CVE-2025-48633: fallo de gravedad media en Google Android
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Prioriza la corrección. Ella está bajo explotación confirmada por CISA.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Un fallo en el Gestor de Política de Dispositivo de Android permite agregar una cuenta de Device Owner después de que el dispositivo ya haya sido configurado, eludiendo las verificaciones de seguridad normales. Esto podría permitir a un atacante obtener control administrativo del dispositivo sin necesidad de permisos especiales o aprobación del usuario.
El CVE-2025-48633 explota un error lógico en hasAccountsOnAnyUser() del DevicePolicyManagerService.java que permite el aprovisionamiento de Device Owner post-configuración. El vector de ataque es local; no requiere privilegios adicionales ni interacción del usuario. La explotación exitosa resulta en escalación de privilegios al nivel de Device Owner, otorgando control administrativo completo del dispositivo.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.