Biuletyn bezpieczeństwa w Androidzie – sierpień 2016 r.

Zadbaj o dobrą organizację dzięki kolekcji Zapisuj i kategoryzuj treści zgodnie ze swoimi preferencjami.

Opublikowano 1 sierpnia 2016 r. | Zaktualizowano 21 października 2016 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Oprócz biuletynu udostępniliśmy aktualizację zabezpieczeń dla urządzeń Nexus za pomocą aktualizacji OTA. Obrazy oprogramowania Nexus zostały też opublikowane na stronie dla deweloperów Google. Te problemy zostały rozwiązane w poziomach aktualizacji zabezpieczeń z 5 sierpnia 2016 r. lub nowszych. Aby dowiedzieć się, jak sprawdzić poziom zabezpieczeń, zapoznaj się z dokumentacją.

Partnerzy zostali powiadomieni o problemach opisanych w biuletynie 6 lipca 2016 r. lub wcześniej. W stosownych przypadkach poprawki do kodu źródłowego zostały opublikowane w repozytorium Projektu Android Open Source (AOSP). Ta wiadomość zawiera też linki do poprawek spoza AOSP.

Najpoważniejszym z tych problemów jest krytyczne zagrożenie bezpieczeństwa, które może umożliwić zdalne wykonywanie kodu na urządzeniu docelowym za pomocą wielu metod, takich jak poczta e-mail, przeglądanie stron internetowych i MMS-y podczas przetwarzania plików multimedialnych. Ocena ważności jest oparta na potencjalnym wpływie wykorzystania luki w zabezpieczeniach na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programowania lub że zostały pomyślnie omijane.

Nie otrzymaliśmy żadnych zgłoszeń o aktywnej eksploatacji klientów ani o wykorzystaniu tych nowo zgłoszonych problemów. Więcej informacji o środkach zapobiegania atakom na Androida i usługi Google znajdziesz w sekcji dotyczącej zabezpieczeń platformy bezpieczeństwa Androida oraz usług zabezpieczających, takich jak SafetyNet, które zwiększają bezpieczeństwo platformy Android.

Zachęcamy wszystkich klientów do akceptowania tych aktualizacji na swoich urządzeniach.

Ogłoszenia

• W biuletynie poprawiono CVE-2016-3856 na CVE-2016-2060.
• W tym komunikacie znajdują się 2 ciągi znaków dotyczącego poziomu poprawek zabezpieczeń, aby umożliwić partnerom Androida szybsze usuwanie określonych luk w zabezpieczeniach, które występują na wszystkich urządzeniach z Androidem. Aby uzyskać więcej informacji, zapoznaj się z artykułem Najczęstsze pytania i ich odpowiedzi:
  • 2016-08-01: częściowy ciąg znaków poziomu aktualizacji zabezpieczeń. Ten ciąg znaków poziomu poprawki zabezpieczeń wskazuje, że wszystkie problemy związane z 2016-08-01 (i wszystkimi poprzednimi ciągami znaków poziomu poprawki zabezpieczeń) zostały rozwiązane.
  • 2016-08-05: kompletny ciąg znaków poziomu aktualizacji zabezpieczeń. Ten ciąg znaków poziomu poprawek zabezpieczeń wskazuje, że wszystkie problemy związane z 2016-08-01 i 2016-08-05 (oraz wszystkie poprzednie ciągi znaków poziomu poprawek zabezpieczeń) zostały rozwiązane.
• Obsługiwane urządzenia Nexus otrzymają jedną aktualizację OTA z poziomem poprawki zabezpieczeń z 5 sierpnia 2016 r.

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie metod ograniczania zagrożeń oferowanych przez platformę bezpieczeństwa Androida oraz usługi zabezpieczające, takie jak SafetyNet. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach zostaną wykorzystane na Androidzie.

• Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, o ile to możliwe.
• Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą Verify Apps i SafetyNet, które mają ostrzegać użytkowników o potencjalnie szkodliwych aplikacjach. Weryfikacja aplikacji jest domyślnie włączona na urządzeniach z usługami mobilnymi Google i jest szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play. Narzędzia do rootowania urządzeń są zabronione w Google Play, ale aplikacja Verify Apps ostrzega użytkowników, gdy próbują oni zainstalować wykryte narzędzie do rootowania – niezależnie od tego, skąd pochodzi. Dodatkowo Weryfikacja aplikacji próbuje wykrywać i blokować instalowanie znanych szkodliwych aplikacji, które wykorzystują lukę w zabezpieczeniach umożliwiającą podniesienie uprawnień. Jeśli taka aplikacja jest już zainstalowana, funkcja Weryfikacja aplikacji powiadomi użytkownika i spróbuje ją usunąć.
• W odpowiednich przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak Mediaserver.

