Biuletyn bezpieczeństwa w Androidzie – czerwiec 2016 r.

Opublikowano 6 czerwca 2016 r. | Zaktualizowano 8 czerwca 2016 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Oprócz biuletynu udostępniliśmy aktualizację zabezpieczeń dla urządzeń Nexus za pomocą aktualizacji OTA. Obrazy oprogramowania układowego Nexusa zostały też udostępnione na stronie dla deweloperów Google. Problemy te zostały rozwiązane w poziomach aktualizacji zabezpieczeń z 1 czerwca 2016 r. lub nowszych. Aby dowiedzieć się, jak sprawdzić poziom aktualizacji zabezpieczeń, zapoznaj się z  dokumentacją Nexusa.

Partnerzy zostali powiadomieni o problemach opisanych w biuletynie 2 maja 2016 r. lub wcześniej. W stosownych przypadkach poprawki do kodu źródłowego zostały opublikowane w repozytorium Projektu Android Open Source (AOSP).

Najpoważniejszym problemem jest krytyczna luka w zabezpieczeniach, która może umożliwiać zdalne wykonywanie kodu na urządzeniu dotkniętym problemem za pomocą wielu metod, takich jak poczta e-mail, przeglądanie stron internetowych i MMS-y podczas przetwarzania plików multimedialnych. Ocena ważności jest oparta na potencjalnym wpływie wykorzystania luki w zabezpieczeniach na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programowania lub że zostały pomyślnie omijane.

Nie otrzymaliśmy żadnych zgłoszeń o aktywnej eksploatacji klientów ani o wykorzystaniu tych nowo zgłoszonych problemów. Szczegółowe informacje o  zabezpieczeniach platformy Android i zabezpieczeniach usług, takich jak SafetyNet, które zwiększają bezpieczeństwo platformy Android, znajdziesz w sekcji Mitigations for Android and Google Service.

Zachęcamy wszystkich klientów do akceptowania tych aktualizacji na swoich urządzeniach.

Środki zaradcze dotyczące Androida i usług Google

Oto podsumowanie zabezpieczeń oferowanych przez platformę bezpieczeństwa Androida i zabezpieczenia usług, takich jak SafetyNet. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach zostaną wykorzystane na urządzeniach z Androidem.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania systemu do najnowszej wersji Androida, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą weryfikacji aplikacji i SafetyNet, które mają ostrzegać użytkowników o  potencjalnie szkodliwych aplikacjach. Weryfikacja aplikacji jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest ona szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play. Narzędzia do rootowania urządzeń są zabronione w Google Play, ale funkcja weryfikacji aplikacji ostrzega użytkowników, gdy próbują oni zainstalować wykryte narzędzie do rootowania – niezależnie od tego, skąd pochodzi. Dodatkowo Weryfikacja aplikacji próbuje wykrywać i blokować instalowanie znanych szkodliwych aplikacji, które wykorzystują lukę umożliwiającą podniesienie uprawnień. Jeśli taka aplikacja została już zainstalowana, funkcja Weryfikacja aplikacji powiadomi użytkownika i spróbuje ją usunąć.
  • W odpowiednich przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak Mediaserver.

Podziękowania

Dziękujemy zaangażowanym w to badanie naukowcom:

  • Di Shen (@returnsme) z KeenLab (@keen_lab), Tencent: CVE-2016-2468
  • Gal Beniamini (@laginimaineb): CVE-2016-2476
  • Gengjia Chen (@chengjia4574), pjf (weibo.com/jfpan) z IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-2492
  • Hao Chen, Guang Gong i Wenlin Yang z zespołu Mobile Safe, Qihoo 360 Technology Co., Ltd.: CVE-2016-2470, CVE-2016-2471, CVE-2016-2472, CVE-2016-2473, CVE-2016-2498
  • Iwo Banas: CVE-2016-2496
  • Jianqiang Zhao(@jianqiangzhao) i pjf (weibo.com/jfpan) z IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-2490, CVE-2016-2491
  • Lee Campbell z Google: CVE-2016-2500
  • Maciej Szawłowski z zespołu Google ds. bezpieczeństwa: CVE-2016-2474
  • Marco Nelissen i Max Spector z Google: CVE-2016-2487
  • Mark Brand of Google Project Zero: CVE-2016-2494
  • Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) i Xuxian Jiang z zespołu C0RE: CVE-2016-2477, CVE-2016-2478, CVE-2016-2479, CVE-2016-2480, CVE-2016-2481, CVE-2016-2482, CVE-2016-2483, CVE-2016-2484, CVE-2016-2485, CVE-2016-2486
  • Scott Bauer (@ScottyBauer1): CVE-2016-2066, CVE-2016-2061, CVE-2016-2465, CVE-2016-2469, CVE-2016-2489
  • Vasily Vasilev: CVE-2016-2463
  • Weichao Sun (@sunblate) z Alibaba Inc.: CVE-2016-2495
  • Xiling Gong z Wydziału Platformy Bezpieczeństwa Tencent: CVE-2016-2499
  • Zach Riggle (@ebeip90) z zespołu ds. bezpieczeństwa Androida: CVE-2016-2493

Szczegóły luki w zabezpieczeniach

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 01.06.2016. Zawiera on opis problemu, uzasadnienie powagi oraz tabelę z luką w zabezpieczeniach (CVE), powiązanym błędem w Androidzie, wagą, zaktualizowanymi urządzeniami Nexus, zaktualizowanymi wersjami AOSP (w stosownych przypadkach) i datą zgłoszenia. Jeśli to możliwe, połączymy identyfikator błędu z zmianą w AOSP, która rozwiązuje problem. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia do AOSP są połączone z numerami po identyfikatorze błędu.

Luka w zabezpieczeniach umożliwiająca zdalne wykonywanie kodu w usłudze Mediaserver

Luka w zabezpieczeniach umożliwiająca zdalne uruchomienie kodu w Mediaserverze może umożliwić atakującemu użycie specjalnie spreparowanego pliku do spowodowania uszkodzenia pamięci podczas przetwarzania plików multimedialnych i danych. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście procesu Mediaserver. Proces Mediaserver ma dostęp do strumieni audio i wideo, a także do przywilejów, do których aplikacje innych firm normalnie nie mają dostępu.

Dotycząca funkcja jest częścią główną systemu operacyjnego i istnieje wiele aplikacji, które umożliwiają dostęp do treści zdalnych, w tym MMS-ów i odtwarzania multimediów w przeglądarce.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-2463 27855419 Krytyczny Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 25 marca 2016 r.

Luki w zabezpieczeniach libwebm umożliwiające zdalne wykonywanie kodu

Luki w zabezpieczeniach w libwebm umożliwiające zdalne uruchomienie kodu mogą umożliwić atakującemu użycie specjalnie spreparowanego pliku do spowodowania uszkodzenia pamięci podczas przetwarzania danych i plików multimedialnych. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście procesu Mediaserver. Proces Mediaserver ma dostęp do strumieni audio i wideo, a także do przywilejów, do których aplikacje innych firm normalnie nie mają dostępu.

Dotycząca funkcja jest częścią główną systemu operacyjnego i istnieje wiele aplikacji, które umożliwiają dostęp do treści zdalnych, w tym MMS-ów i odtwarzania multimediów w przeglądarce.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-2464 23167726 [2] Krytyczny Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google - wewnętrzny

Luka w zabezpieczeniach polegająca na podnoszeniu uprawnień w sterowniku wideo Qualcomm

Podatność w zabezpieczeniach w sterowniku wideo Qualcomma może umożliwić lokalnym złośliwym aplikacjom wykonywanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2465 27407865* Krytyczny Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 21 lutego 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google Developer.

Podniesienie uprawnień w sterowniku dźwięku Qualcomm

Podatność w sterowniku dźwięku Qualcomma umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2466 27947307* Krytyczny Nexus 6 27 lutego 2016 r.
CVE-2016-2467 28029010* Krytyczny Nexus 5 13 marca 2014 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w sterowniku GPU Qualcomm

Podatność w ramach funkcji podwyższania uprawnień w sterowniku GPU Qualcomma może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2468 27475454* Krytyczny Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 2 marca 2016 r.
CVE-2016-2062 27364029* Krytyczny Nexus 5X, Nexus 6P 6 marca 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.

Luka w zabezpieczeniach związana z podniesieniem uprawnień w sterowniku Wi-Fi Qualcomm

Podatność w sterowniku Wi-Fi Qualcomma umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2474 27424603* Krytyczny Nexus 5X Google - wewnętrzny

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.

Podniesienie uprawnień w sterowniku Wi-Fi Broadcom

W sterowniku Wi-Fi Broadcom występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnej złośliwej aplikacji wywołanie wywołań systemowych zmieniających ustawienia i zachowanie urządzenia bez odpowiednich uprawnień. Ten problem został oceniony jako wysoki, ponieważ może zostać wykorzystany do uzyskania lokalnego dostępu do podwyższonych uprawnień.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2475 26425765* Wysoki Nexus 5, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Nexus Player, Pixel C 6 stycznia 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.

Podniesienie uprawnień w sterowniku dźwięku Qualcomm

Podatność w sterowniku dźwięku Qualcomma umożliwiająca podniesienie uprawnień może umożliwić złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę wysoką, ponieważ wymaga najpierw zaatakowania usługi, która może wywołać kierowcę.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2066 26876409* Wysoki Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 29 stycznia 2016 r.
CVE-2016-2469 27531992* Wysoki Nexus 5, Nexus 6, Nexus 6P 4 marca 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.

