Бюллетень по безопасности Android — август 2016 г.

Опубликован 1 августа 2016 г. | Обновлен 21 октября 2016 г.

В этом бюллетене по безопасности содержится информация об уязвимостях в защите устройств Android. К его выходу мы выпустили беспроводное обновление системы безопасности для устройств Nexus и опубликовали образы встроенного ПО Nexus на сайте для разработчиков. Все актуальные проблемы, перечисленные здесь, устранены в исправлении от 5 августа 2016 года или более новом. Информацию о том, как проверить уровень исправления системы безопасности, можно найти в документации.

Мы сообщили партнерам об уязвимостях 6 июля 2016 года или ранее. По возможности исправления были опубликованы в хранилище Android Open Source Project (AOSP). В этом бюллетене также приведены ссылки на исправления вне AOSP.

Самая серьезная из проблем – критическая уязвимость, которая позволяет удаленно выполнять код на затрагиваемом устройстве во время обработки медиафайлов (например, при просмотре сайтов в интернете или работе с электронной почтой и MMS). Уровень серьезности зависит от того, какой ущерб потенциально может быть нанесен устройству, если средства защиты будут отключены в целях разработки или злоумышленнику удастся их обойти.

У нас нет информации об активном использовании обнаруженных уязвимостей. Сведения о том, как платформа безопасности Android и средства защиты сервисов, например SafetyNet, помогают снизить вероятность успешного применения уязвимостей Android, можно найти в разделе Предотвращение атак.

Мы рекомендуем всем пользователям установить перечисленные в бюллетене обновления.

Объявления

  • Уязвимость CVE-2016-3856 изменена на CVE-2016-2060.
  • Мы включили в этот бюллетень сведения о двух исправлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Дополнительную информацию вы найдете в разделе Часто задаваемые вопросы.
    • 2016-08-01: частичное исправление системы безопасности, в котором устранены все уязвимости уровня 2016-08-01 и более ранние.
    • 2016-08-05: полное исправление системы безопасности, в котором устранены все уязвимости уровней 2016-08-01 и 2016-08-05, а также более ранние.
  • На поддерживаемые устройства Nexus будет установлено единое беспроводное обновление системы безопасности от 5 августа 2016 года.

Предотвращение атак

Здесь описано, как платформа безопасности и средства защиты сервисов, например SafetyNet, позволяют снизить вероятность успешного применения уязвимостей Android.

  • В новых версиях Android сложнее использовать многие уязвимости, поэтому мы рекомендуем всем пользователям своевременно обновлять систему.
  • Команда, отвечающая за безопасность Android, с помощью Проверки приложений и SafetyNet активно отслеживает случаи злоупотребления. Эти инструменты предупреждают пользователей об установке потенциально опасных приложений. Проверка приложений включена по умолчанию на всех телефонах и планшетах, использующих сервисы Google для мобильных устройств. Она особенно важна для тех, кто устанавливает приложения не из Google Play. Хотя в Google Play инструменты для настройки root-доступа запрещены, они могут встречаться в других магазинах. Если пользователь решает установить такое приложение, Проверка предупреждает об этом. Кроме того, она пытается идентифицировать известное вредоносное ПО, использующее уязвимость для повышения привилегий, и блокировать его установку. Если подобное ПО уже есть на устройстве, система уведомит об этом пользователя и попытается удалить приложение.
  • Приложения Google Hangouts и Messenger не передают медиафайлы таким процессам, как mediaserver, автоматически.

Благодарности

Благодарим всех, кто помог обнаружить уязвимости:

