu lokaler Informationsoffenlegung führen kann. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In iavb_parse_key_data der Datei avb_rsa.c besteht durch unzureichende Eingabevalidierung ein möglicher Lesezugriff ausserhalb der gültigen Grenzen (Out-of-Bounds-Read). Dies kann zu einer lokalen Informationsoffenlegung ohne zusätzliche Ausführungsrechte führen. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die verfügbaren Sicherheitsupdates einspielen.

In der Funktion setTo von ResourceTypes.cpp kann eine fehlerhafte Bereichsprüfung zu einem Lesen ausserhalb des gültigen Speicherbereichs führen. Dadurch können lokal vertrauliche Informationen offengelegt werden, ohne dass zusätzliche Rechte benötigt werden. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In keymint besteht durch einen Logikfehler im Code eine mögliche Berechtigungsumgehung, die zu einer lokalen Informationsoffenlegung führen kann, ohne dass zusätzliche Ausführungsrechte erforderlich sind. Eine Nutzerinteraktion ist erforderlich. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der Funktion handleBondStateChanged in AdapterService.java besteht eine Schwachstelle, die durch eine Berechtigungsumgehung zur Offenlegung sensibler Informationen führen kann. Ein lokaler Angreifer kann ohne zusätzliche Ausführungsrechte auf vertrauliche Daten zugreifen. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Contacts Provider besteht durch eine fehlende Berechtigungsprüfung eine Möglichkeit, auf die Rufnummer eines eingehenden Anrufs und zugehörige Metadaten zuzugreifen. Dies kann zu einer lokalen Informationsoffenlegung führen. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der Funktion updateProvidersWhenServiceRemoved von CredentialManagerService.java in Android wurde ein Berechtigungs-Bypass entdeckt, der es ermöglicht, Einstellungen über Benutzer hinweg zu überschreiben. Dies kann zu einer lokalen Informationsoffenlegung ohne zusätzliche Ausführungsrechte führen. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In mehreren Funktionen von AppOpsService.java in Android kann aufgrund einer fehlenden Berechtigungsprüfung durch einen Berechtigungs-Bypass eine lokale Offenlegung von Informationen erfolgen. Zusätzliche Ausführungsrechte sind nicht erforderlich. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der Kamera-Komponente besteht durch eine fehlende Berechtigungsprüfung die Möglichkeit, unbefugt auf Fotos zuzugreifen. Dies könnte ohne zusätzliche Ausführungsrechte zu einer lokalen Informationsoffenlegung führen. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Ein unsachgemäßer Export von Android-App-Komponenten in ImsSettings vor SMR Jun-2026 Release 1 erlaubt lokalen Angreifern, eine Protokollierungsfunktion auszulösen. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: das Sicherheitsupdate SMR Jun-2026 Release 1 oder neuer einspielen.