CVE-2026-28615

Android Telecomm: nieautoryzowane połączenie telefoniczne przez pominięcie uprawnień

CVSS 10.0v4.0pub. 2026-06-17upd. 2026-06-18

W komponencie Telecomm systemu Android istnieje możliwość zainicjowania nieautoryzowanego połączenia telefonicznego na skutek obejścia mechanizmu kontroli uprawnień (permissions bypass). Podatność klasyfikowana jest jako krytyczna z wynikiem CVSS 10.0, co oznacza pełne ryzyko dla poufności, integralności i dostępności systemu.

▸ Pokaż oryginał (EN)

In Telecomm, there is a possible way to initiate an unauthorized phone call due to a permissions bypass. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.

🤖 Analiza AI

Jak działa

Błąd wynika z brakującej weryfikacji uprawnień (CWE-862 – Missing Authorization) w komponencie Telecomm odpowiedzialnym za obsługę połączeń telefonicznych. Atakujący może wykorzystać tę lukę lokalnie, bez potrzeby posiadania dodatkowych uprawnień wykonawczych ani interakcji ze strony użytkownika, aby zainicjować połączenie telefoniczne wbrew ograniczeniom systemowym.

Skutki

Atakujący może dokonać lokalnej eskalacji uprawnień (privilege escalation) oraz zainicjować nieautoryzowane połączenia telefoniczne, co może prowadzić do narażenia prywatności użytkownika, generowania kosztów lub dalszego kompromitowania systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — zainstalować aktualizacje bezpieczeństwa opisane w biuletynie Android Security Bulletin z czerwca 2026 roku dostępnym na stronie producenta.

Kogo dotyczy

Google Android — wersje wskazane w referencjach producenta (biuletyn bezpieczeństwa Android z 2026-06-17, dostępny pod adresem https://source.android.com/docs/security/bulletin/android-17)

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X