  • Абхишек Арья, Оливер Чан и Мартин Барбелла из команды безопасности Google Chrome: CVE-2016-3821, CVE-2016-3837.
  • Адам Доненфелд и другие сотрудники Check Point Software Technologies Ltd.: CVE-2016-2504.
  • Чиачи У (@chiachih_wu), Минцзянь Чжоу (@Mingjian_Zhou) и Сюйсянь Цзян из C0RE Team: CVE-2016-3844.
  • Чиачи У (@chiachih_wu), Юань-Цун Ло (computernik@gmail.com) и Сюйсянь Цзян из C0RE Team: CVE-2016-3857.
  • Дэвид Бенджамин и Кенни Рут из Google: CVE-2016-3840.
  • Давэй Пэн (Vinc3nt4H) из Alibaba Mobile Security Team: CVE-2016-3822.
  • Ди Шэнь (@returnsme) из KeenLab (@keen_lab), Tencent: CVE-2016-3842.
  • Диана Хэкборн из Google: CVE-2016-2497.
  • Дмитрий Вьюков из команды Google Dynamic Tools: CVE-2016-3841.
  • Гэнцзя Чэнь (@chengjia4574) и pjf (weibo.com/jfpan) из IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-3852.
  • Гуан Гун (龚广) (@oldfresher) из Alpha Team, Qihoo 360 Technology Co. Ltd.: CVE-2016-3834.
  • Кай Лу (@K3vinLuSec) из FortiGuard Labs, Fortinet: CVE-2016-3820.
  • Кандала Шиварам (редди), DS и Uppi: CVE-2016-3826.
  • Минцзянь Чжоу (@Mingjian_Zhou), Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-3823, CVE-2016-3835, CVE-2016-3824, CVE-2016-3825.
  • Нейтан Крэнделл (@natecray) из Tesla Motors Product Security Team: CVE-2016-3847, CVE-2016-3848.
  • Пэн Сяо, Чэнмин Ян, Нин Ю, Чао Ян и Ян Сун из Alibaba Mobile Security Group: CVE-2016-3845.
  • Питер Пи (@heisecode) из Trend Micro: CVE-2016-3849.
  • Цяньвэй Ху (rayxcp@gmail.com) из WooYun TangLab: CVE-2016-3846.
  • Цидань Хэ (@flanker_hqd) из KeenLab (@keen_lab), Tencent: CVE-2016-3832.
  • Шарвил Нанавати из Google: CVE-2016-3839.
  • Синдзё Парк (@ad_ili_rai) и Алтаф Шаик из Security in Telecommunications: CVE-2016-3831.
  • Том Rootjunky: CVE-2016-3853.
  • Василий Васильев: CVE-2016-3819.
  • Вэйчао Сунь (@sunblate) из Alibaba Inc.: CVE-2016-3827, CVE-2016-3828, CVE-2016-3829.
  • Виш У (吴潍浠) (@wish_wu) из Trend Micro Inc.: CVE-2016-3843.
  • Юнкэ Ван (@Rudykewang) из Xuanwu LAB, Tencent: CVE-2016-3836.

Благодарим Дэниела Микея из Copperhead Security, Джеффа Вандера Ступа и Ябиня Цуй из Google за вклад в разработку обновлений для платформы, которые защищают ее от класса уязвимостей, подобных CVE-2016-3843. Система защиты основана на разработках Брэда Шпенглера из Grsecurity.

Описание уязвимостей (исправление системы безопасности 2016-08-01)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2016-08-01: описание, обоснование серьезности, а также таблицу с CVE, ссылками, уровнем серьезности, уязвимыми устройствами Nexus, версиями AOSP (при наличии) и датой сообщения об ошибке. Где возможно, мы приведем основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Удаленное выполнение кода через mediaserver

Уязвимость позволяет злоумышленнику с помощью специально созданного файла нарушить целостность информации в памяти при обработке медиафайлов и данных. Проблеме присвоен критический уровень серьезности из-за возможности удаленного выполнения кода в контексте процесса mediaserver. У этого процесса есть доступ к аудио- и видеопотокам, а также права, которыми обычно не могут обладать сторонние приложения.

Уязвимая функция является основной составляющей ОС. Многие приложения позволяют контенту, особенно MMS-сообщениям и воспроизводимым в браузере медиафайлам, дистанционно обращаться к ней.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3819 A-28533562 Критический Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 2 мая 2016 г.
CVE-2016-3820 A-28673410 Критический Все устройства 6.0, 6.0.1 6 мая 2016 г.
CVE-2016-3821 A-28166152 Критический Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Доступно только сотрудникам Google

Удаленное выполнение кода через libjhead

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте непривилегированного процесса с помощью специально созданного файла. Проблеме присвоен высокий уровень серьезности из-за возможности удаленного выполнения кода в ПО, которое использует эту библиотеку.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3822 A-28868315 Высокий Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Доступно только сотрудникам Google

Повышение привилегий через mediaserver

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку из-за нее можно получить разрешения, недоступные сторонним приложениям.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3823 A-28815329 Высокий Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 17 мая 2016 г.
CVE-2016-3824 A-28816827 Высокий Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 17 мая 2016 г.
CVE-2016-3825 A-28816964 Высокий Все устройства 5.0.2, 5.1.1, 6.0, 6.0.1 17 мая 2016 г.
CVE-2016-3826 A-29251553 Высокий Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 9 июня 2016 г.

