CVE-2025-48595: Android Framework Integer Overflow — Privilege Escalation and Stalkerware Chains

← Volver a la Ronda de Seguridad del 4 de junio

Sinopsis

CVE-2025-48595 es una vulnerabilidad de desbordamiento entero en el componente Android Framework (system_server) que permite a un atacante local escalar privilegios a los system uid y ejecutar código arbitrario, lo que conduce a un compromiso de dispositivo adicional. Google parcheó este activo explotado día cero en el Junio 2026 Android Security Bulletin. CISA lo ha añadido al catálogo KEV Junio 2, 2026, con un plazo de remediación del 23 de junio de 2026 para los organismos del FCEB. CVSS v3.1 puntuación base: 7.8 (High).

Versiones afectadas

• Android 14 (todos los niveles de parche antes de 2026-06-01)
• Android 15 (todos los niveles de parche antes de 2026-06-01)
• Las versiones más antiguas de Android también pueden ser afectadas pero ya no están recibiendo parches

Detalles de la vulnerabilidad

El defecto es un flujo entero en el manejador de paquetes IPC del Framework para una interfaz de servicio de sistema específica. Cuando una aplicación maliciosa envía una transacción de Binder con un campo de longitud de array de gran tamaño, el receptor calcula un tamaño de búfer incorrecto debido a la desbordamiento, asignando un búfer más pequeño de lo necesario. La escritura posterior supera los límites de amortiguación, conduciendo a un flujo de amortiguación a base de saltos system_server.

La explotación se ha observado en la naturaleza principalmente como un componente de cadenas de ataque multietapa, utilizado después de una ejecución de código inicial primitiva para escalar de una aplicación de sandboxed a acceso a nivel de sistema, permitiendo la instalación de acecho persistente o malware de almacenamiento credencial.

Cadena de ataque (Observada en Wild)

1. Etapa 1 – Acceso inicial: Victim instala una aplicación maliciosa (distribuida fuera de Google Play) o una aplicación con una vulnerabilidad WebView RCE se explota a través de contenido web malicioso.
2. Etapa 2 – LPE vía CVE-2025-48595: La aplicación maliciosa envía un mensaje Binder IPC elaborado a system_server, desencadenando el flujo entero y ganando ejecución de código en el system contexto uid.
3. Etapa 3 – Persistencia: Con el acceso uid del sistema, el malware instala un paquete administrador del dispositivo y escribe a directorios protegidos, logrando la persistencia en reinicios.
4. Etapa 4 - Exfiltración de datos: Accede a registros SMS/call, contactos, ubicación y tiendas de datos de aplicaciones no accesibles a aplicaciones normales.

COI

• Paquetes de administración de dispositivos instalados fuera del flujo normal de inscripción MDM
• Aplicaciones con android.permission.INSTALL_PACKAGES adquirida post-instalación mediante exploit
• Conexiones de red con infraestructura C2 conocida de acecho system procesos uid
• Negaciones inusuales de SELinux seguidas inmediatamente por cambios de política en los registros de dispositivos

Remediación

# 1. Apply the June 2026 Android Security Bulletin patch.
#    Check current patch level: Settings → About Phone → Android Security Patch Level
#    Required: 2026-06-01 or 2026-06-05 security patch level

# 2. For enterprise Android devices (via MDM):
#    Push the June 2026 security update via your EMM/MDM solution immediately.
#    Zero Trust / high-risk devices: Consider temporary quarantine until patched.

# 3. Check for indicators of compromise on rooted/admin devices:
adb shell pm list packages -d   # Look for disabled/suspicious device admin packages
adb shell dumpsys devicepolicy  # Review active device administrators

# 4. Enable Google Play Protect (blocks known malicious apps):
adb shell am broadcast -a com.google.android.finsky.action.REBUILD_LIBRARY

# 5. Organizations using Android in high-security environments:
#    Apply patch within 72 hours given active exploitation; follow CISA BOD 22-01.

← Volver a la Ronda de Seguridad del 4 de junio