CVE-2026-0083: Sårbarhed i Androids NFC-modul
Race condition i Androids NFC-modul (CVE-2026-0083) kan give en app lokal rettighedseskalering. Opdatér enheder ved næste Android-sikkerhedsopdatering.
Hvad er det?
CVE-2026-0083 er en fejl i funktionen Nfc::eventCallback() i Androids NFC-modul, det stykke software der styrer trådløs korte-afstands-kommunikation via NFC-chippen. Fejlen er en såkaldt race condition: hvis to processer tilgår den samme hukommelse på nøjagtig samme tidspunkt, kan systemet ende med at bruge hukommelse, der allerede er frigivet. Det kaldes use-after-free og kan udnyttes til at få systemet til at udføre kode med højere rettigheder end tilsigtet. Klassificeringen CWE-362 dækker netop denne type fejl. En app med lave rettigheder på enheden kan i teorien udnytte fejlen til at hæve sine egne rettigheder, uden at brugeren skal foretage sig noget.
Hvem rammer det?
Sårbarheden findes i Google Android version 17.0. Det rammer virksomheder og kommuner, der udleverer Android-telefoner eller tablets til medarbejdere, herunder enheder styret via MDM-løsninger (mobile device management). Alle enheder, der kører den berørte Android-version og har NFC-funktionen aktiv, er potentielt berørt.
Hvad kan ske?
En angriber skal først have en app installeret lokalt på enheden, for eksempel via sideloading eller en useriøs app fra en tredjepartsbutik. Herefter kan appen udnytte race conditionen til at hæve sine rettigheder på systemet og få adgang til data eller funktioner, den normalt ikke må tilgå. I praksis kan det betyde adgang til virksomhedsdata på enheden, aflytning af kommunikation eller mulighed for at installere yderligere skadelig software med systemrettigheder.
Hvor alvorligt er det?
CVSS-scoren er 7,0 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang, altså at en ondsindet app allerede er installeret på enheden, og lave rettigheder i forvejen. Der kræves ingen handling fra brugeren, når først appen er installeret. Til gengæld er angrebskompleksiteten høj, fordi en race condition skal ramme et præcist tidsvindue, hvilket gør fejlen svær at udnytte pålideligt. Der er ingen oplysninger om, at fejlen er udnyttet i praksis på tidspunktet for offentliggørelsen.
Hvad gør jeg nu?
Følgende trin lukker hullet og reducerer risikoen, mens I venter på opdatering:
- Opdatér alle berørte Android-enheder til den nyeste sikkerhedsopdatering fra Google eller enhedens producent.
- Sørg for, at MDM-løsningen tvinger opdateringer ud til medarbejdernes enheder inden for et fast tidsrum.
- Bloker installation af apps fra ukendte kilder og aktivér Google Play Protect på alle enheder.
- Gennemgå listen over installerede apps på virksomhedsejede enheder, og fjern apps der ikke er godkendt.
- Overvej at deaktivere NFC på enheder, hvor funktionen ikke bruges, indtil opdateringen er rullet ud.
- Kontakt en ekstern rådgiver, hvis I ikke har MDM eller overblik over, hvilke enheder der kører den berørte version.
Opdatér ved næste Android-sikkerhedsopdatering
Vi anbefaler, at I ruller den relevante Android-sikkerhedsopdatering ud via jeres MDM-løsning ved førstkommende lejlighed. Fordi angrebet kræver lokal adgang og en høj angrebskompleksitet, og der ikke er tegn på udnyttelse, kan det være i orden at vente til næste planlagte opdateringsvindue, forudsat at det sker inden for kort tid. Vent ikke længere end til næste måneds opdateringscyklus, hvis I har enheder med adgang til følsomme data.
Tidslinje
Konkrete eksempler
Medarbejder installerer app uden om virksomhedens app-butik
En medarbejder i en dansk mellemstor virksomhed installerer en app fra en tredjepartskilde på sin arbejdstelefon, fordi appen ikke findes i Google Play. Appen udnytter race conditionen i NFC-modulet til at opnå forhøjede rettigheder på enheden, uden at medarbejderen bemærker noget. Herfra kan appen tilgå virksomhedsdata og e-mails på telefonen. Havde virksomheden håndhævet installation kun fra godkendte kilder via MDM, var scenariet undgået.
Ofte stillede spørgsmål
Er vores virksomhed ramt af CVE-2026-0083?
I er berørt, hvis I har Android-enheder, der kører version 17.0, og hvor NFC-funktionen er aktiveret. Tjek enhedernes Android-version under indstillinger, eller brug jeres MDM-løsning til at få et samlet overblik.
Hvordan tjekker vi, om vores enheder er sårbare?
Gå ind under Indstillinger, Om telefonen, og se Android-version og sikkerhedsopdateringsdato. Sammenlign med Googles seneste sikkerhedsbulletin for at se, om enheden mangler opdateringen, der lukker CVE-2026-0083.
Kan vi vente til den næste faste opdateringsrunde?
Ja, det kan I typisk godt, fordi angrebet kræver lokal adgang og en høj angrebskompleksitet, og der ikke er kendt udnyttelse. Vent dog ikke længere end en måned, især hvis enhederne bruges til følsomme data.
Kræver angrebet, at en medarbejder gør noget forkert?
Nej, der kræves ingen handling fra brugeren, når først en ondsindet app er installeret på enheden. Risikoen ligger derfor i, hvilke apps der tillades installeret, ikke i medarbejderens adfærd i selve angrebsøjeblikket.
Skal vi anmelde hændelsen til myndighederne?
Der er ikke belæg for, at CVE-2026-0083 i sig selv udgør et sikkerhedsbrud, der skal anmeldes. Opdages der derimod tegn på faktisk misbrug af sårbarheden med adgang til personoplysninger, skal I vurdere anmeldepligt efter databeskyttelsesreglerne som ved enhver anden hændelse.
Påvirker det også enheder styret af en MDM-løsning?
Ja, MDM styrer hvilke apps der må installeres og kan tvinge opdateringer ud, men fjerner ikke selve sårbarheden i Android-koden. I skal stadig sørge for, at opdateringen bliver installeret på enhederne.
Ramte produkter
Google: Android
17.0
CVSS-detaljer
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
In Nfc::eventCallback() of Nfc.h, there is a possible use after free due to a race condition. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.