Отказ в обслуживании в mediaserver

Уязвимость позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства с помощью специально созданного файла. Проблеме присвоен высокий уровень серьезности, поскольку благодаря ей можно удаленно и временно нарушить работу устройства, совершив атаку типа "отказ в обслуживании".

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3827 A-28816956 Высокий Все устройства 6.0.1 16 мая 2016 г.
CVE-2016-3828 A-28835995 Высокий Все устройства 6.0, 6.0.1 17 мая 2016 г.
CVE-2016-3829 A-29023649 Высокий Все устройства 6.0, 6.0.1 27 мая 2016 г.
CVE-2016-3830 A-29153599 Высокий Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Доступно только сотрудникам Google

Отказ в обслуживании в системных часах

Уязвимость позволяет злоумышленнику вызвать сбой в работе устройства. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к временному отказу в обслуживании.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3831 A-29083635 Высокий Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 31 мая 2016 г.

Повышение привилегий через Framework API

Уязвимость позволяет локальному вредоносному ПО обходить защиту ОС, обеспечивающую раздельное хранение данных приложений. Проблеме присвоен средний уровень серьезности, поскольку с ее помощью можно получить несанкционированный доступ к данным.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3832 A-28795098 Средний Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 15 мая 2016 г.

Повышение привилегий через оболочку

Уязвимость позволяет локальному вредоносному ПО обходить ограничения устройства (например, для пользователей). Из-за этого проблеме присвоен средний уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3833 A-29189712 [2] Средний Все устройства 5.0.2, 5.1.1, 6.0, 6.0.1 Доступно только сотрудникам Google

Раскрытие информации через OpenSSL

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен средний уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-2842 A-29060514 Нет* Все устройства 4.4.4, 5.0.2, 5.1.1 29 марта 2016 г.

*Эта уязвимость не затрагивает поддерживаемые устройства Nexus, на которых установлены все доступные обновления.

Раскрытие информации через API камеры

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к структурам данных. Из-за этого проблеме присвоен средний уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3834 A-28466701 Средний Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 28 апреля 2016 г.

Раскрытие информации через mediaserver

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к конфиденциальным данным. Из-за этого проблеме присвоен средний уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3835 A-28920116 Средний Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 23 мая 2016 г.

Раскрытие информации через SurfaceFlinger

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к конфиденциальным данным. Из-за этого проблеме присвоен средний уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3836 A-28592402 Средний Все устройства 5.0.2, 5.1.1, 6.0, 6.0.1 4 мая 2016 г.

Раскрытие информации через Wi-Fi

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к конфиденциальным данным. Из-за этого проблеме присвоен средний уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3837 A-28164077 Средний Все устройства 5.0.2, 5.1.1, 6.0, 6.0.1 Доступно только сотрудникам Google

Отказ в обслуживании в интерфейсе системы

Уязвимость позволяет локальному вредоносному ПО отключать функцию вызова экстренной службы по номеру 911 с заблокированного экрана. Проблеме присвоен средний уровень серьезности, поскольку она приводит к отказу в обслуживании для одной из важнейших функций.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3838 A-28761672 Средний Все устройства 6.0, 6.0.1 Доступно только сотрудникам Google

Отказ в обслуживании в Bluetooth

Уязвимость позволяет локальному вредоносному ПО отключать функцию вызова экстренной службы по номеру 911 с устройства Bluetooth. Проблеме присвоен средний уровень серьезности, поскольку она приводит к отказу в обслуживании для одной из важнейших функций.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3839 A-28885210 Средний Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Доступно только сотрудникам Google

Описание уязвимостей (исправление системы безопасности 2016-08-05)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2016-08-05: описание, обоснование серьезности, а также таблицу с CVE, ссылками, уровнем серьезности, уязвимыми устройствами Nexus, версиями AOSP (при наличии) и датой сообщения о проблеме. Где возможно, мы приведем основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Удаленное выполнение кода через Wi-Fi-драйвер Qualcomm

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте ядра. Проблеме присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2014-9902 A-28668638

QC-CR#553937
QC-CR#553941

Критический Nexus 7 (2013) 31 марта 2014 г.

Удаленное выполнение кода через Conscrypt

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса. Из-за этого проблеме присвоен высокий уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3840 A-28751153 Критический Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Доступно только сотрудникам Google

Повышение привилегий через компоненты Qualcomm

В таблице ниже перечислены уязвимости системы безопасности, затрагивающие компоненты Qualcomm, в том числе загрузчик, драйвер камеры, символьный драйвер, сеть, аудиодрайвер и видеодрайвер.

Наиболее важным проблемам присвоен критический уровень серьезности, поскольку из-за них нарушается работа системы безопасности. Возможно, для устранения такой проблемы потребуется переустановить ОС.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2014-9863 A-28768146

QC-CR#549470

Критический Nexus 5, Nexus 7 (2013) 30 апреля 2014 г.
CVE-2014-9864 A-28747998

QC-CR#561841

Высокий Nexus 5, Nexus 7 (2013) 27 марта 2014 г.
CVE-2014-9865 A-28748271

QC-CR#550013

Высокий Nexus 5, Nexus 7 (2013) 27 марта 2014 г.
CVE-2014-9866 A-28747684

QC-CR#511358

Высокий Nexus 5, Nexus 7 (2013) 31 марта 2014 г.
CVE-2014-9867 A-28749629

QC-CR#514702

Высокий Nexus 5, Nexus 7 (2013) 31 марта 2014 г.
CVE-2014-9868 A-28749721

QC-CR#511976

Высокий Nexus 5, Nexus 7 (2013) 31 марта 2014 г.
CVE-2014-9869 A-28749728

QC-CR#514711 [2]

Высокий Nexus 5, Nexus 7 (2013) 31 марта 2014 г.
CVE-2014-9870 A-28749743

QC-CR#561044

Высокий Nexus 5, Nexus 7 (2013) 31 марта 2014 г.
CVE-2014-9871 A-28749803

QC-CR#514717

Высокий Nexus 5, Nexus 7 (2013) 31 марта 2014 г.
CVE-2014-9872 A-28750155

QC-CR#590721

Высокий Nexus 5 31 марта 2014 г.
CVE-2014-9873 A-28750726

QC-CR#556860

Высокий Nexus 5, Nexus 7 (2013) 31 марта 2014 г.
CVE-2014-9874 A-28751152

QC-CR#563086

Высокий Nexus 5, Nexus 5X, Nexus 6P, Nexus 7 (2013) 31 марта 2014 г.
CVE-2014-9875 A-28767589

QC-CR#483310

Высокий Nexus 7 (2013) 30 апреля 2014 г.
CVE-2014-9876 A-28767796

QC-CR#483408

Высокий Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013) 30 апреля 2014 г.
CVE-2014-9877 A-28768281

QC-CR#547231

Высокий Nexus 5, Nexus 7 (2013) 30 апреля 2014 г.
CVE-2014-9878 A-28769208

QC-CR#547479

Высокий Nexus 5 30 апреля 2014 г.
CVE-2014-9879 A-28769221

QC-CR#524490

Высокий Nexus 5 30 апреля 2014 г.
CVE-2014-9880 A-28769352

QC-CR#556356

Высокий Nexus 7 (2013) 30 апреля 2014 г.
CVE-2014-9881 A-28769368

QC-CR#539008

Высокий Nexus 7 (2013) 30 апреля 2014 г.
CVE-2014-9882 A-28769546

QC-CR#552329 [2]

