ЗАГОЛОВОЧНЫЙ БЛОК
В декодере VP9 на Android обнаружена уязвимость CVE-2026-0170, позволяющая выполнить запись за пределами буфера из-за отсутствия проверки границ. Эксплуатация не требует привилегий и взаимодействия с пользователем и может привести к удалённому повышению привилегий. Проблема затрагивает широкий спектр устройств на базе Google Android.
Подробности
Уязвимость локализована в функции Vp9DecodeFrameTag файла vp9hwd_headers.cc. Причиной стало отсутствие проверки границ (missing bounds check) при разборе заголовков кадра VP9, что приводит к записи за пределами выделенного буфера (out-of-bounds write). Подобный класс ошибок позволяет атакующему повредить соседние области памяти и потенциально добиться выполнения произвольного кода. Согласно описанию CVE, эксплуатация возможна удалённо и не требует дополнительных привилегий на устройстве. Также подчёркивается, что взаимодействие со стороны пользователя не нужно — то есть жертве не требуется открывать файл или нажимать на ссылку. Это существенно повышает опасность уязвимости: достаточно доставки специально сформированного VP9-потока на устройство, например через медиасообщение, веб-страницу или потоковое воспроизведение. Итоговый эффект эксплуатации — повышение привилегий (escalation of privilege) в удалённом сценарии. Точная оценка CVSS в записи CVE не указана, однако сочетание удалённой эксплуатации, отсутствия требований к привилегиям и взаимодействию с пользователем, а также характера ошибки (запись за границами буфера) позволяет отнести её к категории высокого и критического риска. Затронут продукт Google Android; конкретный перечень уязвимых версий в записи CVE не приводится.Что делать
Основная рекомендация — как можно скорее установить обновления безопасности Android, выпущенные производителем устройства. Google регулярно публикует ежемесячные патчи, и исправление для CVE-2026-0170 должно появиться в одном из ближайших бюллетеней безопасности Android Security Bulletin. Важно учитывать, что сроки доставки обновлений зависят от вендора: устройства разных производителей получают патчи с разной задержкой. До установки исправления можно снизить риск с помощью следующих мер: — ограничить воспроизведение недоверенного видеоконтента в формате VP9, особенно из ненадёжных источников; — применять решения для защиты мобильных устройств и MDM-политики, контролирующие установку приложений и обработку медиафайлов; — по возможности использовать браузеры и приложения с изолированной обработкой медиаконтента; — следить за официальными уведомлениями производителя устройства о доступности патча. Организациям, использующим парк Android-устройств в корпоративной среде, рекомендуется включить данную уязвимость в приоритетный список для оперативного патчинга и проверить актуальность политик управления мобильными устройствами. Итог: CVE-2026-0170 — опасная уязвимость удалённого повышения привилегий в декодере VP9 на Android, эксплуатация которой не требует действий пользователя. Единственная надёжная мера защиты — своевременная установка обновлений безопасности. До выхода патча стоит ограничить обработку недоверенного видеоконтента и усилить контроль мобильных устройств.Источник: CVE Project (cvelistV5)