Bulletin de sécurité Android – juillet 2016

Publié le 06 juillet 2016 | Mis à jour le 1er avril 2019

Le Bulletin de sécurité Android contient des détails sur les vulnérabilités de sécurité affectant les appareils Android. Parallèlement au bulletin, nous avons publié une mise à jour de sécurité pour les appareils Nexus via une mise à jour en direct (OTA). Les images du micrologiciel Nexus ont également été publiées sur le site des développeurs Google . Les niveaux de correctifs de sécurité du 5 juillet 2016 ou ultérieurs résolvent tous les problèmes applicables dans ce bulletin. Reportez-vous à la documentation pour savoir comment vérifier le niveau du correctif de sécurité.

Les partenaires ont été informés des problèmes décrits dans le bulletin le 6 juin 2016 ou avant. Le cas échéant, les correctifs de code source pour ces problèmes ont été publiés dans le référentiel Android Open Source Project (AOSP). Ce bulletin comprend également des liens vers des correctifs en dehors de l'AOSP.

Le plus grave de ces problèmes est une vulnérabilité de sécurité critique qui pourrait permettre l'exécution de code à distance sur un appareil concerné via plusieurs méthodes telles que le courrier électronique, la navigation Web et les MMS lors du traitement de fichiers multimédias. L' évaluation de la gravité est basée sur l'effet que l'exploitation de la vulnérabilité pourrait avoir sur un appareil affecté, en supposant que les atténuations de la plate-forme et du service soient désactivées à des fins de développement ou si elles sont contournées avec succès.

Nous n'avons reçu aucun rapport faisant état d'une exploitation ou d'un abus actif de la part de nos clients concernant ces problèmes récemment signalés. Reportez-vous à la section Atténuations des services Android et Google pour plus de détails sur les protections de la plate-forme de sécurité Android et les protections des services telles que SafetyNet, qui améliorent la sécurité de la plate-forme Android.

Nous encourageons tous les clients à accepter ces mises à jour sur leurs appareils.

Annonces

  • Ce bulletin définit deux chaînes de niveaux de correctifs de sécurité pour offrir aux partenaires Android la flexibilité d'agir plus rapidement pour corriger un sous-ensemble de vulnérabilités similaires sur tous les appareils Android. Voir Questions et réponses courantes pour plus d'informations :
    • 01/07/2016 : Chaîne de niveau de correctif de sécurité partiel. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés au 01/07/2016 sont résolus.
    • 05/07/2016 : Chaîne complète du niveau du correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés au 01/07/2016 et au 05/07/2016 sont résolus.
  • Les appareils Nexus pris en charge recevront une seule mise à jour OTA avec le niveau de correctif de sécurité du 5 juillet 2016.

Atténuations des services Android et Google

Ceci est un résumé des atténuations fournies par la plate-forme de sécurité Android et les protections de services telles que SafetyNet. Ces fonctionnalités réduisent la probabilité que les failles de sécurité soient exploitées avec succès sur Android.

  • L'exploitation de nombreux problèmes sur Android est rendue plus difficile par les améliorations apportées aux versions les plus récentes de la plate-forme Android. Nous encourageons tous les utilisateurs à mettre à jour vers la dernière version d'Android lorsque cela est possible.
  • L'équipe de sécurité Android surveille activement les abus avec Verify Apps et SafetyNet , conçus pour avertir les utilisateurs des applications potentiellement dangereuses . Vérifier les applications est activé par défaut sur les appareils dotés des services mobiles Google et est particulièrement important pour les utilisateurs qui installent des applications en dehors de Google Play. Les outils de rooting d'appareil sont interdits dans Google Play, mais Verify Apps avertit les utilisateurs lorsqu'ils tentent d'installer une application de rooting détectée, quelle que soit son origine. De plus, Verify Apps tente d'identifier et de bloquer l'installation d'applications malveillantes connues qui exploitent une vulnérabilité d'élévation de privilèges. Si une telle application a déjà été installée, Verify Apps en informera l'utilisateur et tentera de supprimer l'application détectée.
  • Le cas échéant, les applications Google Hangouts et Messenger ne transmettent pas automatiquement les médias aux processus tels que Mediaserver.

Remerciements

Nous tenons à remercier ces chercheurs pour leurs contributions :