Высокий Nexus 7 (2013) 30 апреля 2014 г.
CVE-2014-9883 A-28769912

QC-CR#565160

Высокий Nexus 5, Nexus 7 (2013) 30 апреля 2014 г.
CVE-2014-9884 A-28769920

QC-CR#580740

Высокий Nexus 5, Nexus 7 (2013) 30 апреля 2014 г.
CVE-2014-9885 A-28769959

QC-CR#562261

Высокий Nexus 5 30 апреля 2014 г.
CVE-2014-9886 A-28815575

QC-CR#555030

Высокий Nexus 5, Nexus 7 (2013) 30 апреля 2014 г.
CVE-2014-9887 A-28804057

QC-CR#636633

Высокий Nexus 5, Nexus 7 (2013) 3 июля 2014 г.
CVE-2014-9888 A-28803642

QC-CR#642735

Высокий Nexus 5, Nexus 7 (2013) 29 августа 2014 г.
CVE-2014-9889 A-28803645

QC-CR#674712

Высокий Nexus 5 31 октября 2014 г.
CVE-2015-8937 A-28803962

QC-CR#770548

Высокий Nexus 5, Nexus 6, Nexus 7 (2013) 31 марта 2015 г.
CVE-2015-8938 A-28804030

QC-CR#766022

Высокий Nexus 6 31 марта 2015 г.
CVE-2015-8939 A-28398884

QC-CR#779021

Высокий Nexus 7 (2013) 30 апреля 2015 г.
CVE-2015-8940 A-28813987

QC-CR#792367

Высокий Nexus 6 30 апреля 2015 г.
CVE-2015-8941 A-28814502

QC-CR#792473

Высокий Nexus 6, Nexus 7 (2013) 29 мая 2015 г.
CVE-2015-8942 A-28814652

QC-CR#803246

Высокий Nexus 6 30 июня 2015 г.
CVE-2015-8943 A-28815158

QC-CR#794217

QC-CR#836226

Высокий Nexus 5 11 сентября 2015 г.
CVE-2014-9891 A-28749283

QC-CR#550061

Средний Nexus 5 13 марта 2014 г.
CVE-2014-9890 A-28770207

QC-CR#529177

Средний Nexus 5, Nexus 7 (2013) 2 июня 2014 г.

Повышение привилегий через сетевой компонент ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2015-2686 A-28759139

Upstream kernel

Критический Все устройства 23 марта 2015 г.
CVE-2016-3841 A-28746669

Upstream kernel

Критический Все устройства 3 декабря 2015 г.

Повышение привилегий через драйвер Qualcomm для графического процессора

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-2504 A-28026365

QC-CR#1002974

Критический Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013) 5 апреля 2016 г.
CVE-2016-3842 A-28377352

QC-CR#1002974

Критический Nexus 5X, Nexus 6, Nexus 6P 25 апреля 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через компонент производительности Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

Примечание. В этот бюллетень включено обновление на уровне платформы A-29119870, предназначенное для защиты от уязвимостей этого класса.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-3843 A-28086229*

QC-CR#1011071

Критический Nexus 5X, Nexus 6P 7 апреля 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через ядро

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-3857 A-28522518* Критический Nexus 7 (2013) 2 мая 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через систему памяти ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2015-1593 A-29577822

Upstream kernel

Высокий Nexus Player 13 февраля 2015 г.
CVE-2016-3672 A-28763575

Upstream kernel

Высокий Nexus Player 25 марта 2016 г.

Повышение привилегий через звуковой компонент ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-2544 A-28695438

Upstream kernel

Высокий Все устройства 19 января 2016 г.
CVE-2016-2546 A-28694392

Upstream kernel

Высокий Pixel C 19 января 2016 г.
CVE-2014-9904 A-28592007

Upstream kernel

Высокий Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player 4 мая 2016 г.

Повышение привилегий через файловую систему ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2012-6701 A-28939037

Upstream kernel

Высокий Nexus 5, Nexus 7 (2013) 2 марта 2016 г.

