CVE-2025-48595
Android Framework Integer Overflow Vulnerability
Beschreibung
CVE-2025-48595 ist eine Integer-Overflow-Schwachstelle im Android Framework, die Google Android 14.0, 15.0 und 16.0 betrifft. Durch das Auslösen einer arithmetischen Operation, die den Integer-Typ zum Überlauf bringt, kann ein lokaler Angreifer Codeausführung und eine lokale Rechteausweitung erreichen, ohne zusätzliche Ausführungsrechte und ohne jegliche Benutzerinteraktion. Die Schwachstelle ist bedeutsam, weil CVE-2025-48595 im CISA-Katalog der bekannten ausgenutzten Schwachstellen (KEV) gelistet ist und einen CVSS-3.1-Basiswert von 8.4 (HIGH) aufweist, was ein bestätigtes reales Risiko für eine sehr große Android-Gerätebasis bedeutet. Da der Integer Overflow in zentralem Android-Framework-Code auftritt, kann eine Ausnutzung die Vertraulichkeit, Integrität und Verfügbarkeit eines betroffenen Geräts vollständig kompromittieren. Organisationen und Privatpersonen mit betroffenen Android-Versionen sollten CVE-2025-48595 vorrangig patchen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| android | 14.0; 15.0; 16.0 |
Referenzen
- https://source.android.com/docs/security/bulletin/2026/2026-06-01(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-48595(US Government Resource)
Schwachstellentyp
CWE-190: Integer Overflow oder Wraparound
Eine arithmetische Operation im Android Framework erzeugt einen Wert, der das Maximum seines Integer-Typs überschreitet und auf eine kleine oder negative Zahl umschlägt, wodurch Größen- und Bereichsprüfungen umgangen werden und es zu Speicherbeschädigung und letztlich zu Codeausführung kommt. Dieser Wraparound ist die Grundursache, die es einem lokalen Angreifer ermöglicht, ohne Benutzerinteraktion seine Rechte auszuweiten.
Learn more: CWE-190 — Integer Overflow oder Wraparound
Auswirkungsanalyse
Der Angriffsvektor ist lokal (AV:L), der Angreifer benötigt also lokalen Zugriff auf das Gerät, zum Beispiel über eine bösartige oder kompromittierte App. Die Angriffskomplexität ist niedrig (AC:L), sodass die Ausnutzung nach erlangtem Zugriff unkompliziert und zuverlässig ist. Die Schwachstelle erfordert keine Berechtigungen (PR:N) und keine Benutzerinteraktion (UI:N), wodurch ein nicht privilegierter Prozess sie unbemerkt auslösen kann. Der Geltungsbereich ist unverändert (S:U), die Auswirkung bleibt also innerhalb der verwundbaren Sicherheitsinstanz begrenzt, doch innerhalb dieses Bereichs ist die Auswirkung auf Vertraulichkeit (C:H), Integrität (I:H) und Verfügbarkeit (A:H) vollständig und führt durch Rechteausweitung zu einer vollständigen lokalen Kompromittierung. Diese Kombination ergibt einen CVSS-3.1-Basiswert von 8.4 (HIGH), während der EPSS-Wert von 0.00401 (61,15. Perzentil) eine moderate relative Wahrscheinlichkeit beobachteter Ausnutzungsaktivität anzeigt.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung bestätigt, indem CVE-2025-48595 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen wurde, was bedeutet, dass die Schwachstelle in freier Wildbahn missbraucht wird. In den Referenzen ist kein öffentlicher Exploit-Code markiert, da diese derzeit nur das Hersteller-Sicherheitsbulletin umfassen, sodass kein Proof-of-Concept öffentlich veröffentlicht ist; die KEV-Listung bestätigt jedoch die Ausnutzung in freier Wildbahn, und das Patchen sollte als dringend behandelt werden. Der EPSS-Wert beträgt 0.00401 (61,15. Perzentil) und spiegelt eine moderate relative Wahrscheinlichkeit beobachteter Ausnutzungsaktivität wider. Es besteht kein bekannter Zusammenhang mit Ransomware.