  • Abhishek Arya, Oliver Chang et Martin Barbella de l'équipe de sécurité de Google Chrome : CVE-2016-3756, CVE-2016-3741, CVE-2016-3743, CVE-2016-3742
  • Adam Donenfeld et coll. de Check Point Software Technologies Ltd. : CVE-2016-2503
  • Adam Powell de Google : CVE-2016-3752
  • Alex Chapman et Paul Stone de Context Information Security : CVE-2016-3763
  • Andy Tyler ( @ticarpi ) de e2e-assure : CVE-2016-2457
  • Ben Hawkes de Google Project Zero : CVE-2016-3775
  • Chiachih Wu ( @chiachih_wu ), Yuan-Tsung Lo ( computernik@gmail.com ) et Xuxian Jiang de l'équipe C0RE : CVE-2016-3770, CVE-2016-3771, CVE-2016-3772, CVE-2016-3773, CVE-2016-3774
  • Christopher Tate de Google : CVE-2016-3759
  • Di Shen ( @returnsme ) de KeenLab ( @keen_lab ), Tencent : CVE-2016-3762
  • Gengjia Chen ( @chengjia4574 ), pjf ( weibo.com/jfpan ) d'IceSword Lab, Qihoo 360 Technology Co. Ltd. : CVE-2016-3806, CVE-2016-3816, CVE-2016-3805, CVE-2016-3804 , CVE-2016-3767, CVE-2016-3810, CVE-2016-3795, CVE-2016-3796
  • Greg Kaiser de l'équipe Google Android : CVE-2016-3758
  • Guang Gong (龚广) ( @oldfresher ) de l'équipe Mobile Safe, Qihoo 360 Technology Co. Ltd. : CVE-2016-3764
  • Hao Chen et Guang Gong de l'équipe Alpha, Qihoo 360 Technology Co. Ltd. : CVE-2016-3792, CVE-2016-3768
  • Hao Qin du laboratoire de recherche en sécurité, Cheetah Mobile : CVE-2016-3754, CVE-2016-3766
  • Jianqiang Zhao ( @jianqiangzhao ) et pjf ( weibo.com/jfpan ) d'IceSword Lab, Qihoo 360 Technology Co. Ltd : CVE-2016-3814, CVE-2016-3802, CVE-2016-3769, CVE-2016-3807, CVE-2016-3808
  • Marco Nelissen de Google : CVE-2016-3818
  • Marquer la marque de Google Project Zero : CVE-2016-3757
  • Michał Bednarski : CVE-2016-3750
  • Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ) et Xuxian Jiang de l'équipe C0RE : CVE-2016-3747, CVE-2016-3746, CVE-2016-3765
  • Peng Xiao, Chengming Yang, Ning You, Chao Yang et Yang Ssong du groupe Alibaba Mobile Security : CVE-2016-3800, CVE-2016-3799, CVE-2016-3801, CVE-2016-3812, CVE-2016-3798
  • Peter Pi ( @heisecode ) de Trend Micro : CVE-2016-3793
  • Ricky Wai de Google : CVE-2016-3749
  • Roland Krak : CVE-2016-3753
  • Scott Bauer ( @ScottyBauer1 ) : CVE-2016-3797, CVE-2016-3813, CVE-2016-3815, CVE-2016-2501, CVE-2016-2502
  • Vassily Vasilev : CVE-2016-2507
  • Weichao Sun ( @sunblate ) d'Alibaba Inc. : CVE-2016-2508, CVE-2016-3755
  • Wen Niu ( @NWMonster ) de KeenLab ( @keen_lab ), Tencent : CVE-2016-3809
  • Xiling Gong du département de la plateforme de sécurité Tencent : CVE-2016-3745
  • Yacong Gu du TCA Lab, Institute of Software, Chinese Academy of Sciences : CVE-2016-3761
  • Yongke Wang ( @Rudykewang ) de Xuanwu LAB, Tencent : CVE-2016-2505
  • Yongke Wang ( @Rudykewang ) et Wei Wei ( @Danny__Wei ) de Xuanwu LAB, Tencent : CVE-2016-2506
  • Yulong Zhang et Tao (Lenx) Wei de Baidu X-Lab : CVE-2016-3744

Niveau du correctif de sécurité du 01/07/2016 : détails de la vulnérabilité de sécurité

Dans les sections ci-dessous, nous fournissons des détails sur chacune des vulnérabilités de sécurité qui s'appliquent au niveau de correctif du 01/07/2016. Il existe une description du problème, une justification de la gravité et un tableau avec le CVE, les références associées, la gravité, les appareils Nexus mis à jour, les versions AOSP mises à jour (le cas échéant) et la date signalée. Lorsqu'elle sera disponible, nous lierons la modification publique qui a résolu le problème à l'ID de bogue, comme la liste des modifications AOSP. Lorsque plusieurs modifications concernent un seul bug, des références supplémentaires sont liées aux numéros suivant l'ID du bug.

Vulnérabilité d'exécution de code à distance dans Mediaserver

Une vulnérabilité d'exécution de code à distance dans Mediaserver pourrait permettre à un attaquant utilisant un fichier spécialement conçu de provoquer une corruption de la mémoire lors du traitement des fichiers multimédias et des données. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans le contexte du processus Mediaserver. Le processus Mediaserver a accès aux flux audio et vidéo, ainsi qu'à des privilèges auxquels les applications tierces ne pourraient normalement pas accéder.

