Opublikowano 6 czerwca 2016 r. | Zaktualizowano 8 czerwca 2016 r.
Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Oprócz biuletynu udostępniliśmy aktualizację zabezpieczeń dla urządzeń Nexus za pomocą aktualizacji OTA. Obrazy oprogramowania układowego Nexusa zostały też udostępnione na stronie dla deweloperów Google. Problemy te zostały rozwiązane w poziomach aktualizacji zabezpieczeń z 1 czerwca 2016 r. lub nowszych. Aby dowiedzieć się, jak sprawdzić poziom aktualizacji zabezpieczeń, zapoznaj się z dokumentacją Nexusa.
Partnerzy zostali powiadomieni o problemach opisanych w biuletynie 2 maja 2016 r. lub wcześniej. W stosownych przypadkach poprawki do kodu źródłowego zostały opublikowane w repozytorium Projektu Android Open Source (AOSP).
Najpoważniejszym problemem jest krytyczna luka w zabezpieczeniach, która może umożliwiać zdalne wykonywanie kodu na urządzeniu dotkniętym problemem za pomocą wielu metod, takich jak poczta e-mail, przeglądanie stron internetowych i MMS-y podczas przetwarzania plików multimedialnych. Ocena ważności jest oparta na potencjalnym wpływie wykorzystania luki w zabezpieczeniach na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programowania lub że zostały pomyślnie omijane.
Nie otrzymaliśmy żadnych zgłoszeń o aktywnej eksploatacji klientów ani o wykorzystaniu tych nowo zgłoszonych problemów. Szczegółowe informacje o zabezpieczeniach platformy Android i zabezpieczeniach usług, takich jak SafetyNet, które zwiększają bezpieczeństwo platformy Android, znajdziesz w sekcji Mitigations for Android and Google Service.
Zachęcamy wszystkich klientów do akceptowania tych aktualizacji na swoich urządzeniach.
Środki zaradcze dotyczące Androida i usług Google
Oto podsumowanie zabezpieczeń oferowanych przez platformę bezpieczeństwa Androida i zabezpieczenia usług, takich jak SafetyNet. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach zostaną wykorzystane na urządzeniach z Androidem.
- Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania systemu do najnowszej wersji Androida, o ile to możliwe.
- Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą weryfikacji aplikacji i SafetyNet, które mają ostrzegać użytkowników o potencjalnie szkodliwych aplikacjach. Weryfikacja aplikacji jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest ona szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play. Narzędzia do rootowania urządzeń są zabronione w Google Play, ale funkcja weryfikacji aplikacji ostrzega użytkowników, gdy próbują oni zainstalować wykryte narzędzie do rootowania – niezależnie od tego, skąd pochodzi. Dodatkowo Weryfikacja aplikacji próbuje wykrywać i blokować instalowanie znanych szkodliwych aplikacji, które wykorzystują lukę umożliwiającą podniesienie uprawnień. Jeśli taka aplikacja została już zainstalowana, funkcja Weryfikacja aplikacji powiadomi użytkownika i spróbuje ją usunąć.
- W odpowiednich przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak Mediaserver.
