Kerngegevens
- Leverancier
- Samsung
- Product
- Samsung Android
- Soort software
- –
- Getroffen versies
- Samsung Android 13.0, 14.0, 15.0
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Samsung Android SMR Apr-2025 Release 1
- CVE gepubliceerd
- 12 september 2025
- Op de KEV-lijst sinds
- 10 november 2025
- Gepubliceerd op LekkenRadar
- 7 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In een onderdeel van Samsung-toestellen, de bibliotheek libimagecodec.quram.so, zit een fout waarbij data buiten het bedoelde geheugengebied wordt geschreven. Een aanvaller kan daarmee via het netwerk eigen code laten uitvoeren op het toestel. Volgens de gegevens is dit lek al actief misbruikt. De ernst is kritiek (9,8).
Wie loopt risico?
Je loopt risico als je een Samsung-toestel met Android 13, 14 of 15 hebt waarop de beveiligingsupdate van april 2025 (SMR Apr-2025 Release 1) nog niet is geïnstalleerd. Volgens de beoordeling is voor een aanval geen inlog en geen handeling van jou nodig. Toestellen die wel zijn bijgewerkt naar dat niveau of nieuwer, zijn niet door dit lek getroffen.
Wat moet je doen?
Controleer je beveiligingsniveau
Kijk in de instellingen van je Samsung-toestel welk Android-beveiligingsniveau is geïnstalleerd. Staat dat ouder dan april 2025, dan is je toestel kwetsbaar.
Installeer de laatste updates
Werk je toestel bij naar SMR Apr-2025 Release 1 of nieuwer. Zo wordt dit lek gedicht.
Geen update beschikbaar?
Volg het advies van Samsung en je provider. Vraag bij je provider of de fabrikant na wanneer de update voor jouw toestel komt, en gebruik het toestel intussen zo beperkt mogelijk voor gevoelige zaken.
Vervang toestellen die geen updates meer krijgen
Krijgt je toestel geen beveiligingsupdates meer, overweeg dan om het te vervangen. Houd je beveiligingsupdates voortaan automatisch up-to-date.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een out-of-bounds write (CWE-787) in libimagecodec.quram.so, een bibliotheek op Samsung-toestellen. Door het schrijven buiten de grenzen van een geheugenbuffer kan het geheugen worden beschadigd, waardoor een aanvaller willekeurige code kan uitvoeren. De CVSS-vector (AV:N/AC:L/PR:N/UI:N) wijst op aanvallen via het netwerk, met lage complexiteit, zonder rechten en zonder gebruikersinteractie. De impact op vertrouwelijkheid, integriteit en beschikbaarheid is hoog. Het lek staat in de CISA-lijst van actief misbruikte kwetsbaarheden (KEV) en is verholpen in SMR Apr-2025 Release 1.
CVSS-vector (versie 3.1, basisscore 9,8, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-787 · Schrijven buiten de geheugengrenzen (out-of-bounds write)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 33,2%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 10 november 2025
- Deadline van CISA
- 1 december 2025
- Gebruikt door ransomwaregroepen
- Niet bekend