CVE-2026-59012
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Le système de téléphonie d'Android, et plus précisément la fonction `checkLastKnownCellIdAccessPermission`, présente une faille où un contrôle de sécurité requis est ignoré. Ce logiciel gère la connectivité cellulaire et les données de localisation des appareils mobiles. Le bug permet à une application de contourner les restrictions de permission standard lors de la demande de l'identifiant de la dernière antenne-relais connue.
Un attaquant peut utiliser une application malveillante installée sur l'appareil pour suivre secrètement la position approximative d'un utilisateur via les données des antennes-relais. Cela compromet la confidentialité car l'application accède à des informations auxquelles elle ne devrait pas avoir accès, sans nécessiter de privilèges spéciaux ni d'interaction de l'utilisateur. L'exploitation est locale, ce qui signifie que l'attaquant doit déjà avoir du code exécuté sur l'appareil pour collecter ces données.
RÉFÉRENCES
Description officielle du NVD (en anglais)
In checkLastKnownCellIdAccessPermission of TelephonyPermissions.java, there is a possible permission bypass due to a missing permission check. This could lead to local information disclosure with no additional execution privileges needed. User interaction is not needed for exploitation.