Podziękowania
Dziękujemy zaangażowanym w to badanie naukowcom:
- Di Shen (@returnsme) z KeenLab (@keen_lab), Tencent: CVE-2016-2468
- Gal Beniamini (@laginimaineb): CVE-2016-2476
- Gengjia Chen (@chengjia4574), pjf (weibo.com/jfpan) z IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-2492
- Hao Chen, Guang Gong i Wenlin Yang z zespołu Mobile Safe, Qihoo 360 Technology Co., Ltd.: CVE-2016-2470, CVE-2016-2471, CVE-2016-2472, CVE-2016-2473, CVE-2016-2498
- Iwo Banas: CVE-2016-2496
- Jianqiang Zhao(@jianqiangzhao) i pjf (weibo.com/jfpan) z IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-2490, CVE-2016-2491
- Lee Campbell z Google: CVE-2016-2500
- Maciej Szawłowski z zespołu Google ds. bezpieczeństwa: CVE-2016-2474
- Marco Nelissen i Max Spector z Google: CVE-2016-2487
- Mark Brand of Google Project Zero: CVE-2016-2494
- Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) i Xuxian Jiang z zespołu C0RE: CVE-2016-2477, CVE-2016-2478, CVE-2016-2479, CVE-2016-2480, CVE-2016-2481, CVE-2016-2482, CVE-2016-2483, CVE-2016-2484, CVE-2016-2485, CVE-2016-2486
- Scott Bauer (@ScottyBauer1): CVE-2016-2066, CVE-2016-2061, CVE-2016-2465, CVE-2016-2469, CVE-2016-2489
- Vasily Vasilev: CVE-2016-2463
- Weichao Sun (@sunblate) z Alibaba Inc.: CVE-2016-2495
- Xiling Gong z Wydziału Platformy Bezpieczeństwa Tencent: CVE-2016-2499
- Zach Riggle (@ebeip90) z zespołu ds. bezpieczeństwa Androida: CVE-2016-2493
Szczegóły luki w zabezpieczeniach
W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 01.06.2016. Zawiera on opis problemu, uzasadnienie powagi oraz tabelę z luką w zabezpieczeniach (CVE), powiązanym błędem w Androidzie, wagą, zaktualizowanymi urządzeniami Nexus, zaktualizowanymi wersjami AOSP (w stosownych przypadkach) i datą zgłoszenia. Jeśli to możliwe, połączymy identyfikator błędu z zmianą w AOSP, która rozwiązuje problem. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia do AOSP są połączone z numerami po identyfikatorze błędu.
Luka w zabezpieczeniach umożliwiająca zdalne wykonywanie kodu w usłudze Mediaserver
Luka w zabezpieczeniach umożliwiająca zdalne uruchomienie kodu w Mediaserverze może umożliwić atakującemu użycie specjalnie spreparowanego pliku do spowodowania uszkodzenia pamięci podczas przetwarzania plików multimedialnych i danych. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście procesu Mediaserver. Proces Mediaserver ma dostęp do strumieni audio i wideo, a także do przywilejów, do których aplikacje innych firm normalnie nie mają dostępu.
Dotycząca funkcja jest częścią główną systemu operacyjnego i istnieje wiele aplikacji, które umożliwiają dostęp do treści zdalnych, w tym MMS-ów i odtwarzania multimediów w przeglądarce.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszenia |
---|---|---|---|---|---|
CVE-2016-2463 | 27855419 | Krytyczny | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 25 marca 2016 r. |
Luki w zabezpieczeniach libwebm umożliwiające zdalne wykonywanie kodu
Luki w zabezpieczeniach w libwebm umożliwiające zdalne uruchomienie kodu mogą umożliwić atakującemu użycie specjalnie spreparowanego pliku do spowodowania uszkodzenia pamięci podczas przetwarzania danych i plików multimedialnych. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście procesu Mediaserver. Proces Mediaserver ma dostęp do strumieni audio i wideo, a także do przywilejów, do których aplikacje innych firm normalnie nie mają dostępu.
Dotycząca funkcja jest częścią główną systemu operacyjnego i istnieje wiele aplikacji, które umożliwiają dostęp do treści zdalnych, w tym MMS-ów i odtwarzania multimediów w przeglądarce.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszenia |
---|---|---|---|---|---|
CVE-2016-2464 | 23167726 [2] | Krytyczny | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Google - wewnętrzny |
Luka w zabezpieczeniach polegająca na podnoszeniu uprawnień w sterowniku wideo Qualcomm
Podatność w zabezpieczeniach w sterowniku wideo Qualcomma może umożliwić lokalnym złośliwym aplikacjom wykonywanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Data zgłoszenia |
---|---|---|---|---|
CVE-2016-2465 | 27407865* | Krytyczny | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P | 21 lutego 2016 r. |
* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google Developer.
Podniesienie uprawnień w sterowniku dźwięku Qualcomm
Podatność w sterowniku dźwięku Qualcomma umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Data zgłoszenia |
---|---|---|---|---|
CVE-2016-2466 | 27947307* | Krytyczny | Nexus 6 | 27 lutego 2016 r. |
CVE-2016-2467 | 28029010* | Krytyczny | Nexus 5 | 13 marca 2014 r. |
* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.
Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w sterowniku GPU Qualcomm
Podatność w ramach funkcji podwyższania uprawnień w sterowniku GPU Qualcomma może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Data zgłoszenia |
---|---|---|---|---|
CVE-2016-2468 | 27475454* | Krytyczny | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 | 2 marca 2016 r. |
CVE-2016-2062 | 27364029* | Krytyczny | Nexus 5X, Nexus 6P | 6 marca 2016 r. |
* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.
Luka w zabezpieczeniach związana z podniesieniem uprawnień w sterowniku Wi-Fi Qualcomm
Podatność w sterowniku Wi-Fi Qualcomma umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Data zgłoszenia |
---|---|---|---|---|
CVE-2016-2474 | 27424603* | Krytyczny | Nexus 5X | Google - wewnętrzny |
* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.
Podniesienie uprawnień w sterowniku Wi-Fi Broadcom
W sterowniku Wi-Fi Broadcom występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnej złośliwej aplikacji wywołanie wywołań systemowych zmieniających ustawienia i zachowanie urządzenia bez odpowiednich uprawnień. Ten problem został oceniony jako wysoki, ponieważ może zostać wykorzystany do uzyskania lokalnego dostępu do podwyższonych uprawnień.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Data zgłoszenia |
---|---|---|---|---|
CVE-2016-2475 | 26425765* | Wysoki | Nexus 5, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Nexus Player, Pixel C | 6 stycznia 2016 r. |
* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.
Podniesienie uprawnień w sterowniku dźwięku Qualcomm
Podatność w sterowniku dźwięku Qualcomma umożliwiająca podniesienie uprawnień może umożliwić złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę wysoką, ponieważ wymaga najpierw zaatakowania usługi, która może wywołać kierowcę.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Data zgłoszenia |
---|---|---|---|---|
CVE-2016-2066 | 26876409* | Wysoki | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P | 29 stycznia 2016 r. |
CVE-2016-2469 | 27531992* | Wysoki | Nexus 5, Nexus 6, Nexus 6P | 4 marca 2016 r. |
* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.
Luka w zabezpieczeniach typu podniesienie uprawnień w Mediaserver
Uprawnienie dotyczące podniesienia uprawnień w Mediaserver może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście podniesionej aplikacji systemowej. Ten problem ma priorytet wysoki, ponieważ może umożliwiać uzyskanie lokalnego dostępu do rozszerzonych funkcji, takich jak uprawnienia Signature lub SignatureOrSystem, które są niedostępne dla aplikacji innych firm.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszenia |
---|---|---|---|---|---|
CVE-2016-2476 | 27207275 [2] [3] [4] | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 11 lutego 2016 r. |
CVE-2016-2477 | 27251096 | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 17 lutego 2016 r. |
CVE-2016-2478 | 27475409 | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 3 marca 2016 r. |
CVE-2016-2479 | 27532282 | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 6 marca 2016 r. |
CVE-2016-2480 | 27532721 | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 6 marca 2016 r. |
CVE-2016-2481 | 27532497 | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 6 marca 2016 r. |
CVE-2016-2482 | 27661749 | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 14 marca 2016 r. |
CVE-2016-2483 | 27662502 | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 14 marca 2016 r. |
CVE-2016-2484 | 27793163 | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 22 marca 2016 r. |
CVE-2016-2485 | 27793367 | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 22 marca 2016 r. |
CVE-2016-2486 | 27793371 | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 22 marca 2016 r. |
CVE-2016-2487 | 27833616 [2] [3] | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Google - wewnętrzny |
Luka w zabezpieczeniach związana z podniesieniem uprawnień w sterowniku aparatu Qualcomm
Podatność w sterowniku aparatu Qualcomm umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia kontroli nad usługą, która może zadzwonić do kierowcy.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Data zgłoszenia |
---|---|---|---|---|
CVE-2016-2061 | 27207747* | Wysoki | Nexus 5X, Nexus 6P | 15 lutego 2016 r. |
CVE-2016-2488 | 27600832* | Wysoki | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013 r.) | Google - wewnętrzny |
* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.
Luka w zabezpieczeniach polegająca na podnoszeniu uprawnień w sterowniku wideo Qualcomm
Podatność w zabezpieczeniach w sterowniku wideo Qualcomma może umożliwić lokalnym złośliwym aplikacjom wykonywanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia kontroli nad usługą, która może zadzwonić do kierowcy.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Data zgłoszenia |
---|---|---|---|---|
CVE-2016-2489 | 27407629* | Wysoki | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P | 21 lutego 2016 r. |
* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.
