Kerngegevens
- Leverancier
- Product
- Android
- Soort software
- browser
- Getroffen versies
- Android Automotive OS 14, 15, 16, 16 QPR2 en 17 met patchniveau ouder dan 2026-11-01
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Android Automotive OS beveiligingspatchniveau 2026-11-01
- CVE gepubliceerd
- 2 november 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In Android Automotive OS 14 tot en met 17 met een patchniveau ouder dan 2026-11-01 zit een fout in de EVS-service (android.hardware.automotive.evs-default), die bij auto-systemen hoort; Google loste die op in patchniveau 2026-11-01. Twee functies, setExtendedInfo en getExtendedInfo, gebruiken dezelfde gegevenslijst zonder dat de toegang goed op elkaar is afgestemd. Als beide tegelijk worden aangeroepen, kan de service geheugen gebruiken dat al is vrijgegeven. Daardoor kan in het ergste geval code worden uitgevoerd binnen dit bevoorrechte onderdeel.
Wie loopt risico?
Het risico geldt voor apparaten met de genoemde Android-versies (14, 15, 16, 16-qpr2 en 17) waarop deze EVS-service draait. Een aanvaller moet al een app op het apparaat hebben die bij de EVS-manager kan, want de aanval gebeurt lokaal en vraagt geen actie van de gebruiker. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt of dat er een publieke aanvalscode is.
Wat moet je doen?
Controleer of je auto Android Automotive gebruikt
Dit lek zit in Android Automotive OS, het besturingssysteem dat in sommige auto's is ingebouwd. Het gaat niet om Android Auto op je telefoon.
Installeer de update van je autofabrikant
De oplossing zit in beveiligingspatchniveau 2026-11-01, zie het Android Automotive-bulletin van november 2026 (opent in een nieuw venster). Je krijgt de update via je autofabrikant, meestal draadloos of tijdens een onderhoudsbeurt.
Installeer alleen vertrouwde apps
Het lek is lokaal te misbruiken. Installeer daarom alleen apps uit de officiële appwinkel van je auto.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een heap use-after-free (CWE-416) in de HAL-service android.hardware.automotive.evs-default. De oorzaak is niet-gesynchroniseerde toegang tot een std::unordered_map. Gelijktijdige aanroepen van setExtendedInfo en getExtendedInfo veroorzaken een race waarbij een verwijzing naar vrijgegeven geheugen blijft bestaan. Een app zonder bijzondere rechten met toegang tot de EVS-manager kan dit uitlokken. Dit kan leiden tot code-uitvoering in het bevoorrechte HAL-proces. De CVSS-vector is lokaal, met lage complexiteit en lage rechten, zonder gebruikersinteractie.
CVSS-vector (versie 3.1, basisscore 7,8, bron: NVD)
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-416 · Gebruik van vrijgegeven geheugen (use-after-free)
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee