CVE-2025-48572

Falha de escalonamento de privilégio local no Android Framework, no componente de sessões de mídia (MediaSessionService/MediaButtonReceiverHolder), que permite a um app já instalado burlar a restrição de Background Activity Launch (BAL) e abrir uma activity a partir do background sem qualquer interação do usuário. Está no catálogo KEV da CISA com indicação de exploração limitada e direcionada, o que pesa mais que o EPSS baixo (0,00232) sugere.

O bug fica no fluxo de entrega de broadcasts de botão de mídia. O método MediaButtonReceiverHolder.send(), usado pelo MediaSessionService para repassar eventos de mídia (play/pause/next) ao componente responsável pela sessão ativa, propagava capacidades de BroadcastOptions — especificamente as flags de 'while-in-use' (WIU) e 'background foreground service launch' (BFSL) — para o receptor do broadcast. Isso significa que qualquer app que se torne o alvo do broadcast de botão de mídia herdava, de forma não intencional, a permissão de iniciar activities a partir do background, mesmo sem ter esse direito por si só. É um caso de controle de acesso incorreto (CWE-284/CWE-862): o sistema concede uma capacidade privilegiada (BAL) a um componente com base na identidade de quem originou a sessão de mídia, não na identidade de quem efetivamente recebe o broadcast.

O vetor é local (AV:L): exige um app malicioso já instalado no dispositivo, com privilégios baixos (PR:L) — não há execução remota nem via rede. O app precisa se posicionar como receptor do broadcast de botão de mídia (por exemplo, registrando-se como MediaButtonReceiver de uma sessão de mídia). A partir daí, ao receber o broadcast, ele herda a capacidade de lançar activities a partir do background sem interação do usuário (UI:N), contornando a proteção que o Android introduziu justamente para impedir apps em segundo plano de sequestrarem a tela. O resultado prático é abrir uma tela arbitrária por cima de outros apps — útil para overlays de phishing, sobreposição de UI ou como elo de uma cadeia maior de exploração. O boletim da Google sinaliza indícios de exploração limitada e direcionada dessa CVE, junto com a CVE-2025-48633 — perfil típico de campanhas de spyware/vigilância direcionada, e não de exploração massiva, o que explica o EPSS baixo mesmo estando confirmada no KEV.

A correção está nos níveis de patch de segurança do Android 2025-12-01 e 2025-12-05 (a partir de 2025-12-05 todos os itens do boletim de dezembro/2025 estão cobertos). Aplicar a atualização do fabricante do dispositivo que traga esse patch level é a única mitigação real documentada — o boletim não descreve flag, configuração ou controle compensatório alternativo. Como o vetor exige um app malicioso já instalado, restringir a instalação de apps de fontes não confiáveis e manter verificação de apps ativa reduz a superfície, mas não elimina a falha; não substitui a atualização.

Não há assinatura de rede confiável, pois a exploração é inteiramente local, dentro do framework do Android. Em nível de dispositivo, sinais possíveis incluem: apps não reconhecidos registrando-se como receptores de botão de mídia (MediaButtonReceiver) sem relação óbvia com playback de áudio/vídeo; lançamentos de activity em background por apps que não estavam em foreground nem tinham foreground service ativo, visíveis em logs de Activity Manager/logcat relacionados a BAL; e verificação simples do security patch level do dispositivo (Configurações > Sobre o telefone) — qualquer valor anterior a 2025-12-01 é vulnerável.