Luka w zabezpieczeniach typu podniesienie uprawnień w Mediaserver

Uprawnienie dotyczące podniesienia uprawnień w Mediaserver może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście podniesionej aplikacji systemowej. Ten problem ma priorytet wysoki, ponieważ może umożliwiać uzyskanie lokalnego dostępu do rozszerzonych funkcji, takich jak uprawnienia Signature lub SignatureOrSystem, które są niedostępne dla aplikacji innych firm.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-2476 27207275 [2] [3] [4] Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11 lutego 2016 r.
CVE-2016-2477 27251096 Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 17 lutego 2016 r.
CVE-2016-2478 27475409 Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 3 marca 2016 r.
CVE-2016-2479 27532282 Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 6 marca 2016 r.
CVE-2016-2480 27532721 Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 6 marca 2016 r.
CVE-2016-2481 27532497 Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 6 marca 2016 r.
CVE-2016-2482 27661749 Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 14 marca 2016 r.
CVE-2016-2483 27662502 Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 14 marca 2016 r.
CVE-2016-2484 27793163 Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 22 marca 2016 r.
CVE-2016-2485 27793367 Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 22 marca 2016 r.
CVE-2016-2486 27793371 Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 22 marca 2016 r.
CVE-2016-2487 27833616 [2] [3] Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google - wewnętrzny

Luka w zabezpieczeniach związana z podniesieniem uprawnień w sterowniku aparatu Qualcomm

Podatność w sterowniku aparatu Qualcomm umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia kontroli nad usługą, która może zadzwonić do kierowcy.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2061 27207747* Wysoki Nexus 5X, Nexus 6P 15 lutego 2016 r.
CVE-2016-2488 27600832* Wysoki Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013 r.) Google - wewnętrzny

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.

Luka w zabezpieczeniach polegająca na podnoszeniu uprawnień w sterowniku wideo Qualcomm

Podatność w zabezpieczeniach w sterowniku wideo Qualcomma może umożliwić lokalnym złośliwym aplikacjom wykonywanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia kontroli nad usługą, która może zadzwonić do kierowcy.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2489 27407629* Wysoki Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 21 lutego 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.

Podniesienie uprawnień w sterowniku kamery NVIDIA

Podatność w ramach rozszerzania uprawnień w sterowniku kamery NVIDIA może umożliwić lokalnym złośliwym aplikacjom wykonywanie dowolnego kodu w kontekście jądra. Ten problem ma priorytet wysoki, ponieważ wymaga najpierw zaakceptowania usługi, aby zadzwonić do kierowcy.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2490 27533373* Wysoki Nexus 9 6 marca 2016 r.
CVE-2016-2491 27556408* Wysoki Nexus 9 8 marca 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.

Luka w zabezpieczeniach związana z podniesieniem uprawnień w sterowniku Wi-Fi Qualcomm

Podatność w sterowniku Wi-Fi Qualcomma umożliwiająca podniesienie uprawnień może umożliwić złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę wysoką, ponieważ wymaga najpierw zaatakowania usługi, która może wywołać kierowcę.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2470 27662174* Wysoki Nexus 7 (2013) 13 marca 2016 r.
CVE-2016-2471 27773913* Wysoki Nexus 7 (2013) 19 marca 2016 r.
CVE-2016-2472 27776888* Wysoki Nexus 7 (2013) 20 marca 2016 r.
CVE-2016-2473 27777501* Wysoki Nexus 7 (2013) 20 marca 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.

Luka w zabezpieczeniach polegająca na podnoszeniu uprawnień w sterowniku zarządzania zasilaniem MediaTek

Podwyższenie uprawnień w sterowniku zarządzania zasilaniem MediaTek może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia kontroli nad urządzeniem i uzyskania uprawnień roota, aby wywołać sterownik.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2492 28085410* Wysoki Android One 7 kwietnia 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.

Podwyższanie uprawnień w warstwie emulacji karty SD

W ramach warstwy emulacji przestrzeni użytkownika karty SD występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście podwyższonych uprawnień aplikacji systemowej. To zgłoszenie ma wysoki priorytet, ponieważ może być wykorzystywane do uzyskiwania lokalnego dostępu do rozszerzonych funkcji, takich jak uprawnienia Signature lub SignatureOrSystem, które są niedostępne dla aplikacji innych firm.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-2494 28085658 Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 7 kwietnia 2016 r.

Podniesienie uprawnień w sterowniku Wi-Fi Broadcom

W ramach podatności w sterowniku Wi-Fi Broadcom dotyczącym podwyższania uprawnień lokalna złośliwa aplikacja może wykonać dowolny kod w kontekście jądra. Ten problem ma priorytet wysoki, ponieważ wymaga najpierw zaakceptowania usługi, aby zadzwonić do kierowcy.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2493 26571522* Wysoki Nexus 5, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus Player, Pixel C Google - wewnętrzny

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.

