CVE-2025-22441

highPriorität · verfolgen · 10EPSS 0.001 · 2. PerzentilExploit · PoCDEEURUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

1 exploit · PoC

Likely / severe?

0.12% (2nd) EPSS

CVSS 8.4 · high

Is it mine?

17 products

Prüfe deine Angriffsfläche

Who says so?

6 sources

cnnvd · enisa_euvd · fstec_bdu · osv

EPSS · bewertet 2026-10-27

In getContextForResourcesEnsuringCorrectCachedApkPaths of RemoteViews.java, there is a possible way to load arbitrary java code in a privileged context due to a confused deputy. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is needed for exploitation.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

8.4

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · medium–high · 6.9–8.4

v3.18.4highAV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.17.3highCVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:Hsecondary · ENISA EU

v3.17.3highCVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:HsecondaryAusnutzbarkeit 1.3 · Auswirkung 5.9

v3.16.9mediumCVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H/E:Psecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-264USCWE-284USCWE-441US

Exploits (1)

Öffentlicher Proof-of-Concept- und Exploit-Code.

michalbednarski/ResourcePoisonWriteup and exploit for CVE-2025-22441: Privilege escalation from installed app to SystemUI process on Android due to pass of untrusted ApplicationInfo to LoadedApkPoC · poc_in_github

betroffene Produkte (17)

Betroffene Produkte und Versionsbereiche.

Google Android 13 <2025-08-01alle Versionencert_bundDE
Google Android 14 <2025-08-01alle Versionencert_bundDE
Google Android 15 <2025-08-01alle Versionencert_bundDE
Google Android 16 <2025-08-01alle Versionencert_bundDE
Google Android≤ 16 <2025-08-01cert_bundDE
Google Android≤ 13 <2025-08-01cert_bundDE
Google Android≤ 14 <2025-08-01cert_bundDE
Google Android≤ 15 <2025-08-01cert_bundDE
Google Android≤ 13enisa_euvdEU
Google Android≤ 14enisa_euvdEU
Google Android≤ 15enisa_euvdEU
Google Inc Android≤ 15fstec_bduRU
Google Inc Android≤ 14fstec_bduRU
Google Inc Android≤ 13fstec_bduRU
google android= 13.0nvdUScpe:2.3:o:google:android:*:*:*:*:*:*:*:*
google android= 14.0nvdUScpe:2.3:o:google:android:*:*:*:*:*:*:*:*
google android= 15.0nvdUScpe:2.3:o:google:android:*:*:*:*:*:*:*:*

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2025-1709Android Patchday August 2025: Multiple VulnerabilitiesDeutsch2025-08-04csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Google Android ausnutzen, um seine Berechtigungen zu erweitern, vertrauliche Informationen offenzulegen, beliebigen Code auszuführen oder andere nicht näher bezeichnete Angriffe durchzuführen.
ASB-A-3760285562025-08-01vendor · osvUS
In getContextForResourcesEnsuringCorrectCachedApkPaths of RemoteViews.java, there is a possible way to load arbitrary java code in a privileged context due to a confused deputy. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is needed for exploitation.

auch bekannt als (5)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu osv cert_bund nvd NVD CVE.org MITRE

veröffentlicht 2025-09-04geändert 2026-06-17

Referenzen (3)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan