通用表本月有 5 行但只有 2 个独立编号：CVE-2025-48651 分别出现在 Google、NXP、STMicroelectronics、Thales 的 StrongBox 条目；CVE-2026-0049 为 Framework Critical / DoS。Pixel 无新增表格 CVE。行数、组件来源数与独立漏洞数必须区分。Android 公告；Pixel 公告
本月概况
| 来源 | 首次发布日期 | 独立 CVE 数 |
|---|---|---|
| Android | 2026-04-06 | 2 |
| Pixel 补充公告 | 2026-04-07 | 0 |
两份公告合并去重后共 2 个 CVE。同一 CVE 的多个组件条目合并展示；Google Play 系统更新中的重复清单不额外计数。
风险判断与补丁分析
CVE-2025-48651：包装密钥导入时未充分执行限制
CNA 指明 KMKeymasterApplet.importWrappedKey 的输入验证不充分，可访问本应受限的密钥，后果为本地信息泄露，无需额外执行权限和交互。四个厂商表格项共享编号，不能拆成四种未经证实的根因。公告没有公开足以解释具体包装格式字段或策略分支的差异，因此只分析已披露的验证和访问边界，不补写密钥材料恢复步骤。CNA 记录
CVE-2026-0049：引用的 DNG 循环修复与 CNA 描述分别保留
CNA 描述 LocalImageResolver.onHeaderDecoded 的资源耗尽，可导致持久拒绝服务；公告链接的 DNG 差异却修改 MapTable 平面遍历，将 plane < start + count 改为先受 bufferPlanes 限制，再比较 plane - start < count，避免边界算术问题。两份证据没有直接给出这段 DNG 处理与资源耗尽之间的完整对应关系。因此本条根因仍以 CNA 的资源耗尽为明确事实，DNG 差异仅作为实际参考观察，不据其改写为已证实的 DNG 越界漏洞。公告参考补丁；CNA 记录
更新与验证建议
- 通用公告完整覆盖要求
2026-04-05；Pixel 页面概述和更新说明出现 01/05 两种表述，核对设备实际交付版本与厂商说明。 - StrongBox 按实际安全元件供应商确认修复，不以四行来源重复统计完成数量。
- 图片回归同时关注资源上限和算术边界，对证据尚未连通的机制保留待确认状态。
逐项 CVE
以下每项保留十个字段，包含漏洞成因分析。AOSP 已更新分支不等同于全部受影响机型；组件章节的总体风险描述不用于推断每个漏洞的攻击前提。利用状态结合原公告及截至文章日期的 CISA KEV 收录日期；未披露不等于未被利用。
CVE-2025-48651 · Google / StrongBox；NXP components / StrongBox；STMicroelectronics / StrongBox；Thales / StrongBox High
| CVE | CVE-2025-48651 |
|---|---|
| 组件 | Google / StrongBox；NXP components / StrongBox；STMicroelectronics / StrongBox；Thales / StrongBox |
| 官方等级 | High（高）；按 Google 公告保留，不用 CVSS 分数替换 |
| 影响范围 | CNA：Google / Android — Android SoC。 |
| 攻击入口与前提 | 触发位置：importWrappedKey of KMKeymasterApplet.java；攻击位置：本地；所需执行权限：无需额外执行权限；用户交互：不需要。 |
| 安全影响 | 信息泄露（CNA 描述；Google 表格未另列 Type） |
| 漏洞成因分析 | 已披露位置：importWrappedKey of KMKeymasterApplet.java。CNA 指出输入验证不充分；机制分析：外部输入在进入敏感操作前未满足预期约束；具体失效约束需结合该条描述及代码确认。以上机制解释依据本 CVE 的 CNA 描述及缺陷分类；具体代码修复仅在本月重点补丁分析中经逐项核对后说明。 |
| 利用状态 | 所查 Google 公告未披露该项在野利用，且 CISA KEV 无截至文章日期的收录记录；不代表不存在利用；公开 PoC 状态未由这些来源确认。 |
| 补丁状态 | Android 公告已将其列入 2026-04-05 补丁级别的修复清单；公告未附公开代码差异，补丁需通过相应系统更新、厂商驱动或固件获得；公告发布修复不等于某台设备已经安装。 |
| 证据链接 | Android 公告 · Android 公告 · Android 公告 · Android 公告 · CVE 官方记录 · CNA 原始 JSON |
CNA 逐项描述（英文证据）：In importWrappedKey of KMKeymasterApplet.java, there is a possible way access keys that should be restricted due to improper input validation. This could lead to local information disclosure with no additional execution privileges needed. User interaction is not needed for exploitation.
CVE-2026-0049 · Framework Critical
| CVE | CVE-2026-0049 |
|---|---|
| 组件 | Framework |
| 官方等级 | Critical（严重）；按 Google 公告保留，不用 CVSS 分数替换 |
| 影响范围 | 公告列出已更新的 AOSP 分支：14, 15, 16, 16-qpr2（这不是全部受影响设备清单）；CNA：Google / Android — 16-qpr2、16、15、14。 |
| 攻击入口与前提 | 触发位置：onHeaderDecoded of LocalImageResolver.java；攻击位置：本地；所需执行权限：无需额外执行权限；用户交互：不需要。 |
| 安全影响 | 拒绝服务（DoS） |
| 漏洞成因分析 | CNA 描述 LocalImageResolver.onHeaderDecoded 的资源耗尽，可导致持久拒绝服务；公告链接的 DNG 差异却修改 MapTable 平面遍历，将 plane < start + count 改为先受 bufferPlanes 限制，再比较 plane - start < count，避免边界算术问题。两份证据没有直接给出这段 DNG 处理与资源耗尽之间的完整对应关系。因此本条根因仍以 CNA 的资源耗尽为明确事实，DNG 差异仅作为实际参考观察，不据其改写为已证实的 DNG 越界漏洞。 |
| 利用状态 | 所查 Google 公告未披露该项在野利用，且 CISA KEV 无截至文章日期的收录记录；不代表不存在利用；公开 PoC 状态未由这些来源确认。 |
| 补丁状态 | Android 公告已将其列入 2026-04-01 补丁级别的修复清单；公告附有公开参考/补丁链接；是否已审阅代码见本月重点分析；公告发布修复不等于某台设备已经安装。 |
| 证据链接 | Android 公告 · CVE 官方记录 · CNA 原始 JSON · 补丁/参考 1 · 补丁/参考 2 |
CNA 逐项描述（英文证据）：In onHeaderDecoded of LocalImageResolver.java, there is a possible persistent denial of service due to resource exhaustion. This could lead to local denial of service with no additional execution privileges needed. User interaction is not needed for exploitation.
来源与说明
- Android Security Bulletin — 2026-04
- Pixel Update Bulletin — 2026-04
- CVE Program 官方记录：用于逐项影响范围、入口与前提，原始记录中未公开的内容保持未知。
- CISA Known Exploited Vulnerabilities：仅用于确认已公开收录的在野利用，不作为未被利用的证明。
Google 公告数据与原文归 Android Open Source Project / Google 及各原作者所有；本页按公告重新编排、合并并附加分析。Google 内容许可说明。CVE 描述来自各 CNA，经 CVE Program 发布。