La fonctionnalité concernée est fournie en tant qu'élément central du système d'exploitation et il existe plusieurs applications qui permettent d'y accéder avec du contenu à distance, notamment la lecture de médias par MMS et par navigateur.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-2506 A-28175045 Critique Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11 avril 2016
CVE-2016-2505 A-28333006 Critique Tous les Nexus 6.0, 6.0.1 21 avril 2016
CVE-2016-2507 A-28532266 Critique Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 2 mai 2016
CVE-2016-2508 A-28799341 [ 2 ] Critique Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 16 mai 2016
CVE-2016-3741 A-28165661 [ 2 ] Critique Tous les Nexus 6.0, 6.0.1 Google interne
CVE-2016-3742 A-28165659 Critique Tous les Nexus 6.0, 6.0.1 Google interne
CVE-2016-3743 A-27907656 Critique Tous les Nexus 6.0, 6.0.1 Google interne

Vulnérabilité d'exécution de code à distance dans OpenSSL et BoringSSL

Une vulnérabilité d'exécution de code à distance dans OpenSSL et BoringSSL pourrait permettre à un attaquant utilisant un fichier spécialement conçu de provoquer une corruption de la mémoire lors du traitement des fichiers et des données. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans le contexte d'un processus affecté.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-2108 A-28175332 Critique Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 3 mai 2016

Vulnérabilité d'exécution de code à distance dans Bluetooth

Une vulnérabilité d'exécution de code à distance dans Bluetooth pourrait permettre à un attaquant proximal d'exécuter du code arbitraire pendant le processus de couplage. Ce problème est classé comme élevé en raison de la possibilité d'exécution de code à distance lors de l'initialisation d'un périphérique Bluetooth.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3744 A-27930580 Haut Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 30 mars 2016

Vulnérabilité d'élévation de privilèges dans libpng

Une vulnérabilité d'élévation de privilèges dans libpng pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'une application système élevée. Ce problème est classé comme élevé, car il pourrait être utilisé pour obtenir un accès local à des fonctionnalités élevées, telles que les privilèges d'autorisation Signature ou SignatureOrSystem , qui ne sont pas accessibles à une application tierce.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3751 A-23265085 Haut Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 3 décembre 2015

Vulnérabilité d'élévation de privilèges dans Mediaserver

Une vulnérabilité d'élévation de privilèges dans Mediaserver pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'une application système élevée. Ce problème est classé comme élevé, car il pourrait être utilisé pour obtenir un accès local à des fonctionnalités élevées, telles que les privilèges d'autorisation Signature ou SignatureOrSystem , qui ne sont pas accessibles à une application tierce.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3745 A-28173666 Haut Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 10 avril 2016
CVE-2016-3746 A-27890802 Haut Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 27 mars 2016
CVE-2016-3747 A-27903498 Haut Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 28 mars 2016

Vulnérabilité d'élévation de privilèges dans les sockets

Une vulnérabilité d'élévation de privilèges dans les sockets pourrait permettre à une application malveillante locale d'accéder aux appels système en dehors de son niveau d'autorisation. Ce problème est classé comme élevé car il pourrait permettre de contourner les mesures de sécurité en place afin d'augmenter la difficulté pour les attaquants d'exploiter la plateforme.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3748 A-28171804 Haut Tous les Nexus 6.0, 6.0.1 13 avril 2016

Vulnérabilité d’élévation de privilèges dans LockSettingsService

Une vulnérabilité d'élévation de privilèges dans LockSettingsService pourrait permettre à une application malveillante de réinitialiser le mot de passe de verrouillage d'écran sans l'autorisation de l'utilisateur. Ce problème est classé comme élevé car il s’agit d’un contournement local des exigences d’interaction utilisateur pour toute modification des paramètres de développement ou de sécurité.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3749 A-28163930 Haut Tous les Nexus 6.0, 6.0.1 Google interne

Vulnérabilité d'élévation de privilèges dans les API Framework

Une vulnérabilité d'élévation de privilèges dans les API Parcels Framework pourrait permettre à une application malveillante locale de contourner les protections du système d'exploitation qui isolent les données d'application des autres applications. Ce problème est classé comme élevé car il pourrait être utilisé pour accéder à des données auxquelles l'application n'a pas accès.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3750 A-28395952 Haut Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 16 décembre 2015

Vulnérabilité d'élévation de privilèges dans le service ChooserTarget

Une vulnérabilité d'élévation de privilèges dans le service ChooserTarget pourrait permettre à une application malveillante locale d'exécuter du code dans le contexte d'une autre application. Ce problème est classé Élevé car il pourrait être utilisé pour accéder sans autorisation à des activités appartenant à une autre application.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3752 A-28384423 Haut Tous les Nexus 6.0, 6.0.1 Google interne

Vulnérabilité de divulgation d'informations dans Mediaserver

Une vulnérabilité de divulgation d'informations dans Mediaserver pourrait permettre à un attaquant distant d'accéder à des données protégées normalement uniquement accessibles aux applications installées localement qui demandent une autorisation. Ce problème est classé comme élevé car il pourrait être utilisé pour accéder aux données sans autorisation.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3753 A-27210135 Haut Aucun* 4.4.4 15 février 2016

* Les appareils Nexus pris en charge qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.