Behebung
- Befolgen Sie die von CISA KEV geforderte Maßnahme: "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable."
- Spielen Sie das Patch-Level des Android Security Bulletin 2026-06-01 (oder neuer) über Ihren Betriebssystem- oder Geräte-Updatekanal ein und stellen Sie sicher, dass das Sicherheitspatch-Level des Geräts den Fix auf den betroffenen Android-14-, -15- und -16-Geräten widerspiegelt.
- Als Übergangsmaßnahme, wo OEM-Patches verzögert sind, beschränken Sie die Installation nicht vertrauenswürdiger Apps, begrenzen Sie die physische und logische Geräteexposition und nutzen Sie Mobile Threat Defense (MTD) oder Mobile Device Management (MDM), um die Patch-Compliance flottenweit durchzusetzen.
- Überwachen Sie auf Anzeichen einer Ausnutzung wie ungewöhnliche App-Rechteausweitung und Absturzprotokolle, die auf Speicherbeschädigung hindeuten.
- Für langfristige Widerstandsfähigkeit halten Sie die Geräte auf aktuellen Sicherheitspatch-Levels; validieren Sie bei eigenem Systemcode, dass arithmetische Operationen nicht überlaufen können, und erzwingen Sie Bereichsprüfungen gegen die Grenzen des Integer-Typs gemäß den CWE-190-Empfehlungen.
Technische Details
An mehreren Stellen innerhalb des Android Frameworks besteht ein Integer Overflow, bei dem eine arithmetische Operation einen Wert erzeugt, der das Maximum seines Integer-Typs überschreitet und auf einen kleinen oder negativen Wert umschlägt. Dieser Wraparound umgeht Größen- und Bereichsprüfungen und führt zu Speicherbeschädigung, die Codeausführung ermöglicht. Das Ergebnis ist eine lokale Rechteausweitung, die keine zusätzlichen Ausführungsrechte und keine Benutzerinteraktion erfordert. Im Einklang mit dem CVSS-Vektor erfolgt die Ausnutzung lokal (AV:L) mit niedriger Angriffskomplexität (AC:L), ohne erforderliche Berechtigungen (PR:N) und ohne Benutzerinteraktion (UI:N) und führt zu vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2025-48595 aktiv ausgenutzt?
Ja. CISA hat CVE-2025-48595 am 02.06.2026 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen und damit die Ausnutzung in freier Wildbahn bestätigt. In den Referenzen ist kein öffentlicher Exploit-Code markiert, aber die KEV-Listung bedeutet, dass das Patchen als dringend behandelt werden sollte. Es besteht kein bekannter Zusammenhang mit Ransomware.
Welche Produkte sind von CVE-2025-48595 betroffen?
Die Schwachstelle betrifft das Android Framework in den Google-Android-Versionen 14.0, 15.0 und 16.0.
Wie behebe ich CVE-2025-48595?
Spielen Sie das Patch-Level des Android Security Bulletin 2026-06-01 (oder neuer) über Ihren Betriebssystem- oder Geräte-Updatekanal ein und bestätigen Sie, dass das Sicherheitspatch-Level des Geräts den Fix widerspiegelt. Wo OEM-Patches verzögert sind, beschränken Sie die Installation nicht vertrauenswürdiger Apps, begrenzen Sie die Geräteexposition und nutzen Sie MDM oder Mobile Threat Defense, um die Patch-Compliance durchzusetzen.
Wie schwerwiegend ist CVE-2025-48595?
Sie ist als HIGH mit einem CVSS-3.1-Basiswert von 8.4 eingestuft. Die Schwachstelle ermöglicht eine lokale Rechteausweitung ohne erforderliche Berechtigungen und ohne Benutzerinteraktion und führt zur vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Geräts. Der EPSS-Wert beträgt 0.00401 (61,15. Perzentil) und zeigt eine moderate relative Wahrscheinlichkeit von Ausnutzungsaktivität an.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.