CVE-2026-49903

Le ClusterRenderingService d'Android, utilisé pour gérer les écrans dans les interfaces de tableaux de bord de véhicules, contient une faille de type « confused deputy » (mandataire confus) dans sa méthode dump. Cela se produit lorsque le service effectue une action privilégiée pour le compte d'une application moins privilégiée. En appelant cette méthode, un processus peut contourner les restrictions standard pour modifier le paramètre global `OVERLAY_DISPLAY_DEVICES`.

Un attaquant peut utiliser cela pour créer des superpositions système persistantes et injecter de faux événements de touches dans l'interface utilisateur du tableau de bord, compromettant ainsi l'intégrité de l'affichage. L'exploitation de cette faille nécessite que l'attaquant dispose déjà de deux permissions spécifiques : `DUMP` et `PACKAGE_USAGE_STATS`. Comme celles-ci ne sont pas accordées par défaut aux applications tierces standard, l'attaque est limitée aux applications disposant de privilèges élevés ou à celles exploitant d'autres failles du système.