Повышение привилегий через mediaserver

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку из-за нее можно получить разрешения, недоступные сторонним приложениям.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-3844 A-28299517*

N-CVE-2016-3844

Высокий Nexus 9, Pixel C 19 апреля 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через видеодрайвер ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-3845 A-28399876* Высокий Nexus 5 20 апреля 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через драйвер SPI

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-3846 A-28817378* Высокий Nexus 5X, Nexus 6P 17 мая 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через медиадрайвер NVIDIA

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-3847 A-28871433*

N-CVE-2016-3847

Высокий Nexus 9 19 мая 2016 г.
CVE-2016-3848 A-28919417*

N-CVE-2016-3848

Высокий Nexus 9 19 мая 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через драйвер ION

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-3849 A-28939740 Высокий Pixel C 24 мая 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через загрузчик Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-3850 A-27917291

QC-CR#945164

Высокий Nexus 5, Nexus 5X, Nexus 6P, Nexus 7 (2013) 28 марта 2016 г.

Повышение привилегий через подсистему производительности ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку она открывает злоумышленнику большую поверхность атаки.

Примечание. Это обновление на уровне платформы, предназначенное для защиты от класса уязвимостей, подобных CVE-2016-3843 (A-28086229).

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3843 A-29119870* Высокий Все устройства 6.0, 6.1 Доступно только сотрудникам Google

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через загрузчик LG Electronics

Уязвимость позволяет вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-3851 A-29189941* Высокий Nexus 5X Доступно только сотрудникам Google

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Раскрытие информации через компоненты Qualcomm

В таблице ниже перечислены уязвимости системы безопасности, затрагивающие компоненты Qualcomm, в том числе, возможно, загрузчик, драйвер камеры, символьный драйвер, сеть, аудиодрайвер и видеодрайвер.

Наиболее важным проблемам присвоен высокий уровень серьезности, поскольку они позволяют локальному вредоносному приложению получать несанкционированный доступ к конфиденциальным данным.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2014-9892 A-28770164

QC-CR#568717

Высокий Nexus 5, Nexus 7 (2013) 2 июня 2014 г.
CVE-2015-8944 A-28814213

QC-CR#786116

Высокий Nexus 6, Nexus 7 (2013) 30 апреля 2015 г.
CVE-2014-9893 A-28747914

QC-CR#542223

Средний Nexus 5 27 марта 2014 г.
CVE-2014-9894 A-28749708

QC-CR#545736

Средний Nexus 7 (2013) 31 марта 2014 г.
CVE-2014-9895 A-28750150

QC-CR#570757

Средний Nexus 5, Nexus 7 (2013) 31 марта 2014 г.
CVE-2014-9896 A-28767593

QC-CR#551795

Средний Nexus 5, Nexus 7 (2013) 30 апреля 2014 г.
CVE-2014-9897 A-28769856

QC-CR#563752

Средний Nexus 5 30 апреля 2014 г.
CVE-2014-9898 A-28814690

QC-CR#554575

Средний Nexus 5, Nexus 7 (2013) 30 апреля 2014 г.
CVE-2014-9899 A-28803909

QC-CR#547910

Средний Nexus 5 3 июля 2014 г.
CVE-2014-9900 A-28803952

QC-CR#570754

Средний Nexus 5, Nexus 7 (2013) 8 августа 2014 г.

Раскрытие информации через планировщик ядра

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к конфиденциальным данным. Из-за этого проблеме присвоен высокий уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2014-9903 A-28731691

Upstream kernel

Высокий Nexus 5X, Nexus 6P 21 февраля 2014 г.

Раскрытие информации через Wi-Fi-драйвер MediaTek (только на некоторых устройствах)

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к конфиденциальным данным. Из-за этого проблеме присвоен высокий уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-3852 A-29141147*

M-ALPS02751738

Высокий Android One 12 апреля 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Раскрытие информации через USB-драйвер

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к конфиденциальным данным. Из-за этого проблеме присвоен высокий уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-4482 A-28619695

Upstream kernel

Высокий Все устройства 3 мая 2016 г.

Отказ в обслуживании в компонентах Qualcomm

В таблице ниже перечислены уязвимости системы безопасности, затрагивающие компоненты Qualcomm, в том числе, возможно, Wi-Fi-драйвер.

Наиболее важной проблеме присвоен высокий уровень серьезности, поскольку она позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2014-9901 A-28670333

QC-CR#548711

Высокий Nexus 7 (2013) 31 марта 2014 г.

