CVE-2026-58930
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Le SystemUI d'Android gère l'interface de l'appareil et les panneaux de réglages rapides. Dans les versions affectées, le composant `RemoteQCController` ne parvient pas à valider le package ou la signature d'une application avec laquelle il communique via un URI spécifique codé en dur. Si l'application légitime associée à cet URI n'est pas installée, une application malveillante peut usurper cette identité pour tromper le SystemUI.
Un attaquant peut utiliser cette faille pour injecter de faux boutons ou éléments dans le panneau de confiance des contrôles rapides (Quick Controls). En incitant l'utilisateur à cliquer sur ces éléments usurpés, l'application malveillante peut contourner certaines restrictions pour lancer des activités en arrière-plan. Cela nécessite que l'attaquant ait installé une application malveillante sur l'appareil et repose sur l'interaction de l'utilisateur pour déclencher l'exploitation finale.
RÉFÉRENCES
Description officielle du NVD (en anglais)
An unprivileged application can exploit a lack of package/signature validation in SystemUI's `RemoteQCController` when resolving a hardcoded `content://` URI. This allows the attacker to squat on a specific authority if the legitimate package is absent, inject spoofed UI elements into the trusted SystemUI Quick Controls panel, and gain a Background Activity Launch (BAL) grant from SystemUI when the user interacts with the spoofed element.