Vulnérabilité de divulgation d'informations dans OpenSSL

Une vulnérabilité de divulgation d'informations dans OpenSSL pourrait permettre à un attaquant distant d'accéder à des données protégées normalement uniquement accessibles aux applications installées localement qui demandent une autorisation. Ce problème est classé comme élevé car il pourrait être utilisé pour accéder aux données sans autorisation.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-2107 A-28550804 Haut Aucun* 4.4.4, 5.0.2, 5.1.1 13 avril 2016

* Les appareils Nexus pris en charge qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.

Vulnérabilité de déni de service dans Mediaserver

Une vulnérabilité de déni de service dans Mediaserver pourrait permettre à un attaquant d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme élevé en raison de la possibilité d'un déni de service temporaire à distance.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3754 A-28615448 [ 2 ] Haut Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 5 mai 2016
CVE-2016-3755 A-28470138 Haut Tous les Nexus 6.0, 6.0.1 29 avril 2016
CVE-2016-3756 A-28556125 Haut Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google interne

Vulnérabilité de déni de service dans la libc

Une vulnérabilité de déni de service dans la libc pourrait permettre à un attaquant d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un périphérique. Ce problème est classé comme élevé en raison de la possibilité d'un déni de service à distance.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3818 A-28740702 [ 2 ] Haut Aucun* 4.4.4 Google interne

* Les appareils Nexus pris en charge qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.

Vulnérabilité d'élévation de privilèges dans lsof

Une vulnérabilité d'élévation de privilèges dans lsof pourrait permettre à une application malveillante locale d'exécuter du code arbitraire pouvant conduire à une compromission permanente du périphérique. Ce problème est classé comme modéré car il nécessite des étapes manuelles peu courantes.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3757 A-28175237 Modéré Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11 avril 2016

Vulnérabilité d'élévation de privilèges dans DexClassLoader

Une vulnérabilité d'élévation de privilèges dans DexClassLoader pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme modéré car il nécessite des étapes manuelles peu courantes.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3758 A-27840771 Modéré Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google interne

Vulnérabilité d'élévation de privilèges dans les API Framework

Une vulnérabilité d'élévation de privilèges dans les API Framework pourrait permettre à une application malveillante locale de demander des autorisations de sauvegarde et d'intercepter toutes les données de sauvegarde. Ce problème est classé comme modéré car il nécessite des autorisations spécifiques pour contourner les protections du système d'exploitation qui isolent les données d'application des autres applications.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3759 A-28406080 Modéré Tous les Nexus 5.0.2, 5.1.1, 6.0, 6.0.1 Google interne

Vulnérabilité d'élévation de privilèges dans Bluetooth

Une vulnérabilité d'élévation de privilèges dans le composant Bluetooth pourrait permettre à un attaquant local d'ajouter un périphérique Bluetooth authentifié qui persiste pour l'utilisateur principal. Ce problème est classé comme modéré car il pourrait être utilisé pour obtenir des fonctionnalités élevées sans l’autorisation explicite de l’utilisateur.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3760 A-27410683 [ 2 ] [ 3 ] Modéré Tous les Nexus 5.0.2, 5.1.1, 6.0, 6.0.1 29 février 2016

Vulnérabilité d’élévation de privilèges dans NFC

Une vulnérabilité d’élévation de privilèges dans NFC pourrait permettre à une application locale malveillante en arrière-plan d’accéder aux informations d’une application de premier plan. Ce problème est classé comme modéré car il pourrait être utilisé pour obtenir des fonctionnalités élevées sans l’autorisation explicite de l’utilisateur.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3761 A-28300969 Modéré Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 20 avril 2016

Vulnérabilité d'élévation de privilèges dans les sockets

Une vulnérabilité d'élévation de privilèges dans les sockets pourrait permettre à une application malveillante locale d'accéder à certains types de sockets peu courants, ce qui pourrait conduire à l'exécution de code arbitraire dans le contexte du noyau. Ce problème est classé comme modéré car il pourrait permettre de contourner les mesures de sécurité en place afin d'augmenter la difficulté pour les attaquants d'exploiter la plateforme.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3762 A-28612709 Modéré Tous les Nexus 5.0.2, 5.1.1, 6.0, 6.0.1 21 avril 2016

Vulnérabilité de divulgation d'informations dans Proxy Auto-Config

Une vulnérabilité de divulgation d'informations dans le composant Proxy Auto-Config pourrait permettre à une application d'accéder à des informations sensibles. Ce problème est classé modéré car il pourrait être utilisé pour accéder aux données sans autorisation.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3763 A-27593919 Modéré Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 10 mars 2016

Vulnérabilité de divulgation d'informations dans Mediaserver

Une vulnérabilité de divulgation d'informations dans Mediaserver pourrait permettre à une application malveillante locale d'accéder à des informations sensibles. Ce problème est classé comme modéré car il pourrait être utilisé pour accéder aux données sans autorisation.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3764 A-28377502 Modéré Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 25 avril 2016
CVE-2016-3765 A-28168413 Modéré Tous les Nexus 6.0, 6.0.1 8 avril 2016

Vulnérabilité de déni de service dans Mediaserver

Une vulnérabilité de déni de service dans Mediaserver pourrait permettre à un attaquant d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme modéré en raison de la possibilité d’un déni de service à distance.

