Kerngegevens
- Leverancier
- Product
- Android
- Soort software
- browser
- Getroffen versies
- Android 17 met patchniveau ouder dan 2026-11-01
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Android beveiligingspatchniveau 2026-11-01
- CVE gepubliceerd
- 2 november 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In Android 17 met een patchniveau ouder dan 2026-11-01 zit een fout in ProfilingService, in de functie sendAnomalyProfile; Google loste die op in beveiligingspatchniveau 2026-11-01. Door deze fout kan een bestandspad zo worden gemanipuleerd dat het buiten de bedoelde map uitkomt (path traversal). Daardoor kan iemand met lokale toegang tot het toestel meer rechten krijgen dan de bedoeling is. Er zijn geen extra rechten en geen handeling van de gebruiker nodig.
Wie loopt risico?
Het lek staat in de gegevens genoemd voor Android 17. Het gaat om een lokale aanvalsroute: een aanvaller moet dus al op het toestel zelf iets kunnen uitvoeren. Op dit moment staat het lek niet op de lijst van actief misbruikte lekken en is er geen openbare exploit bekend. De ernst is hoog (8,4).
Wat moet je doen?
Controleer je patchniveau
Kijk in Instellingen bij Over de telefoon of Android-versie welk beveiligingspatchniveau je toestel heeft. Je bent beschermd vanaf 2026-11-01. Google legt uit hoe je je Android-versie controleert en bijwerkt (opent in een nieuw venster).
Installeer de update van je fabrikant
Installeer de beschikbare systeemupdate. Wanneer die komt, verschilt per fabrikant en toestel. De oplossing staat in het Android-beveiligingsbulletin van november 2026 (opent in een nieuw venster).
Beperk de blootstelling
Installeer alleen apps die je vertrouwt en uit betrouwbare winkels, zolang je toestel nog niet is bijgewerkt.
Dezelfde update lost meer lekken op
Het bulletin van november verhelpt in totaal ruim 200 lekken, waaronder CVE-2026-59014 en CVE-2026-59028. Met patchniveau 2026-11-05 zijn ze allemaal opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De functie sendAnomalyProfile in ProfilingService.java verwerkt een bestandspad onvoldoende gecontroleerd. Hierdoor is path traversal mogelijk (CWE-22), waarbij een pad via speciale padelementen buiten de bedoelde map terechtkomt. De CVSS-vector (AV:L/AC:L/PR:N/UI:N) wijst op een lokale aanval met lage complexiteit, zonder vereiste rechten en zonder interactie van de gebruiker. De gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid worden alle drie als hoog beoordeeld. De score van 8,4 is afkomstig van de CNA. Het lek staat in het Android-beveiligingsbulletin van november 2026.
CVSS-vector (versie 3.1, basisscore 8,4, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-22 · Onjuiste beperking van een pad tot een toegestane map (path traversal)
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies