CVE-2026-49906
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les appareils équipés d'Android Automotive OS sont affectés par une faille dans la manière dont le système gère l'affichage du combiné d'instruments. L'application `ClusterHomeSample`, qui gère cet écran critique pour la sécurité, peut être trompée pour lancer des activités tierces auxquelles la permission `CAR_DISPLAY_IN_CLUSTER` requise n'a pas été accordée. Cela se produit parce qu'une application non privilégiée peut simplement s'enregistrer comme fournisseur de navigation pour contourner le contrôle de sécurité standard.
Un attaquant pourrait utiliser cela pour afficher du contenu non autorisé, trompeur ou distrayant directement sur le combiné d'instruments du conducteur. Cela compromet l'intégrité de l'affichage de sécurité, risquant de distraire le conducteur pendant la conduite. L'exploitation est relativement simple pour toute application installée sur l'appareil, car elle ne nécessite aucun privilège spécial ni interaction de l'utilisateur, si ce n'est la présence de l'application sur le système.
RÉFÉRENCES
Description officielle du NVD (en anglais)
An unprivileged application can bypass the `android.car.permission.CAR_DISPLAY_IN_CLUSTER` permission by registering an activity with the `android.car.cluster.NAVIGATION` category and requesting navigation app focus. The privileged `ClusterHomeSample` application, acting as a confused deputy, resolves and launches this arbitrary third-party activity on the safety-critical instrument cluster display without enforcing the necessary permission check, allowing for persistent display of potentially misleading or distracting content.