Podniesienie uprawnień w sterowniku kamery NVIDIA
Podatność w ramach rozszerzania uprawnień w sterowniku kamery NVIDIA może umożliwić lokalnym złośliwym aplikacjom wykonywanie dowolnego kodu w kontekście jądra. Ten problem ma priorytet wysoki, ponieważ wymaga najpierw zaakceptowania usługi, aby zadzwonić do kierowcy.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Data zgłoszenia |
---|---|---|---|---|
CVE-2016-2490 | 27533373* | Wysoki | Nexus 9 | 6 marca 2016 r. |
CVE-2016-2491 | 27556408* | Wysoki | Nexus 9 | 8 marca 2016 r. |
* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.
Luka w zabezpieczeniach związana z podniesieniem uprawnień w sterowniku Wi-Fi Qualcomm
Podatność w sterowniku Wi-Fi Qualcomma umożliwiająca podniesienie uprawnień może umożliwić złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę wysoką, ponieważ wymaga najpierw zaatakowania usługi, która może wywołać kierowcę.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Data zgłoszenia |
---|---|---|---|---|
CVE-2016-2470 | 27662174* | Wysoki | Nexus 7 (2013) | 13 marca 2016 r. |
CVE-2016-2471 | 27773913* | Wysoki | Nexus 7 (2013) | 19 marca 2016 r. |
CVE-2016-2472 | 27776888* | Wysoki | Nexus 7 (2013) | 20 marca 2016 r. |
CVE-2016-2473 | 27777501* | Wysoki | Nexus 7 (2013) | 20 marca 2016 r. |
* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.
Luka w zabezpieczeniach polegająca na podnoszeniu uprawnień w sterowniku zarządzania zasilaniem MediaTek
Podwyższenie uprawnień w sterowniku zarządzania zasilaniem MediaTek może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia kontroli nad urządzeniem i uzyskania uprawnień roota, aby wywołać sterownik.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Data zgłoszenia |
---|---|---|---|---|
CVE-2016-2492 | 28085410* | Wysoki | Android One | 7 kwietnia 2016 r. |
* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.
Podwyższanie uprawnień w warstwie emulacji karty SD
W ramach warstwy emulacji przestrzeni użytkownika karty SD występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście podwyższonych uprawnień aplikacji systemowej. To zgłoszenie ma wysoki priorytet, ponieważ może być wykorzystywane do uzyskiwania lokalnego dostępu do rozszerzonych funkcji, takich jak uprawnienia Signature lub SignatureOrSystem, które są niedostępne dla aplikacji innych firm.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszenia |
---|---|---|---|---|---|
CVE-2016-2494 | 28085658 | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 7 kwietnia 2016 r. |
Podniesienie uprawnień w sterowniku Wi-Fi Broadcom
W ramach podatności w sterowniku Wi-Fi Broadcom dotyczącym podwyższania uprawnień lokalna złośliwa aplikacja może wykonać dowolny kod w kontekście jądra. Ten problem ma priorytet wysoki, ponieważ wymaga najpierw zaakceptowania usługi, aby zadzwonić do kierowcy.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Data zgłoszenia |
---|---|---|---|---|
CVE-2016-2493 | 26571522* | Wysoki | Nexus 5, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus Player, Pixel C | Google - wewnętrzny |
* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.