CVE Les références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date de rapport
CVE-2016-3766 A-28471206 [ 2 ] Modéré Tous les Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 29 avril 2016

Niveau du correctif de sécurité du 05/07/2016 : détails de la vulnérabilité

Dans les sections ci-dessous, nous fournissons des détails sur chacune des vulnérabilités de sécurité qui s'appliquent au niveau de correctif 2016-07-05. Il existe une description du problème, une justification de la gravité et un tableau avec le CVE, les références associées, la gravité, les appareils Nexus mis à jour, les versions AOSP mises à jour (le cas échéant) et la date signalée. Lorsqu'elle sera disponible, nous lierons la modification publique qui a résolu le problème à l'ID de bogue, comme la liste des modifications AOSP. Lorsque plusieurs modifications concernent un seul bug, des références supplémentaires sont liées aux numéros suivant l'ID du bug.

Vulnérabilité d'élévation de privilèges dans le pilote GPU Qualcomm

Une vulnérabilité d'élévation de privilèges dans le pilote GPU Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente du périphérique, ce qui peut nécessiter un reflasher du système d'exploitation pour réparer le périphérique.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-2503 A-28084795* QC-CR1006067 Critique Nexus 5X, Nexus 6P 5 avril 2016
CVE-2016-2067 A-28305757 QC-CR988993 Critique Nexus 5X, Nexus 6, Nexus 6P 20 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote Wi-Fi MediaTek

Une vulnérabilité d'élévation de privilèges dans le pilote Wi-Fi MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente du périphérique, ce qui peut nécessiter un reflasher du système d'exploitation pour réparer le périphérique.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3767 A-28169363*
M-ALPS02689526
Critique Android Un 6 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le composant de performances Qualcomm

Une vulnérabilité d'élévation de privilèges dans le composant de performances Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme étant de gravité critique en raison de la possibilité d'une compromission locale permanente du périphérique, ce qui peut nécessiter un reflasher du système d'exploitation pour réparer le périphérique.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3768 A-28172137* QC-CR1010644 Critique Nexus 5, Nexus 6, Nexus 5X, Nexus 6P, Nexus 7 (2013) 9 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote vidéo NVIDIA

Une vulnérabilité d'élévation de privilèges dans le pilote vidéo NVIDIA pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente du périphérique, ce qui peut nécessiter un reflasher du système d'exploitation pour réparer le périphérique.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3769 A-28376656*
N-CVE20163769
Critique Nexus 9 18 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans les pilotes MediaTek (spécifique à l'appareil)

Une vulnérabilité d'élévation de privilèges dans plusieurs pilotes MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente du périphérique, ce qui peut nécessiter un reflasher du système d'exploitation pour réparer le périphérique.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3770 A-28346752*
M-ALPS02703102
Critique Android Un 22 avril 2016
CVE-2016-3771 A-29007611*
M-ALPS02703102
Critique Android Un 22 avril 2016
CVE-2016-3772 A-29008188*
M-ALPS02703102
Critique Android Un 22 avril 2016
CVE-2016-3773 A-29008363*
M-ALPS02703102
Critique Android Un 22 avril 2016
CVE-2016-3774 A-29008609*
M-ALPS02703102
Critique Android Un 22 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le système de fichiers du noyau

Une vulnérabilité d'élévation de privilèges dans le système de fichiers du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente du périphérique, ce qui peut nécessiter un reflasher du système d'exploitation pour réparer le périphérique.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3775 A-28588279* Critique Nexus 5X, Nexus 6, Nexus 6P et Nexus Player, Pixel C 4 mai 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote USB

Une vulnérabilité d'élévation de privilèges dans le pilote USB pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme étant de gravité critique en raison de la possibilité d'une compromission locale permanente du périphérique, ce qui peut nécessiter un reflasher du système d'exploitation pour réparer le périphérique.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2015-8816 A-28712303* Critique Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Nexus Player, Pixel C 4 mai 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans les composants Qualcomm

Le tableau ci-dessous contient les vulnérabilités de sécurité affectant les composants Qualcomm, notamment le chargeur de démarrage, le pilote de l'appareil photo, le pilote de personnage, la mise en réseau, le pilote audio et le pilote vidéo.

Le plus grave de ces problèmes est classé comme critique en raison de la possibilité d'exécution de code arbitraire conduisant à la possibilité d'une compromission locale permanente du périphérique, ce qui peut nécessiter un reflasher du système d'exploitation pour réparer le périphérique.

