CVE-2026-0071: Fejl i Android SettingsLib giver systemrettigheder

CVE-2026-0071 er en fejl i SettingsLib, et delt bibliotek som Android bruger til indstillinger og systemfunktioner. Fejlen skyldes en logikfejl i koden, hvor en nødvendig rettighedskontrol mangler. Det klassificeres som CWE-862, manglende adgangskontrol, hvilket betyder, at systemet ikke tjekker korrekt, om den, der forsøger at udføre en handling, faktisk har lov til det. En app, der allerede er installeret på enheden, kan derfor udnytte manglen til at opnå udvidede rettigheder uden at have fået tildelt dem, og uden at brugeren skal godkende eller foretage sig noget.

Sårbarheden findes i Google Android 17.0. Det rammer virksomheder og kommuner, der har mobiltelefoner eller tablets på denne Android-version i drift, både firmaejede enheder og BYOD-enheder (medarbejdernes egne telefoner brugt til arbejde). Særligt relevant for organisationer, hvor medarbejdere kan installere apps uden for Google Play, eller hvor der ikke er mobile device management (MDM) til at styre app-installation.

En app, der er installeret på enheden, uanset om det sker via sideloading eller en app fra en officiel butik med skjult funktionalitet, kan udnytte manglen til at få adgang på systemniveau. Det giver mulighed for at læse eller ændre data fra andre apps, ændre systemindstillinger og potentielt slå sikkerhedsfunktioner fra. For en dansk virksomhed kan det betyde, at følsomme oplysninger i e-mail, kalender eller virksomhedsapps på telefonen bliver tilgængelige for en angriber, uden at medarbejderen bemærker noget.

CVSS-scoren er 7,8 af 10, hvilket er alvorligt. Angrebet kræver lokal adgang, det vil sige at en app allerede er installeret på enheden, men kompleksiteten er lav og der kræves ingen handling fra brugeren, når appen først er på plads. Det kræver dog i udgangspunktet lave rettigheder i forvejen, hvilket typisk opnås ved at få en app installeret. Konsekvensen ved udnyttelse er høj på alle tre punkter: fortrolighed, integritet og tilgængelighed kan alle kompromitteres fuldt ud. Der er på offentliggørelsesdatoen ingen oplysninger om, at fejlen er udnyttet i praksis, og der er ikke offentliggjort færdig kode til at udnytte den.

Sådan lukker I hullet og begrænser risikoen i mellemtiden.

1. Installér den Android-sikkerhedsopdatering, der retter CVE-2026-0071, på alle enheder med Android 17.0.
2. Begræns installation af apps fra ukendte kilder, og tillad kun apps fra Google Play eller jeres godkendte virksomhedsbutik.
3. Brug mobile device management (MDM) til at styre, hvilke apps der kan installeres på firmaenheder, og til at rulle opdateringer ud centralt.
4. Gennemgå jeres enhedsflåde for at finde telefoner og tablets, der stadig kører uopdateret Android 17.0.
5. Informér medarbejdere om ikke at installere apps fra ukendte kilder, indtil opdateringen er rullet ud.
6. Har I ikke MDM eller overblik over jeres mobile enheder, bør I søge hjælp til at få styr på enhedsstyring, før I opdaterer i stor skala.