CVE-2025-48543highbajo ataqueCWE-416

CVE-2025-48543: fallo de gravedad alta en Google Android

Publicada el · Actualizada el

71Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 8.8epss 0.6%
de la publicación al arma10 días
Publicada en NVD4 sept
1ª PoC+10d
CISA KEV4 sept
probabilidad de explotación
0.6%top 50% de las CVE
explotación observada
síCISA + VulnCheck
1 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2025-09-25

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Una falla en Chrome permite que un atacante escape de la zona protegida del navegador y acceda a procesos críticos de Android con privilegios elevados. El ataque funciona automáticamente, sin necesidad de interacción del usuario.

Detalle técnico

Vulnerabilidad use-after-free en el sandbox de Chrome permite escalación de privilegios local dirigida al system_server de Android. El ataque no requiere privilegios de ejecución adicionales ni interacción del usuario, permitiendo que un proceso sin privilegios rompa el aislamiento del sandbox y ejecute código con capacidades elevadas del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

In multiple locations, there is a possible way to escape chrome sandbox to attack android system_server due to a use after free. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Productos afectados
Google · Android
PoCs públicas encontradas — 1
vulncheckvulncheck.com/xdb/abd8fafc41d1no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Google Android

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-32896HIGHCVE-2024-32896EPSS 3.0%KEVCVE-2023-35674HIGHCVE-2023-35674EPSS 2.6%KEVCVE-2025-48595HIGHCVE-2025-48595EPSS 1.9%KEVCVE-2024-43093HIGHCVE-2024-43093EPSS 0.7%KEVCVE-2024-29748HIGHCVE-2024-29748EPSS 0.7%KEVCVE-2026-58704HIGHCVE-2026-58704EPSS 0.6%KEV
Referencias
https://android.googlesource.com/platform/art/+/444fc40dfb04d2ec5f74c443ed3a4dd45d3131f2https://source.android.com/security/bulletin/2025-09-01https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-48543