Atak typu DoS zdalnie w Mediaserverze

Usługa Mediaserver zawierała podatność na odmowę usługi zdalnej, która umożliwiała atakującemu użycie specjalnie spreparowanego pliku do spowodowania zawieszenia lub ponownego uruchomienia urządzenia. To zgłoszenie ma wysoki priorytet ze względu na możliwość zdalnego odmowy usługi.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-2495 28076789 [2] Wysoki Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 6 kwietnia 2016 r.

Luki w zabezpieczeniach związane z podniesieniem uprawnień w interfejsie Framework

W ramach tej luki w zabezpieczeniach w oknie uprawnień interfejsu Framework atakujący może uzyskać dostęp do nieautoryzowanych plików w prywatnym miejscu na dane. Ten problem ma ocenę „umiarkowany”, ponieważ może być wykorzystywany do nieprawidłowego uzyskiwania uprawnień „niebezpiecznych”.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-2496 26677796 [2] [3] Umiarkowana Wszystkie Nexusy 6.0, 6.1 26 maja 2015 r.

Luka w sterowniku sieci bezprzewodowej Qualcomm umożliwiająca ujawnienie informacji

Ujawnienie informacji w sterowniku Wi-Fi Qualcomm może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza poziomem uprawnień. Ten problem został oceniony jako średnio poważny, ponieważ wymaga najpierw przejęcia kontroli nad usługą, która może zadzwonić do kierowcy.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2498 27777162* Umiarkowana Nexus 7 (2013) 20 marca 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.

Luka w zabezpieczeniach w mediaserverze umożliwiająca ujawnienie informacji

Luka w zabezpieczeniach w Mediaserver może umożliwiać aplikacji dostęp do informacji poufnych. Ten problem ma ocenę Średni, ponieważ może być wykorzystywany do uzyskiwania dostępu do danych bez zgody.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-2499 27855172 Umiarkowana Wszystkie Nexusy 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 24 marca 2016 r.

Luka w zabezpieczeniach w Menedżerze aktywności umożliwiająca ujawnienie informacji

W komponencie Menedżer aktywności występuje luka umożliwiająca ujawnienie informacji, która może pozwolić aplikacji na uzyskanie dostępu do informacji poufnych. Ten problem ma ocenę umiarkowany, ponieważ może umożliwiać dostęp do danych bez zgody.

CVE Błędy w Androidzie Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-2500 19285814 Umiarkowana Wszystkie Nexusy 5.0.2, 5.1.1, 6.0, 6.0.1 Google - wewnętrzny

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy można rozwiązać te problemy?

Te problemy zostały rozwiązane w ramach poziomu aktualizacji zabezpieczeń z 1 czerwa 2016 r. lub nowszego (instrukcje sprawdzania poziomu aktualizacji zabezpieczeń znajdziesz w dokumentacji Nexusa). Producenci urządzeń, którzy uwzględniają te aktualizacje, powinni ustawić poziom ciągu poprawki na: [ro.build.version.security_patch]:[2016-06-01]

2. Jak sprawdzić, które urządzenia Nexus są dotknięte danym problemem?

W sekcji Szczegóły luki w zabezpieczeniach każda tabela zawiera kolumnę Zaktualizowane urządzenia Nexus, która obejmuje zakres urządzeń Nexus, których dotyczyła dana luka, a które zostały zaktualizowane w związku z każdym problemem. Ta kolumna ma kilka opcji:

  • Wszystkie urządzenia Nexus: jeśli problem dotyczy wszystkich urządzeń Nexus, w tabeli w kolumnie Zaktualizowane urządzenia Nexus pojawi się opcja „Wszystkie urządzenia Nexus”. „Wszystkie Nexusy” obejmuje te obsługiwane urządzenia: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player i Pixel C.
  • Niektóre urządzenia Nexus: jeśli problem nie dotyczy wszystkich urządzeń Nexus, te, których dotyczy problem, są wymienione w kolumnie Zaktualizowane urządzenia Nexus.
  • Brak urządzeń Nexus: jeśli problem nie dotyczy żadnego urządzenia Nexus, w kolumnie Zaktualizowane urządzenia Nexus pojawi się wartość „Brak”.

Wersje

  • 6 czerwca 2016 r.: opublikowano biuletyn.
  • 7 czerwca 2016 r.:
    • Biuletyn został zaktualizowany o linki do AOSP.
    • CVE-2016-2496 został usunięty z komunikatu.
  • 8 czerwca 2016 r.: do biuletynu ponownie dodano CVE-2016-2496.