CVE-2026-0111: Gravação fora dos limites no Google Android em ns_SmscbUtilities
A CVE-2026-0111 é uma gravação fora dos limites na função ns_GetUserData de ns_SmscbUtilities.c no Google Android, causada por uma verificação de limites incorreta. O registro descreve uma possível escalonamento remoto de privilégios sem necessidade de interação do usuário e informa pontuação base CVSS de 9.8. O CISA KEV não lista a CVE e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A NVD e o CVE Program descrevem a CVE-2026-0111 como uma gravação fora dos limites na função ns_GetUserData de ns_SmscbUtilities.c, causada por uma verificação de limites incorreta. O CNA Google Devices publicou o registro e classifica a fraqueza como CWE-787.
Impacto
- O registro descreve o possível resultado como escalonamento remoto de privilégios, sem privilégios adicionais de execução necessários.
- O registro informa que não é necessária interação do usuário para a exploração.
- A pontuação base CVSS de 9.8 é informada pelo CNA e pelo CISA-ADP. O vetor do registro indica vetor de rede, baixa complexidade, ausência de privilégios exigidos e ausência de interação do usuário.
Produtos e versões afetadas
- O registro lista o Google Android como produto afetado.
- As fontes consultadas não especificam números de versão afetados.
- Consulte o Boletim de Segurança do Android e o Boletim de Segurança do Pixel para identificar quais compilações estão cobertas.
Status de exploração
- O CISA KEV não lista esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas.
- O registro SSVC indica exploração como none e automatizável como yes, o que é uma avaliação e não evidência de exploração.
- A probabilidade EPSS é 0.00318, com percentil de 0.23483.
Correção e mitigação
- O registro não lista correções. Aplique os patches do fabricante descritos nos boletins do Android acima assim que estiverem disponíveis para os seus dispositivos.
- Dê prioridade maior a dispositivos acessíveis a partir de redes não confiáveis, dado o vetor de rede do registro.
- Acompanhe os avisos do fabricante e confirme o nível de patch de cada dispositivo do seu inventário.
Orientações de detecção
- Mantenha um inventário de dispositivos Android e seus níveis de patch para identificar aqueles que podem estar sem correção.
- Observe travamentos ou instabilidades inexplicáveis em componentes de mensagens ou de difusão celular expostos à rede. Este é um indicador geral e não uma assinatura confirmada para esta falha.
Limitações das informações disponíveis
- O registro não tem título nem números de versão corrigidos ou afetados.
- A descrição não detalha o layout de memória, os dados envolvidos nem as condições além do erro de verificação de limites informado.
- As compilações afetadas e o status de correção devem ser verificados nos boletins do fabricante.
Perguntas frequentes
A CVE-2026-0111 está sendo explorada na prática?
O CISA KEV não lista esta CVE e nenhuma exploração confirmada aparece nas fontes consultadas. A avaliação SSVC do registro indica exploração como none.
Quais versões do Android são afetadas?
As fontes consultadas não especificam números de versão afetados. Consulte o Boletim de Segurança do Android e o Boletim de Segurança do Pixel para identificar as compilações cobertas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.