CVE-2026-0063: Rettighedsfejl i Android 17

CVE-2026-0063 er en fejl i funktionen setAllowedCarriers i Android 17, som styrer hvilke mobilselskaber en telefon må bruge. Denne form for kontrol kaldes operatørspærring og bruges blandt andet til at låse virksomhedstelefoner til et bestemt teleselskab eller til at opfylde vilkår i en leasingaftale. Fejlen er en logisk brist i koden, som gør, at en app allerede installeret på enheden kan slå spærringen fra uden at have de rettigheder, det normalt kræver. Det klassificeres som CWE-269, forkert håndtering af rettigheder. Resultatet er lokal rettighedseskalering: en app opnår adgang, den ikke skal have, uden at brugeren gør noget aktivt.

Sårbarheden findes i Google Android 17.0. Den rammer i praksis enheder, hvor operatørspærringer er sat op, blandt andet firmatelefoner administreret via MDM (mobile device management, styring af mobile enheder centralt), leasede telefoner med binding til et bestemt teleselskab og enheder, hvor it-afdelingen har brugt spærringen som en sikkerhedsforanstaltning. Alle typer virksomheder med Android-flåder på version 17 kan være berørt, uanset branche.

En app med lave rettigheder, for eksempel en app installeret ved et uheld fra en tvivlsom kilde, kan udnytte fejlen til at omgå operatørspærringen og opnå udvidede rettigheder på enheden. Herfra kan appen potentielt læse data, installere yderligere software eller undergrave de politikker, it-afdelingen har sat op via MDM-løsningen. For en dansk virksomhed betyder det, at en enkelt uopdateret telefon kan blive et hul i den ellers lukkede enhedsstyring.

CVSS-score er 7,8 ud af 10, alvorlig. Angrebet kræver lokal adgang, det vil sige, at en app allerede er installeret på enheden eller at angriberen har fysisk adgang til den. Det kræver kun lave rettigheder på forhånd og ingen brugerhandling, så brugeren behøver ikke klikke på noget for at fejlen udnyttes. Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed kan alle kompromitteres fuldt ud. Der er ingen kendte tegn på, at fejlen er udnyttet i praksis, og der er ikke offentliggjort kode, der demonstrerer angrebet.

Sådan lukker I hullet og begrænser risikoen i mellemtiden:

1. Installér den Android-sikkerhedsopdatering, der retter CVE-2026-0063, på alle enheder med Android 17, så snart den er tilgængelig fra Google eller jeres enhedsleverandør.
2. Gennemgå jeres MDM-politikker og kontrollér, at installation af apps fra ukendte kilder er blokeret på firmatelefoner.
3. Kortlæg hvilke enheder i flåden bruger operatørspærringer, og prioritér disse ved udrulning af opdateringen.
4. Efter opdatering, kontrollér at operatørspærringerne stadig virker som forventet på et udvalg af enheder.
5. Er I i tvivl om, hvor mange enheder der er ramt, eller hvordan I ruller opdateringen ud til en større flåde, kan Auroa hjælpe med kortlægning og udrulningsplan.