CVE-2026-49880: уязвимость записи за границами буфера в NFC-стеке Android

В репозитории CVE Project опубликована информация об уязвимости CVE-2026-49880, затрагивающей операционную систему Google Android. Проблема относится к классу ошибок работы с памятью и связана с отсутствием проверки границ при записи данных.

Подробности

Уязвимость затрагивает продукт Google Android. По данным описания CVE, ошибка присутствует в нескольких функциях файла nfa_nfcee_act.cc — компонента NFC-стека Android, отвечающего за обработку NFCEE (NFC Execution Environment).

Тип уязвимости — out-of-bounds write (CWE-787, запись за границами буфера). Причиной является отсутствие проверки границ (missing bounds check), из-за чего данные могут записываться за пределами выделенной области памяти. Это создаёт условия для повреждения памяти и потенциального выполнения произвольного кода в контексте уязвимого компонента.

Согласно описанию, эксплуатация позволяет добиться локального повышения привилегий (local escalation of privilege). При этом дополнительные права на выполнение не требуются, а взаимодействие с пользователем для эксплуатации не нужно — что существенно упрощает условия атаки для злоумышленника, уже имеющего локальный доступ к устройству или возможность запускать код на нём.

Значение CVSS в предоставленной записи CVE не указано, поэтому оценка критичности по шкале CVSS в данном материале не приводится.

Что делать

Основная рекомендация — установить обновления безопасности Android, выпущенные производителем устройства или вендором прошивки, как только они станут доступны. Google регулярно публикует ежемесячные бюллетени безопасности Android, в которых фиксируются подобные уязвимости; исправление CVE-2026-49880 следует искать именно в таких обновлениях. Универсального патча, применимого ко всем устройствам, не существует — сроки выпуска зависят от конкретного производителя и модели.

До установки обновления можно применять компенсирующие меры:

• отключать NFC, если функция не используется постоянно, — это снижает поверхность атаки на уязвимый компонент;
• устанавливать приложения только из проверенных источников (Google Play и официальные магазины производителей), поскольку эксплуатация подразумевает наличие локального доступа или запуск кода;
• следить за бюллетенями безопасности производителя устройства и не откладывать установку системных обновлений;
• в корпоративной среде — использовать MDM-решения для контроля версий прошивок и ограничения установки недоверенных приложений на парке устройств.

Итог: CVE-2026-49880 — уязвимость записи за границами буфера в NFC-компоненте Android (nfa_nfcee_act.cc), позволяющая локально повысить привилегии без взаимодействия с пользователем. Наиболее эффективная защита — своевременная установка обновлений безопасности от производителя устройства; до этого целесообразно ограничить использование NFC и контролировать источники устанавливаемых приложений.

Источник: CVE Project (cvelistV5)