- شناسه CVE-2025-26442 :CVE
- CWE-863 :CWE
- yes :Advisory
- منتشر شده: سپتامبر 4, 2025
- به روز شده: سپتامبر 4, 2025
- امتیاز: 5.5
- نوع حمله: Unknown
- اثر گذاری: Information Disclosure
- حوزه: تلفن همراه
- برند: Google
- محصول: Android
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
آسیب‌پذیری خطای منطقی (Logic Error) در تأیید فیلترهای intent سرویس شنونده اعلان (NLS) اندروید، به مهاجمان لوکال اجازه می‌دهد بدون نیاز به مجوزهای اضافی، اطلاعات حساس را افشا کنند.
توضیحات
آسیب‌پذیری CVE-2025-26442 در متد onCreate کلاس NotificationAccessConfirmationActivity.java در فریم‌ورک اندروید، ناشی از یک خطای منطقی در روند تأیید فیلترهای Intent مربوط به سرویس شنونده اعلان (NLS) است و مطابق با CWE-863 طبقه بندی می شود. به‌طور خلاصه، منطقِ بررسیِ ورودی به‌درستی نام بسته یا شناسه قابل‌اعتماد را کنترل نکرده و به‌جای آن، به‌طور نادرست بر نامِ کامپوننت تکیه می کند؛ این خطای مقایسه‌ای باعث می‌شود فراخوانی‌های لوکال که باید رد شوند، امکان پذیرش پیدا کنند و در نتیجه اطلاعاتی که صرفاً باید برای منابع مجاز در دسترس باشند، افشا شوند.
بهره‌برداری از این ضعف نیازی به تعامل کاربر و سطح دسترسی اجرایی اضافی ندارد. مهاجم تنها با داشتن دسترسی لوکال و یک حساب کاربری با سطح دسترسی پایین می‌تواند با ارسال Intentهای دستکاری‌شده و قابل خودکارسازی (مثلاً با اسکریپت‌ها یا ابزارهای خودکار) منطقِ تأیید را دور بزند و محتوی اعلان‌ها یا داده‌های مرتبط با NLS را استخراج کند.
پیامد اصلی این نقص نقض محرمانگی است؛ یعنی امکان مشاهده محتوای اعلان‌ها (پیامک‌ها، ایمیل‌ها، اعلان‌های بانکی و غیره) برای حساب‌های لوکال غیرمجاز وجود دارد. گوگل این ضعف را در بولتن امنیتی می 2025 پچ کرده و به روزرسانی مربوطه را در مخزن AOSP منتشر کرده است.
CVSS
| Score | Severity | Version | Vector String |
| 5.5 | MEDIUM | 3.1 | CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected at 15
affected at 14 affected at 13 |
Android |
لیست محصولات بروز شده
| Versions | Product |
| 13, 14, 15 | Android |
استفاده محصول در ایران
در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Android را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.
| Approx. Usage in .ir Domain via Google
(Total Pages) |
Search Query (Dork) | Product |
| 15,300,000 | site:.ir “Android” | Android |
نتیجه گیری
این آسیب‌پذیری با شدت متوسط در فریم ورک اندروید، از طریق خطای منطقی در تأیید فیلترهای intent در NLS، امکان افشای اطلاعات لوکال حساس را بدون نیاز به تعامل کاربر فراهم می‌کند. با توجه به انتشار پچ در بولتن امنیتی می 2025، اجرای اقدامات زیر برای جلوگیری از بهره‌برداری و کاهش ریسک ضروری است:
- به‌روزرسانی فوری: تمام دستگاه‌های اندروید را به نسخه های 13، 14، 15 یا بالاتر به‌روزرسانی کنید؛ این پچ برای گوشی های Google Pixel و دستگاه‌های OEM مانند سامسونگ، شیائومی و غیره منتشر شده است.
- کنترل مجوزهای اعلان: مجوزهای دسترسی اعلان را در مسیر Settings → Apps → Special app access → Notification access محدود کنید؛ اپلیکیشن‌های مشکوک را بررسی یا حذف کنید و از سرویس اسکن خودکار (Google Play Protect) استفاده نمایید.
