CVE-2026-59020
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Le service DevicePolicyManagerService d'Android, qui gère la gestion d'entreprise et les politiques de l'appareil, contient une faille dans sa fonction `removeUserData`. Une condition de concurrence (race condition) existe lorsque deux processus tentent d'accéder aux mêmes données simultanément, ce qui peut provoquer le plantage du système. Cela se produit lors du processus de suppression des données utilisateur de l'appareil.
Un attaquant disposant de privilèges d'exécution locale peut déclencher ce plantage pour provoquer un déni de service, rendant temporairement l'appareil ou certains services indisponibles. Comme l'exploitation nécessite que l'attaquant soit déjà présent sur l'appareil, elle ne peut pas être effectuée à distance via un réseau. Aucune interaction de la part d'un tiers n'est nécessaire pour déclencher la panne.
RÉFÉRENCES
Description officielle du NVD (en anglais)
In removeUserData of DevicePolicyManagerService.java, there is a possible denial of service due to a race condition. This could lead to local denial of service with User execution privileges needed. User interaction is not needed for exploitation.