Samsung выпустила ноябрьский пакет исправлений безопасности для мобильных устройств на Android. Обновление закрывает уязвимости платформы Android, ошибки в компонентах Samsung Semiconductor и 24 собственные уязвимости Samsung. Часть из них позволяет выполнить код, часть - обойти проверку прав, прочитать чужие данные или вызвать отказ в обслуживании. Затронуты аппараты на Android 14, 15, 16 и 17.
SMR Nov-2026 Release 1: что закрывают исправления
Ноябрьский выпуск опубликован 3 ноября 2026 года. Samsung собирает такие пакеты раз в месяц и называет их SMR, то есть Security Maintenance Release - плановый набор исправлений безопасности. Внутрь входят правки Google из бюллетеня Android, исправления Samsung Semiconductor и список собственных пунктов SVE. SVE - это Samsung Vulnerabilities and Exposures, внутренний реестр уязвимостей вендора. Часть пунктов уже закрыта прошлыми выпусками, часть к устройствам Samsung неприменима, а детали нескольких SVE компания пока не раскрывает.
Из бюллетеня Google в пакет попали уязвимости критического и высокого уровня. Часть из них относится к ядру Android, часть - к модему и беспроводным компонентам. Пакет рассчитан на флагманские модели, которые получают обновления ежемесячно. Владельцам более старых аппаратов стоит заранее проверить, попала ли их модель в список получивших исправления.
Самый заметный пункт списка SVE - запись за границы буфера в загрузчике. Загрузчик - стартовый код, который запускает систему до Android. Здесь нужен физический доступ к аппарату, удалённо ошибку не вызвать. Другая уязвимость - переполнение стека в библиотеке libsecuibc.so. Локальное приложение через неё получает возможность выполнить произвольный код.
В камере не хватает проверки входных данных, и для срабатывания нужно участие пользователя. Ещё одну запись за границы буфера нашли в библиотеке libsmkvextractor.so. Отдельно стоит ошибка управления привилегиями в TransitionPlayer: локальный привилегированный процесс выполняет код с правами лаунчера.
Ошибка проверки сертификата в компоненте CP позволяет обойти блокировку SIM. В приложениях Samsung Dialer, Contacts и Messages не хватает контроля доступа: локальное приложение читает чувствительные данные, а виджеты контактов умеют звонить без разрешения. В StatusBarManagerService не хватает проверки прав, и локальное приложение получает доступ к привилегированным API.
Отдельная группа - уязвимости модема из списка Google. Они проявляются, когда аппарат подключается к поддельной базовой станции, которой управляет атакующий. Участие пользователя не требуется, а оценка CVSS для таких ошибок - 7.5 из 10. CVSS - шкала оценки серьёзности уязвимости. Рядом стоят утечки между профилями Android: одна раскрывает изображения других пользователей, другая - содержимое автозаполнения через наложение поверх экрана.
Для корпоративного парка опаснее всего локальные повышения привилегий. Рабочий профиль отделяет корпоративные данные от личных, и ошибка доступа ломает эту границу. Через неё возможны чтение рабочей почты, перехват переписки и боковое перемещение по внутренним сервисам. Сведений об эксплуатации этих уязвимостей в реальных атаках вендор не приводит: все пункты SVE раскрыты приватно.
Исправления входят в пакет SMR Nov-2026 Release 1. Номер сборки виден в настройках, в поле Security software version, то есть версия ПО безопасности. Если автообновление отключено, пакет ставят вручную через раздел обновления системы. В корпоративном парке рассылку удобнее делать через MDM, систему управления мобильными устройствами.
Для моделей, которым пакет не достался, обходных мер Samsung не предлагает. Остаётся ограничить установку приложений из неизвестных источников и убрать лишние разрешения у фирменных приложений Samsung. Сотовые уязвимости эксплуатируют через поддельные базовые станции, и на уровне самого телефона от них не защититься.
Ссылки
