CVE-2026-45524: выход из песочницы в Google Android из-за отсутствия проверки разрешений
В Android обнаружена уязвимость CVE-2026-45524, связанная с отсутствием проверки разрешений в компоненте WifiPermissionsUtil.java. Эксплуатация позволяет локально повысить привилегии и выйти за пределы песочницы без взаимодействия с пользователем. Проблема затрагивает устройства на базе Google Android.
Подробности
Согласно описанию, проблема локализована в методе isSystem файла WifiPermissionsUtil.java. Из-за пропущенной проверки разрешений возможен выход за пределы песочницы приложения. Это, в свою очередь, создаёт условия для локального повышения привилегий (local escalation of privilege). Ключевая особенность уязвимости — низкий порог эксплуатации: по данным CVE-записи, дополнительных привилегий для выполнения атаки не требуется, а взаимодействие со стороны пользователя не нужно. Иными словами, для успешной реализации сценария достаточно локального доступа к устройству, а участие владельца не предполагается. Затронутый продукт — Google Android. Конкретные версии операционной системы в CVE-записи не указаны, поэтому точный периметр уязвимых сборок следует уточнять у вендора. Числовое значение CVSS в предоставленной записи также отсутствует.Что делать
Основная рекомендация — установить обновления безопасности Android, выпущенные Google для устранения CVE-2026-45524. Поскольку уязвимость связана с проверкой разрешений в системном компоненте, исправление, как правило, поставляется в рамках ежемесячных патчей безопасности. Следует проверить актуальность уровня патча на устройстве и обновиться, когда исправление станет доступно для конкретной модели. До установки обновления целесообразно применять компенсирующие меры: - ограничить установку приложений из недоверенных источников; - контролировать, какие приложения имеют доступ к Wi-Fi-функциям и системным интерфейсам; - использовать решения для мобильного управления (MDM/EMM) для контроля политик на корпоративных устройствах; - отслеживать рекомендации производителя устройства и оператора связи о сроках выпуска патча. Для организаций имеет смысл включить CVE-2026-45524 в процесс управления уязвимостями и оценить риск для парка мобильных устройств, особенно если они используются для доступа к корпоративным ресурсам. Итог: CVE-2026-45524 — локальная уязвимость повышения привилегий в Google Android, вызванная отсутствием проверки разрешений в WifiPermissionsUtil.java. Она не требует взаимодействия с пользователем и дополнительных привилегий, что повышает её значимость. Ключевая мера защиты — своевременная установка обновлений безопасности Android, а до их выхода — ограничение источников установки приложений и контроль доступа к системным функциям.Источник: CVE Project (cvelistV5)