CVE-2026-28575: DoS-fejl i Android PackageInstaller
Fejl i Androids PackageInstaller kan bruges til at udtømme hukommelsen og lukke enheden ned. Opdatér Android, når rettelsen udsendes.
Hvad er det?
CVE-2026-28575 er en fejl i den del af Android, der styrer installation af apps, kaldet PackageInstaller. En logisk fejl i koden gør det muligt at bruge så meget hukommelse, at enheden går ned eller stopper med at reagere. Det kaldes et hukommelsesudtømningsangreb: en app forbruger bevidst hukommelse, til systemet ikke har mere tilbage til andre opgaver. Fejlen ligger i funktionen Session#transfer i filen PackageInstallerSession.java, som er del af Androids kernesystem.
Hvem rammer det?
Sårbarheden findes i Google Android version 17.0. Den rammer alle virksomheder, der bruger Android-enheder til medarbejdere, herunder telefoner og tablets brugt til mail, MDM-styring eller kundevendte apps. Det gælder både firmaejede enheder og medarbejderes egne enheder, der har adgang til virksomhedens systemer.
Hvad kan ske?
En ondsindet app installeret på enheden kan udnytte fejlen til at få enheden til at gå ned eller fryse. I praksis betyder det, at en medarbejders telefon eller tablet bliver ubrugelig, indtil den genstartes eller nulstilles. Det kan afbryde adgang til mail, kalender og forretningskritiske apps, og i værste fald kræve at IT geninstallerer enheden.
Hvor alvorligt er det?
CVSS-scoren er 5,5 ud af 10, moderat risiko. Angrebet kræver, at en app allerede er installeret på enheden med lave rettigheder, det kan altså ikke udføres af en fremmed over internettet uden adgang til enheden. Der kræves ingen brugerhandling, når appen først kører. Fejlen påvirker kun tilgængeligheden, altså om enheden virker, ikke om data kan læses eller ændres. Der er ingen tegn på, at fejlen aktivt udnyttes i angreb.
Hvad gør jeg nu?
Vi anbefaler følgende trin for virksomheder med Android-enheder i drift.
- Opdatér Android-enheder til den seneste sikkerhedsopdatering, så snart Google udsender en rettelse til denne fejl.
- Begræns installation af apps fra ukendte kilder via MDM-politikker eller enhedsindstillinger.
- Gennemgå, hvilke apps medarbejdere har lov til at installere på firmaenheder, og fjern unødvendige rettigheder.
- Overvåg for enheder, der pludselig hænger eller genstarter ofte, og undersøg installerede apps på disse.
- Kontakt jeres MDM-leverandør eller IT-partner, hvis I ikke selv kan styre opdateringer centralt på tværs af enheder.
Opdatér ved næste Android-sikkerhedsopdatering
Vi anbefaler, at I sikrer jer, at Android-enheder opdateres, så snart Google udsender en rettelse, og at I i mellemtiden begrænser installation af apps fra ukendte kilder. Da fejlen kræver lokal adgang og ikke er set udnyttet, kan I roligt vente på den ordinære opdatering frem for at foretage akutte tiltag. Har I mange enheder i drift uden central styring, bør I overveje at indføre MDM for bedre kontrol med app-installationer.
Tidslinje
Konkrete eksempler
Firmatelefon fryser efter app-installation
En medarbejder i en dansk virksomhed installerer en app fra en tredjepartsbutik på sin arbejdstelefon. Appen udnytter fejlen i PackageInstaller til at forbruge al ledig hukommelse, og telefonen fryser midt i en arbejdsdag. IT må fjernstyre en genstart af enheden, før den virker igen, og medarbejderen mister adgang til mail og kalender i den mellemliggende periode.
Ofte stillede spørgsmål
Er vores virksomhed ramt af CVE-2026-28575?
Hvis I bruger Android-enheder med version 17.0, kan I være ramt. Tjek enhedernes softwareversion i indstillingerne, og hold øje med kommende sikkerhedsopdateringer fra Google eller jeres enhedsleverandør.
Kan angrebet ske uden vi opdager det?
Angrebet kræver, at en app med adgang til enheden allerede er installeret. Det kan ske, hvis en medarbejder installerer en app fra en usikker kilde. Symptomet vil typisk være, at enheden fryser eller genstarter.
Kan vi vente med at opdatere til weekenden?
Ja. Fejlen er ikke kendt udnyttet, kræver lokal adgang til enheden, og påvirker kun stabilitet, ikke data. I kan følge jeres normale opdateringscyklus.
Skal vi anmelde hændelsen til myndighederne?
Så længe der ikke er tale om et faktisk angreb med tab af data eller drift, er der ikke krav om anmeldelse. Oplever I konkrete driftsforstyrrelser som følge af udnyttelse, bør I vurdere det som en sikkerhedshændelse og dokumentere forløbet.
Hvordan tjekker vi, om vores enheder er sårbare?
Se Android-versionen under enhedens systemindstillinger. Er enheden på version 17.0 og ikke har modtaget den relevante sikkerhedsopdatering, er den potentielt sårbar.
Påvirker fejlen vores data eller kun enhedens funktion?
Kun enhedens funktion. Fejlen giver ikke adgang til data og kan ikke bruges til at ændre indhold, men kan gøre enheden midlertidigt ubrugelig.
Ramte produkter
Google: Android
17.0
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
In PackageInstaller.Session#transfer of frameworks/base/services/core/java/com/android/server/pm/PackageInstallerSession.java, there is a possible memory exhaustion attack due to a logic error in the code. This could lead to local denial of service with no additional execution privileges needed. User interaction is not needed for exploitation.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.