CVE Les références Gravité* Appareils Nexus mis à jour Date de rapport
CVE-2014-9795 A-28820720
QC-CR681957 [ 2 ]
Critique Nexus 5 8 août 2014
CVE-2014-9794 A-28821172
QC-CR646385
Critique Nexus 7 (2013) 8 août 2014
CVE-2015-8892 A-28822807
QC-CR902998
Critique Nexus 5X, Nexus 6P 30 décembre 2015
CVE-2014-9781 A-28410333
QC-CR556471
Haut Nexus 7 (2013) 6 février 2014
CVE-2014-9786 A-28557260
QC-CR545979
Haut Nexus 5, Nexus 7 (2013) 13 mars 2014
CVE-2014-9788 A-28573112
QC-CR548872
Haut Nexus 5 13 mars 2014
CVE-2014-9779 A-28598347
QC-CR548679
Haut Nexus 5 13 mars 2014
CVE-2014-9780 A-28602014
QC-CR542222
Haut Nexus 5, Nexus 5X, Nexus 6P 13 mars 2014
CVE-2014-9789 A-28749392
QC-CR556425
Haut Nexus 5 13 mars 2014
CVE-2014-9793 A-28821253
QC-CR580567
Haut Nexus 7 (2013) 13 mars 2014
CVE-2014-9782 A-28431531
QC-CR511349
Haut Nexus 5, Nexus 7 (2013) 31 mars 2014
CVE-2014-9783 A-28441831
QC-CR511382 [ 2 ]
Haut Nexus 7 (2013) 31 mars 2014
CVE-2014-9785 A-28469042
QC-CR545747
Haut Nexus 7 (2013) 31 mars 2014
CVE-2014-9787 A-28571496
QC-CR545764
Haut Nexus 7 (2013) 31 mars 2014
CVE-2014-9784 A-28442449
QC-CR585147
Haut Nexus 5, Nexus 7 (2013) 30 avril 2014
CVE-2014-9777 A-28598501
QC-CR563654
Haut Nexus 5, Nexus 7 (2013) 30 avril 2014
CVE-2014-9778 A-28598515
QC-CR563694
Haut Nexus 5, Nexus 7 (2013) 30 avril 2014
CVE-2014-9790 A-28769136
QC-CR545716 [ 2 ]
Haut Nexus 5, Nexus 7 (2013) 30 avril 2014
CVE-2014-9792 A-28769399
QC-CR550606
Haut Nexus 5 30 avril 2014
CVE-2014-9797 A-28821090
QC-CR674071
Haut Nexus 5 3 juillet 2014
CVE-2014-9791 A-28803396
QC-CR659364
Haut Nexus 7 (2013) 29 août 2014
CVE-2014-9796 A-28820722
QC-CR684756
Haut Nexus 5, Nexus 7 (2013) 30 septembre 2014
CVE-2014-9800 A-28822150
QC-CR692478
Haut Nexus 5, Nexus 7 (2013) 31 octobre 2014
CVE-2014-9799 A-28821731
QC-CR691916
Haut Nexus 5, Nexus 7 (2013) 31 octobre 2014
CVE-2014-9801 A-28822060
QC-CR705078
Haut Nexus 5 28 novembre 2014
CVE-2014-9802 A-28821965
QC-CR705108
Haut Nexus 5, Nexus 7 (2013) 31 décembre 2014
CVE-2015-8891 A-28842418
QC-CR813930
Haut Nexus 5, Nexus 7 (2013) 29 mai 2015
CVE-2015-8888 A-28822465
QC-CR813933
Haut Nexus 5 30 juin 2015
CVE-2015-8889 A-28822677
QC-CR804067
Haut Nexus 6P 30 juin 2015
CVE-2015-8890 A-28822878
QC-CR823461
Haut Nexus 5, Nexus 7 (2013) 19 août 2015

* L'indice de gravité de ces problèmes est fourni directement par Qualcomm.

Vulnérabilité d'élévation de privilèges dans le pilote USB Qualcomm

Une vulnérabilité d'élévation de privilèges dans le pilote USB Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-2502 A-27657963 QC-CR997044 Haut Nexus 5X, Nexus 6P 11 mars 2016

Vulnérabilité d'élévation de privilèges dans le pilote Wi-Fi Qualcomm

Une vulnérabilité d'élévation de privilèges dans le pilote Wi-Fi Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3792 A-27725204 QC-CR561022 Haut Nexus 7 (2013) 17 mars 2016

Vulnérabilité d'élévation de privilèges dans le pilote de caméra Qualcomm

Une vulnérabilité d'élévation de privilèges dans le pilote de caméra Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-2501 A-27890772* QC-CR1001092 Haut Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013) 27 mars 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote de caméra NVIDIA

Une vulnérabilité d'élévation de privilèges dans le pilote de caméra NVIDIA pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3793 A-28026625*
N-CVE20163793
Haut Nexus 9 5 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote d'alimentation MediaTek