- راهکارهای کاهش ریسک: SELinux را در حالت Enforcing نگه دارید و در دستگاه‌های سازگار از راهکارهای تأمین امنیت تولیدکننده مانند Knox (سامسونگ) یا بررسی یکپارچگی (SafetyNet) بهره ببرید تا تغییر یا دست‌کاری (tamper) شناسایی شود.
- محدودسازی دسترسی: اصل حداقل دسترسی (Least Privilege) را اعمال کنید، نصب جانبی اپ‌ها (sideloading) را غیرفعال نمایید و از راهکارهای مدیریت موبایل سازمانی (EMM) مانند Microsoft Intune برای اعمال سیاست‌ها و کنترل مجوزها استفاده کنید.
- نظارت بر لاگ‌ها: لاگ‌های سیستم (مانند logcat) را با ابزارهایی مثل Android Studio یا Splunk بررسی کنید و از SIEM برای تشخیص تلاش‌های غیرمجاز دسترسی به اعلان‌ها استفاده نمایید.
- ایزوله‌سازی محیط: اپلیکیشن های حساس را در پروفایل‌های کاری (Work Profile) با Android Enterprise ایزوله کنید و تست‌های امنیتی را در محیط‌های سندباکس انجام دهید.
- اسکن و تست امنیتی: از ابزارهایی مانند Mobile Security Framework (MobSF) یا Nessus برای اسکن آسیب‌پذیری‌های لوکال استفاده کنید و تست‌های نفوذ را برای سناریوهای جعل intent اجرا نمایید.
- آموزش: کاربران را در مورد ریسک‌های اعطای مجوزهای Notification Listener به اپ‌های ناشناخته، اهمیت به‌روزرسانی‌های ماهانه امنیتی و تشخیص اپ‌های مخرب آموزش دهید.
اجرای این اقدامات، ریسک افشای اطلاعات از طریق سوءاستفاده لوکال از NLS را به‌طور چشمگیری کاهش می‌دهد و از دستگاه‌های اندرویدی در برابر تهدیدات مرتبط با فریم ورک محافظت می‌کند.
امکان استفاده در تاکتیک های Mitre Attack
Initial Access (TA0001)
این آسیب‌پذیری از طریق دسترسی محلی به دستگاه رخ می‌دهد. مهاجم نیاز به یک حساب کاربری لوکال با سطح دسترسی محدود دارد و می‌تواند با اجرای Intentهای دستکاری‌شده، مسیر تأیید NLS را دور بزند.
Credential Access (TA0006)
مهاجم با سوءاستفاده از خطای منطقی Authorization می‌تواند بدون داشتن مجوز رسمی محتوای اعلان‌ها و داده‌های مرتبط با NLS را مشاهده کند
Discovery (TA0007)
با دسترسی محلی، مهاجم می‌تواند ساختار و نام بسته‌ها و کامپوننت‌های NLS را شناسایی کرده و Intentهای قابل سوءاستفاده را ایجاد کند.
Collection (TA0009)
اطلاعات حساس اعلان‌ها (پیامک، ایمیل، اعلان‌های بانکی) می‌توانند جمع‌آوری شوند.
Exfiltration (TA0010)
اطلاعات به‌صورت محلی در دسترس است؛ مهاجم می‌تواند آن را به خارج دستگاه منتقل کند.
Defense Evasion (TA0005)
مهاجم ممکن است از اپ‌های دستکاری‌شده یا ابزارهای خودکار برای دور زدن مجوزهای NLS استفاده کند.
Impact (TA0040)
پیامد اصلی، نقض محرمانگی اطلاعات (Confidentiality) است؛ مهاجم می‌تواند محتوای اعلان‌های حساس را مشاهده کند.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-26442
- https://www.cvedetails.com/cve/CVE-2025-26442/
- https://android.googlesource.com/platform/packages/apps/Settings/+/63f8849244d1817be2729f522a75424c219e9ecb
- https://source.android.com/security/bulletin/2025-05-01
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-26442
- https://vuldb.com/?id.322607
- https://nvd.nist.gov/vuln/detail/CVE-2025-26392
- https://cwe.mitre.org/data/definitions/863.html
