CVE-2026-28645
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Le service UsbService d'Android contient une erreur de logique au sein de la fonction `onStrongAuthRequiredChanged`. Ce service gère la manière dont l'appareil traite les connexions USB et les transferts de données. Cette faille permet au système d'activer incorrectement l'accès aux données USB sans exiger les vérifications d'authentification appropriées.
Un attaquant ayant un accès physique à l'appareil peut contourner les protections de l'écran de verrouillage pour accéder à des données sensibles, les modifier ou les supprimer. Comme aucune authentification ni interaction de l'utilisateur n'est requise, l'exploitation est simple à exécuter une fois l'appareil branché. Cela entraîne une perte totale de confidentialité, d'intégrité et de disponibilité des données locales.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In onStrongAuthRequiredChanged of UsbService.java, there is a possible unauthenticated enabling of USB data due to a logic error in the code. This could lead to physical escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.