Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Критический
Опубликована

CVE-2026-58868

In onOutputReceived of FrameDecoder.cpp, there is a possible out-of-bounds write due to a heap...

Публикация: 02.11.2026·Обновлена: 06.11.2026, 00:35·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

In onOutputReceived of FrameDecoder.cpp, there is a possible out-of-bounds write due to a heap buffer overflow. This could lead to remote code execution with no additional execution privileges needed. User interaction is not needed for exploitation.

Что это значит

Компонент может записать данные за границами выделенной памяти. Последствия зависят от условий атаки и прав процесса.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Google / Android 

{
  "status": "affected",
  "version": "17"
}
{
  "status": "affected",
  "version": "16-qpr2"
}
{
  "status": "affected",
  "version": "16"
}
{
  "status": "affected",
  "version": "15"
}
{
  "status": "affected",
  "version": "14"
}

CVSS: оценки и векторы

CVSS 3.1 · cve9.8
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое
CVSS 3.1 · 134c704f-9b21-4f2e-91b3-4a467353bcc09.8
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое
CVSS 3.1 · ghsa9.8
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое

Классы CWE

CWE-787 · Запись за границами выделенной памяти

Источники и ссылки

Материал · source.android.com · cveМатериал · nvd.nist.gov · ghsaМатериал · github.com · ghsaCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-06T21:14:39.533380+00:00"
  },
  "title": {
    "source": "ghsa",
    "received_at": "2026-11-05T21:51:44.020570+00:00"
  },
  "scores": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-11-05T19:18:21.759759+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-11-05T19:18:21.759759+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-06T21:14:39.533380+00:00"
  },
  "references": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-11-05T19:18:21.759759+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены07.11.2026, 00:14
  2. Данные обновлены06.11.2026, 00:51
  3. Данные обновлены06.11.2026, 00:15
  4. Данные обновлены05.11.2026, 23:32
  5. Данные обновлены05.11.2026, 22:18
  6. Данные обновлены05.11.2026, 00:18
  7. Данные обновлены04.11.2026, 00:14
  8. Данные обновлены03.11.2026, 00:36
  9. Опубликована02.11.2026, 23:26

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-45514
In multiple functions of SaveUi.java, there is a possible bypass of package installation...
Google / Android · google / android
Высокий8.4
0,11 %
02.11.2026
CVE-2026-49912
In multiple functions of MediaCarouselController.kt, there is a possible way for media to show up...
Google / Android · google / android
Средний4.0
0,08 %
02.11.2026
CVE-2026-49922
In queryRemoteConnectionServices of ConnectionServiceWrapper.java, there is a possible permission...
Google / Android · google / android
Высокий8.4
0,1 %
02.11.2026
CVE-2026-49923
In onResult of AccountManagerService.java, there is a possible untrusted/misleading UI issue due...
Google / Android · google / android
Высокий8.4
0,1 %
02.11.2026
CVE-2026-49924
In ShortcutInfo of ShortcutInfo.java, there is a possible way to crash the launcher via...
Google / Android · google / android
Средний6.2
0,07 %
02.11.2026