Une élévation de privilèges dans le pilote d'alimentation MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3795 A-28085222*
M-ALPS02677244
Haut Android Un 7 avril 2016
CVE-2016-3796 A-29008443*
M-ALPS02677244
Haut Android Un 7 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote Wi-Fi Qualcomm

Une vulnérabilité d'élévation de privilèges dans le pilote Wi-Fi Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3797 A-28085680* QC-CR1001450 Haut Nexus 5X 7 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote du capteur matériel MediaTek

Une vulnérabilité d'élévation de privilèges dans le pilote du capteur matériel MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3798 A-28174490*
M-ALPS02703105
Haut Android Un 11 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote vidéo MediaTek

Une vulnérabilité d'élévation de privilèges dans le pilote vidéo MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3799 A-28175025*
M-ALPS02693738
Haut Android Un 11 avril 2016
CVE-2016-3800 A-28175027*
M-ALPS02693739
Haut Android Un 11 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote GPS MediaTek

Une vulnérabilité d'élévation de privilèges dans le pilote GPS MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3801 A-28174914*
M-ALPS02688853
Haut Android Un 11 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le système de fichiers du noyau

Une vulnérabilité d'élévation de privilèges dans le système de fichiers du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3802 A-28271368* Haut Nexus 9 19 avril 2016
CVE-2016-3803 A-28588434* Haut Nexus 5X, Nexus 6P 4 mai 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote de gestion de l'alimentation MediaTek

Une élévation de privilèges dans le pilote de gestion de l'alimentation MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3804 A-28332766*
M-ALPS02694410
Haut Android Un 20 avril 2016
CVE-2016-3805 A-28333002*
M-ALPS02694412
Haut Android Un 21 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote d'affichage MediaTek

Une vulnérabilité d'élévation de privilèges dans le pilote d'affichage MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3806 A-28402341*
M-ALPS02715341
Haut Android Un 26 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote d'interface périphérique série

Une vulnérabilité d'élévation de privilèges dans le pilote d'interface périphérique série pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3807 A-28402196* Haut Nexus 5X, Nexus 6P 26 avril 2016
CVE-2016-3808 A-28430009* Haut Pixel C 26 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote audio Qualcomm

Une vulnérabilité d'élévation de privilèges dans le pilote audio Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme étant de gravité élevée car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-2068 A-28470967 QC-CR1006609 Haut Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 28 avril 2016

Vulnérabilité d'élévation de privilèges dans le noyau

Une vulnérabilité d'élévation de privilèges dans le noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2014-9803 A-28557020
Noyau en amont
Haut Nexus 5X, Nexus 6P Google interne

Vulnérabilité de divulgation d'informations dans un composant réseau

Une vulnérabilité de divulgation d'informations dans le composant réseau pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme élevé car il pourrait être utilisé pour accéder à des données sensibles sans autorisation explicite de l'utilisateur.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3809 A-27532522* Haut Tous les Nexus 5 mars 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité de divulgation d'informations dans le pilote Wi-Fi MediaTek

Une vulnérabilité de divulgation d'informations dans le pilote Wi-Fi MediaTek pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme élevé car il pourrait être utilisé pour accéder à des données sensibles sans autorisation explicite de l'utilisateur.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3810 A-28175522*
M-ALPS02694389
Haut Android Un 12 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité d'élévation de privilèges dans le pilote vidéo du noyau

Une vulnérabilité d'élévation de privilèges dans le pilote vidéo du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme modéré car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3811 A-28447556* Modéré Nexus 9 Google interne

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité de divulgation d'informations dans le pilote du codec vidéo MediaTek

Une vulnérabilité de divulgation d'informations dans le pilote du codec vidéo MediaTek pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3812 A-28174833*
M-ALPS02688832
Modéré Android Un 11 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité de divulgation d'informations dans le pilote USB Qualcomm

Une vulnérabilité de divulgation d'informations dans le pilote USB Qualcomm pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3813 A-28172322* QC-CR1010222 Modéré Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 11 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité de divulgation d'informations dans le pilote de caméra NVIDIA

Une vulnérabilité de divulgation d'informations dans le pilote de la caméra NVIDIA pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3814 A-28193342*
N-CVE20163814
Modéré Nexus 9 14 avril 2016
CVE-2016-3815 A-28522274*
N-CVE20163815
Modéré Nexus 9 1er mai 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité de divulgation d'informations dans le pilote d'affichage MediaTek

Une vulnérabilité de divulgation d'informations dans le pilote d'affichage MediaTek pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-3816 A-28402240* Modéré Android Un 26 avril 2016

* Le correctif pour ce problème n'est pas disponible publiquement. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site des développeurs Google .

