CVE-2026-28587: Sårbarhed i Android 17.0 MmsSmsProvider

CVE-2026-28587 er en fejl i MmsSmsProvider, den komponent i Android, der opbevarer og stiller sms- og mms-data til rådighed for andre apps. Fejlen skyldes en manglende rettighedskontrol, kaldet CWE-862: systemet tjekker ikke tilstrækkeligt, om en app faktisk må tilgå disse data, før det udleverer dem. En app installeret på enheden med almindelige, lave rettigheder kan derfor læse sms- og mms-indhold, som den ikke burde have adgang til. Der kræves ingen handling fra brugeren, når appen først er installeret, og angrebet kan ikke gennemføres over netværket, kun lokalt på selve enheden.

Sårbarheden rammer enheder med Google Android version 17.0. Det gælder virksomheder og kommuner, der udleverer Android-telefoner eller -tablets til medarbejdere, samt organisationer, der tillader medarbejdernes egne Android-enheder i BYOD-ordninger (bring your own device, ansattes egne enheder til arbejdsformål). Særligt relevant er det for it-afdelinger, der administrerer enheder via MDM (mobile device management), og som skal styre, hvornår sikkerhedsopdateringer rulles ud.

En ondsindet app, der er installeret på enheden, kan læse sms- og mms-beskeder, den ikke har tilladelse til. Det kan i praksis betyde adgang til engangskoder til totrinsgodkendelse, fortrolige beskeder fra kolleger eller kunder, og oplysninger, der kan bruges til videre svindel eller identitetstyveri. Konsekvensen er informationslækage, ikke ændring af data eller nedbrud af enheden, da fejlen kun påvirker fortrolighed.

CVSS-score er 5,5 ud af 10, moderat alvorlighed. Angrebet kræver, at en app allerede er installeret på enheden med lave rettigheder, og det kan kun udføres lokalt, ikke over netværket. Der kræves ingen yderligere brugerinteraktion, når appen er installeret. Fortrolighed rammes hårdt, mens integritet og tilgængelighed ikke påvirkes. Der er ikke oplysninger om, at sårbarheden bliver udnyttet aktivt.

Sådan lukker I hullet og reducerer risikoen i mellemtiden:

1. Installér Androids seneste sikkerhedsopdatering på alle enheder med Android 17.0, enten via enhedens indstillinger eller via jeres MDM-løsning.
2. Prioritér enheder, der har adgang til følsomme sms-baserede engangskoder eller virksomhedsdata.
3. Begræns installation af apps fra ukendte kilder og gennemgå, hvilke apps der allerede er installeret på virksomhedsenheder.
4. Brug MDM til at fremtvinge opdateringer og blokere enheder, der ikke er opdateret inden for en fastsat frist.
5. Overvej at flytte totrinsgodkendelse væk fra sms til en app-baseret løsning, hvor det er muligt.
6. Kontakt en it-sikkerhedsrådgiver, hvis I ikke har en MDM-løsning eller mangler overblik over, hvilke Android-versioner der er i drift.