En säkerhetsforskare har publicerat en proof of concept-exploit för en nyligen åtgärdad Android-sårbarhet som kallas ”SMS of Death” och spåras som CVE-2026-58882. Ett specialutformat textmeddelande kan störa mobilnätstjänsten eller krascha en telefon på distans, utan att användaren behöver göra något.
Sårbarheten kan avbryta pågående samtal, även nödsamtal. Android behandlar meddelandet innan det når SMS-inkorgen, så den drabbade kan sakna synliga tecken på vad som orsakade kraschen. Forskaren Mark Blah uppgav att Google enligt uppgift åtgärdade problemet i säkerhetsuppdateringarna för oktober 2026 för Android 14 till och med 17. Sårbarheten finns inte med i Googles säkerhetsbulletin för oktober, och Android 12- och 13-enheter är fortfarande sårbara eftersom de inte fick åtgärden.
Enligt Blahs analys beror felet på felaktig validering av ett värde för huvudlängd i Android-funktionen WapPushOverSms.decodeWapPdu. Ett felaktigt utformat WAP Push-meddelande på åtta byte kan ge ett negativt värde vid minnesallokering och krascha processen com.android.phone, som hanterar mobilfunktioner.
Forskaren säger att upprepade krascher kan utlösas när operatörer försöker leverera skadliga meddelanden igen eller Android försöker behandla meddelanden som redan finns lagrade i telefonen. I tester kunde 20 skadliga meddelanden få telefoner att fastna i omstartsloopar. En Android 12-enhet startade om till återställningsläget ungefär var 90:e sekund. En GitHub-bidragsgivare hittade ett sätt att ta bort meddelandena med Android Debug Bridge (ADB), men det kräver en dator och mer teknisk kunskap.
Googles åtgärd fångar upp undantag och raderar skadliga meddelanden från SMS-databasen. Android-uppdateringar installeras vanligtvis automatiskt på enheter med stöd, men tillgängligheten beror på tillverkaren och operatören, och en omstart kan krävas. Enligt källan kan proof of concept-verktyget skicka meddelandena från en annan Android-enhet.
Kommentarer
0Inga kommentarer ännu. Skriv den första.