Повышение привилегий через сервисы Google Play

Уязвимость позволяет злоумышленнику, в руки которого попало устройство, получить доступ к настройкам и выполнить их сброс. Проблеме присвоен средний уровень серьезности, поскольку из-за нее можно обойти защиту от сброса.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-3853 A-26803208* Средний Все устройства Нет 4 мая 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через Framework API

Уязвимость позволяет предустановленному ПО при обновлении повысить приоритет фильтра намерений, не сообщая об этом пользователю. Проблеме присвоен средний уровень серьезности, поскольку из-за нее можно получить дополнительные разрешения на устройстве без явного согласия владельца.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-2497 A-27450489 Средний Все устройства 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Доступно только сотрудникам Google

Раскрытие информации через сетевой компонент ядра

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-4486 A-28620102

Upstream kernel

Средний Все устройства 3 мая 2016 г.

Раскрытие информации через звуковой компонент ядра

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-4569 A-28980557

Upstream kernel

Средний Все устройства 9 мая 2016 г.
CVE-2016-4578 A-28980217

Upstream kernel [2]

Средний Все устройства 11 мая 2016 г.

Уязвимости в компонентах Qualcomm

В таблице ниже перечислены уязвимости системы безопасности, затрагивающие компоненты Qualcomm, в том числе, возможно, загрузчик, драйвер камеры, символьный драйвер, сеть, аудиодрайвер и видеодрайвер.

CVE Ссылки Уровень серьезности Обновленные устройства Nexus Дата сообщения об ошибке
CVE-2016-3854 QC-CR#897326 Высокий Нет Февраль 2016 г.
CVE-2016-3855 QC-CR#990824 Высокий Нет Май 2016 г.
CVE-2016-2060 QC-CR#959631 Средний Нет Апрель 2016 г.

Часто задаваемые вопросы

В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.

1. Как определить, установлено ли на устройство обновление, в котором устранены перечисленные проблемы?

В исправлении 2016-08-01 и более новых устранены все проблемы, соответствующие исправлению системы безопасности 2016-08-01. В исправлении 2016-08-05 и более новых устранены все проблемы, соответствующие исправлению системы безопасности 2016-08-05. Информацию о том, как проверить уровень исправления системы безопасности, можно найти в Справочном центре. Производители устройств, позволяющие установить эти обновления, должны присвоить им уровень [ro.build.version.security_patch]:[2016-08-01] или [ro.build.version.security_patch]:[2016-08-05].

2. Почему в этом бюллетене говорится о двух исправлениях системы безопасности?

Мы включили в этот бюллетень сведения о двух исправлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Рекомендуем партнерам Android исправить все вышеперечисленные проблемы и установить последнее обновление системы безопасности.

На устройствах с установленным исправлением от 5 августа 2016 года или более новым должны быть решены все проблемы, описанные в этом бюллетене и предыдущих выпусках.

На устройствах с установленным исправлением от 1 августа 2016 года должны быть устранены все охваченные им проблемы, а также уязвимости, упомянутые в предыдущих выпусках бюллетеня. Кроме того, на таких устройствах могут быть устранены некоторые уязвимости из исправления от 5 августа 2016 года.

3. Как определить, на каких устройствах Nexus присутствует уязвимость?

В каждой таблице разделов с описанием уязвимостей 2016-08-01 и 2016-08-05 есть столбец "Обновленные устройства Nexus". В нем указано, на каких устройствах присутствует уязвимость.

  • Все устройства. Проблема возникает на следующих поддерживаемых устройствах : Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player и Pixel C.
  • Некоторые устройства. Перечислены устройства, на которых присутствует уязвимость.
  • Нет. Проблема не возникает ни на одном устройстве Nexus.

4. На что указывают записи в столбце "Ссылки"?

В таблицах с описанием уязвимостей есть столбец Ссылки. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:

Префикс Значение
A- Идентификатор ошибки Android
QC- Ссылочный номер Qualcomm
M- Ссылочный номер MediaTek
N- Ссылочный номер NVIDIA

Версии

  • 1 августа 2016 года. Бюллетень опубликован.
  • 2 августа 2016 года. Добавлены ссылки на AOSP.
  • 16 августа 2016 года. Идентификатор CVE-2016-3856 изменен на CVE-2016-2060 и обновлен URL ссылки.
  • 21 октября 2016 года. Исправлена опечатка в CVE-2016-4486.