Atak typu DoS zdalnie w Mediaserverze
Usługa Mediaserver zawierała podatność na odmowę usługi zdalnej, która umożliwiała atakującemu użycie specjalnie spreparowanego pliku do spowodowania zawieszenia lub ponownego uruchomienia urządzenia. To zgłoszenie ma wysoki priorytet ze względu na możliwość zdalnego odmowy usługi.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszenia |
---|---|---|---|---|---|
CVE-2016-2495 | 28076789 [2] | Wysoki | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 6 kwietnia 2016 r. |
Luki w zabezpieczeniach związane z podniesieniem uprawnień w interfejsie Framework
W ramach tej luki w zabezpieczeniach w oknie uprawnień interfejsu Framework atakujący może uzyskać dostęp do nieautoryzowanych plików w prywatnym miejscu na dane. Ten problem ma ocenę „umiarkowany”, ponieważ może być wykorzystywany do nieprawidłowego uzyskiwania uprawnień „niebezpiecznych”.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszenia |
---|---|---|---|---|---|
CVE-2016-2496 | 26677796 [2] [3] | Umiarkowana | Wszystkie Nexusy | 6.0, 6.1 | 26 maja 2015 r. |
Luka w sterowniku sieci bezprzewodowej Qualcomm umożliwiająca ujawnienie informacji
Ujawnienie informacji w sterowniku Wi-Fi Qualcomm może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza poziomem uprawnień. Ten problem został oceniony jako średnio poważny, ponieważ wymaga najpierw przejęcia kontroli nad usługą, która może zadzwonić do kierowcy.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Data zgłoszenia |
---|---|---|---|---|
CVE-2016-2498 | 27777162* | Umiarkowana | Nexus 7 (2013) | 20 marca 2016 r. |
* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.
Luka w zabezpieczeniach w mediaserverze umożliwiająca ujawnienie informacji
Luka w zabezpieczeniach w Mediaserver może umożliwiać aplikacji dostęp do informacji poufnych. Ten problem ma ocenę Średni, ponieważ może być wykorzystywany do uzyskiwania dostępu do danych bez zgody.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszenia |
---|---|---|---|---|---|
CVE-2016-2499 | 27855172 | Umiarkowana | Wszystkie Nexusy | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 24 marca 2016 r. |
Luka w zabezpieczeniach w Menedżerze aktywności umożliwiająca ujawnienie informacji
W komponencie Menedżer aktywności występuje luka umożliwiająca ujawnienie informacji, która może pozwolić aplikacji na uzyskanie dostępu do informacji poufnych. Ten problem ma ocenę umiarkowany, ponieważ może umożliwiać dostęp do danych bez zgody.
CVE | Błędy w Androidzie | Poziom | Zaktualizowane urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszenia |
---|---|---|---|---|---|
CVE-2016-2500 | 19285814 | Umiarkowana | Wszystkie Nexusy | 5.0.2, 5.1.1, 6.0, 6.0.1 | Google - wewnętrzny |
Najczęstsze pytania i odpowiedzi
W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.
1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy można rozwiązać te problemy?
Te problemy zostały rozwiązane w ramach poziomu aktualizacji zabezpieczeń z 1 czerwa 2016 r. lub nowszego (instrukcje sprawdzania poziomu aktualizacji zabezpieczeń znajdziesz w dokumentacji Nexusa). Producenci urządzeń, którzy uwzględniają te aktualizacje, powinni ustawić poziom ciągu poprawki na: [ro.build.version.security_patch]:[2016-06-01]
2. Jak sprawdzić, które urządzenia Nexus są dotknięte danym problemem?
W sekcji Szczegóły luki w zabezpieczeniach każda tabela zawiera kolumnę Zaktualizowane urządzenia Nexus, która obejmuje zakres urządzeń Nexus, których dotyczyła dana luka, a które zostały zaktualizowane w związku z każdym problemem. Ta kolumna ma kilka opcji:
- Wszystkie urządzenia Nexus: jeśli problem dotyczy wszystkich urządzeń Nexus, w tabeli w kolumnie Zaktualizowane urządzenia Nexus pojawi się opcja „Wszystkie urządzenia Nexus”. „Wszystkie Nexusy” obejmuje te obsługiwane urządzenia: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player i Pixel C.
- Niektóre urządzenia Nexus: jeśli problem nie dotyczy wszystkich urządzeń Nexus, te, których dotyczy problem, są wymienione w kolumnie Zaktualizowane urządzenia Nexus.
- Brak urządzeń Nexus: jeśli problem nie dotyczy żadnego urządzenia Nexus, w kolumnie Zaktualizowane urządzenia Nexus pojawi się wartość „Brak”.
Wersje
- 6 czerwca 2016 r.: opublikowano biuletyn.
- 7 czerwca 2016 r.:
- Biuletyn został zaktualizowany o linki do AOSP.
- CVE-2016-2496 został usunięty z komunikatu.
- 8 czerwca 2016 r.: do biuletynu ponownie dodano CVE-2016-2496.