本月通用公告只有 CVE-2025-48593 一项 Critical / RCE，Pixel 没有新增安全漏洞表格项。单项月份可以更清楚地看到完整修复要求：已有另一处保护并不足以覆盖初始化重入时的数据库生命周期。Android 公告；Pixel 公告
本月概况
| 来源 | 首次发布日期 | 独立 CVE 数 |
|---|---|---|
| Android | 2025-11-03 | 1 |
| Pixel 补充公告 | 2025-11-11 | 0 |
两份公告合并去重后共 1 个 CVE。同一 CVE 的多个组件条目合并展示；Google Play 系统更新中的重复清单不额外计数。
风险判断与补丁分析
CVE-2025-48593：控制块清零前必须处理仍存在的发现数据库
bta_hf_client_cb_init 原先可直接重置 client 控制块，补丁先检查 p_disc_db，取消对应 SDP 服务搜索，再释放并清空数据库指针，最后重置控制块。CNA 明确根因为 UAF；根因机制涉及异步发现操作与被重置状态之间的生命周期不一致。提交写明相关问题的其他改动只部分解决此问题，仍需补齐这个位置，不能把其他分支已有保护当成当前路径安全的依据。取消失败会记录日志，补丁后仍执行释放，不能宣称代码在失败时必然等待异步操作结束。公开补丁
RCE 的具体传输条件仍需证据
文件位置揭示蓝牙 HF client / SDP 场景，CNA 明确无额外执行权限且无需用户交互。记录没有逐项写明所有配对和连接前提，不能借用其他蓝牙 CVE 的“不需配对”条件，也不能写成任意网络主机可直接触发。
更新与验证建议
- 核对
2025-11-05修复及实际蓝牙模块版本，确认初始化路径的差异已经回移。 - 回归覆盖重复初始化、发现未完成、取消成功或失败及正常连接，检查数据库所有权和回调生命周期。
- 审核同类控制块清零代码，确认清零之前已处理仍持有的异步资源。
逐项 CVE
以下每项保留十个字段，包含漏洞成因分析。AOSP 已更新分支不等同于全部受影响机型；组件章节的总体风险描述不用于推断每个漏洞的攻击前提。利用状态结合原公告及截至文章日期的 CISA KEV 收录日期；未披露不等于未被利用。
CVE-2025-48593 · System Critical
| CVE | CVE-2025-48593 |
|---|---|
| 组件 | System |
| 官方等级 | Critical（严重）；按 Google 公告保留，不用 CVSS 分数替换 |
| 影响范围 | 公告列出已更新的 AOSP 分支：13, 14, 15, 16（这不是全部受影响设备清单）；CNA：Google / Android — 16、15、14、13。 |
| 攻击入口与前提 | 触发位置：bta_hf_client_cb_init of bta_hf_client_main.cc；攻击位置：远程（具体传输通道以逐项描述为准）；所需执行权限：无需额外执行权限；用户交互：不需要。 |
| 安全影响 | 远程代码执行（RCE） |
| 漏洞成因分析 | bta_hf_client_cb_init 原先可直接重置 client 控制块，补丁先检查 p_disc_db，取消对应 SDP 服务搜索，再释放并清空数据库指针，最后重置控制块。CNA 明确根因为 UAF；根因机制涉及异步发现操作与被重置状态之间的生命周期不一致。提交写明相关问题的其他改动只部分解决此问题，仍需补齐这个位置，不能把其他分支已有保护当成当前路径安全的依据。取消失败会记录日志，补丁后仍执行释放，不能宣称代码在失败时必然等待异步操作结束。 |
| 利用状态 | 所查 Google 公告未披露该项在野利用，且 CISA KEV 无截至文章日期的收录记录；不代表不存在利用；公开 PoC 状态未由这些来源确认。 |
| 补丁状态 | Android 公告已将其列入 2025-11-01 补丁级别的修复清单；公告附有公开参考/补丁链接；是否已审阅代码见本月重点分析；公告发布修复不等于某台设备已经安装。 |
| 证据链接 | Android 公告 · CVE 官方记录 · CNA 原始 JSON · 补丁/参考 1 · 补丁/参考 2 |
CNA 逐项描述（英文证据）：In bta_hf_client_cb_init of bta_hf_client_main.cc, there is a possible remote code execution due to a use after free. This could lead to remote code execution with no additional execution privileges needed. User interaction is not needed for exploitation.
来源与说明
- Android Security Bulletin — 2025-11
- Pixel Update Bulletin — 2025-11
- CVE Program 官方记录：用于逐项影响范围、入口与前提，原始记录中未公开的内容保持未知。
- CISA Known Exploited Vulnerabilities：仅用于确认已公开收录的在野利用，不作为未被利用的证明。
Google 公告数据与原文归 Android Open Source Project / Google 及各原作者所有；本页按公告重新编排、合并并附加分析。Google 内容许可说明。CVE 描述来自各 CNA，经 CVE Program 发布。