Vulnérabilité de divulgation d'informations dans le pilote de télétype du noyau

Une vulnérabilité de divulgation d'informations dans le pilote de télétype pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2016-0723 A-28409131
Noyau en amont
Modéré Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Nexus Player, Pixel C 26 avril 2016

Vulnérabilité de déni de service dans le chargeur de démarrage Qualcomm

Une vulnérabilité de déni de service dans le chargeur de démarrage Qualcomm pourrait permettre à une application malveillante locale de provoquer une compromission permanente du périphérique local, ce qui pourrait nécessiter un reflasher du système d'exploitation pour réparer le périphérique. Ce problème est classé comme modéré car il nécessite d’abord de compromettre un processus privilégié.

CVE Les références Gravité Appareils Nexus mis à jour Date de rapport
CVE-2014-9798 A-28821448 QC-CR681965 Modéré Nexus 5 31 octobre 2014
CVE-2015-8893 A-28822690 QC-CR822275 Modéré Nexus 5, Nexus 7 (2013) 19 août 2015

Questions et réponses courantes

Cette section répond aux questions courantes qui peuvent survenir après la lecture de ce bulletin.

1. Comment puis-je déterminer si mon appareil est mis à jour pour résoudre ces problèmes ?

Les niveaux de correctif de sécurité du 01/07/2016 ou version ultérieure résolvent tous les problèmes associés au niveau de chaîne du correctif de sécurité du 01/07/2016. Les niveaux de correctifs de sécurité du 05/07/2016 ou ultérieurs résolvent tous les problèmes associés au niveau de chaîne du correctif de sécurité du 05/07/2016. Reportez-vous au centre d'aide pour savoir comment vérifier le niveau du correctif de sécurité. Les fabricants d'appareils qui incluent ces mises à jour doivent définir le niveau de chaîne de correctif sur : [ro.build.version.security_patch]:[2016-07-01] ou [ro.build.version.security_patch]:[2016-07-05].

2. Pourquoi ce bulletin comporte-t-il deux chaînes de niveau de correctif de sécurité ?

Ce bulletin comporte deux niveaux de correctifs de sécurité afin de fournir aux partenaires Android la flexibilité d'agir plus rapidement pour corriger un sous-ensemble de vulnérabilités similaires sur tous les appareils Android. Les partenaires Android sont encouragés à résoudre tous les problèmes signalés dans ce bulletin et à utiliser la dernière chaîne de niveau de correctif de sécurité.

Les appareils qui utilisent le niveau de correctif de sécurité du 5 juillet 2016 ou plus récent doivent inclure tous les correctifs applicables dans ce bulletin de sécurité (et les précédents).

Les appareils qui utilisent le niveau de correctif de sécurité du 1er juillet 2016 doivent inclure tous les problèmes associés à ce niveau de correctif de sécurité, ainsi que les correctifs pour tous les problèmes signalés dans les bulletins de sécurité précédents. Les appareils qui utilisent le niveau de correctif de sécurité du 1er juillet 2016 peuvent également inclure un sous-ensemble de correctifs associés au niveau de correctif de sécurité du 5 juillet 2016.

3. Comment puis-je déterminer quels appareils Nexus sont concernés par chaque problème ?

Dans les sections détaillées des vulnérabilités de sécurité du 01/07/2016 et du 05/07/2016 , chaque tableau comporte une colonne Appareils Nexus mis à jour qui couvre la gamme d'appareils Nexus concernés mis à jour pour chaque problème. Cette colonne propose quelques options :

  • Tous les appareils Nexus : si un problème affecte tous les appareils Nexus, le tableau affichera « Tous les appareils Nexus » dans la colonne Appareils Nexus mis à jour . « Tous les Nexus » regroupe les appareils pris en charge suivants : Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player et Pixel C.
  • Certains appareils Nexus : si un problème n'affecte pas tous les appareils Nexus, les appareils Nexus concernés sont répertoriés dans la colonne Appareils Nexus mis à jour .
  • Aucun appareil Nexus : si aucun appareil Nexus n'est concerné par le problème, le tableau affichera « Aucun » dans la colonne Appareils Nexus mis à jour .

4. À quoi correspondent les entrées de la colonne des références ?

Les entrées sous la colonne Références du tableau des détails de la vulnérabilité peuvent contenir un préfixe identifiant l'organisation à laquelle appartient la valeur de référence. Ces préfixes correspondent comme suit :

Préfixe Référence
UN- ID de bogue Android
QC- Numéro de référence Qualcomm
M- Numéro de référence MediaTek
N- Numéro de référence NVIDIA

Révisions

  • 06 juillet 2016 : Bulletin publié.
  • 07 juillet 2016 :
    • Ajout de liens AOSP.
    • CVE-2016-3794 supprimé car il s'agit d'un double de CVE-2016-3814
    • Attribution ajoutée pour CVE-2016-2501 et CVE-2016-2502
  • 11 juillet 2016 : attribution mise à jour pour CVE-2016-3750
  • 14 juillet 2016 : attribution mise à jour pour CVE-2016-2503
  • 1er avril 2019 : liens de correctifs mis à jour pour CVE-2016-3818