Podziękowania

Dziękujemy zaangażowanym w to badanie naukowcom:

• Abhishek Arya, Oliver Chang i Martin Barbella z zespołu Google ds. bezpieczeństwa przeglądarki Chrome: CVE-2016-3821, CVE-2016-3837
• Adam Donenfeld i współpracownicy z Check Point Software Technologies Ltd.: CVE-2016-2504
• Chiachih Wu (@chiachih_wu), Mingjian Zhou (@Mingjian_Zhou), i Xuxian Jiang z zespołu C0RE: CVE-2016-3844
• Chiachih Wu (@chiachih_wu), Yuan-Tsung Lo (computernik@gmail.com) i Xuxian Jiang z zespołu C0RE: CVE-2016-3857
• David Benjamin i Kenny Root z Google: CVE-2016-3840
• Dawei Peng (Vinc3nt4H) z zespołu ds. bezpieczeństwa mobilnego w Alibaba: CVE-2016-3822
• Di Shen (@returnsme) z KeenLab (@keen_lab), Tencent: CVE-2016-3842
• Dianne Hackborn z Google: CVE-2016-2497
• Dmitry Vyukov z zespołu Google ds. narzędzi dynamicznych: CVE-2016-3841
• Gengjia Chen (@chengjia4574), pjf (weibo.com/jfpan) z IceSword Lab, Qihoo 360 Technology Co. Ltd: CVE-2016-3852
• Guang Gong (龚广) (@oldfresher) z zespołu Alpha, Qihoo 360 Technology Co. Ltd: CVE-2016-3834
• Kai Lu (@K3vinLuSec) z laboratoriów FortiGuard firmy Fortinet: CVE-2016-3820
• Kandala Shivaram Reddy, DS i Uppi: CVE-2016-3826
• Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) i Xuxian Jiang z zespołu C0RE: CVE-2016-3823, CVE-2016-3835, CVE-2016-3824, CVE-2016-3825
• Nathan Crandall (@natecray) z zespołu ds. zabezpieczeń produktów Tesla Motors: CVE-2016-3847, CVE-2016-3848
• Peng Xiao, Chengming Yang, Ning You, Chao Yang i Yang Song z Alibaba Mobile Security Group: CVE-2016-3845
• Peter Pi (@heisecode) z TrendMicro: CVE-2016-3849
• Qianwei Hu (rayxcp@gmail.com) z WooYun TangLab: CVE-2016-3846
• Qidan He (@flanker_hqd) z KeenLab (@keen_lab), Tencent: CVE-2016-3832
• Sharvil Nanavati z Google: CVE-2016-3839
• Shinjo Park (@ad_ili_rai) i Altaf Shaik z Security in Telecommunications: CVE-2016-3831
• Tom Rootjunky: CVE-2016-3853
• Vasily Vasiliev: CVE-2016-3819
• Weichao Sun (@sunblate) z Alibaba Inc.: CVE-2016-3827, CVE-2016-3828, CVE-2016-3829
• Wish Wu (吴潍浠) (@wish_wu) z Trend Micro Inc.: CVE-2016-3843
• Yongke Wang (@Rudykewang) z laboratorium Xuanwu firmy Tencent: CVE-2016-3836

Dziękujemy Danielowi Micay z Copperhead Security, Jeffowi Vander Stoepowi i Yabinowi Cui z Google za wkład w uaktualnienia na poziomie platformy, które ograniczają klasę podatności, np. CVE-2016-3843. Ta metoda zapobiegania atakom opiera się na pracy Brada Spenglera z Grsecurity.

Poziom aktualizacji zabezpieczeń z 01.08.2016 – szczegóły luki w zabezpieczeniach

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które mają zastosowanie do poziomu poprawek z 2016-08-01. Zawiera on opis problemu, uzasadnienie powagi oraz tabelę z identyfikatorem CVE, powiązanymi odniesieniami, wagą, zaktualizowanymi urządzeniami Nexus oraz zaktualizowanymi wersjami AOSP (w stosownych przypadkach) i datą zgłoszenia. W miarę możliwości będziemy łączyć publiczne zmiany, które rozwiązały problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu w Mediaserver

Luka w zabezpieczeniach umożliwiająca zdalne uruchomienie kodu w Mediaserverze może umożliwić atakującemu użycie specjalnie spreparowanego pliku do spowodowania uszkodzenia pamięci podczas przetwarzania plików multimedialnych i danych. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście procesu Mediaserver. Proces Mediaserver ma dostęp do strumieni audio i wideo, a także do przywilejów, do których aplikacje innych firm normalnie nie mają dostępu.

Dotyczy to funkcji, które są częścią systemu operacyjnego, a wiele aplikacji umożliwia ich obsługę z dalsza, zwłaszcza MMS-y i odtwarzanie multimediów w przeglądarce.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3819	A-28533562	Krytyczny	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	2 maja 2016 r.
CVE-2016-3820	A-28673410	Krytyczny	Wszystkie Nexus	6.0, 6.0.1	6 maja 2016 r.
CVE-2016-3821	A-28166152	Krytyczny	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	Tylko w Google

luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu w libjhead

Luka w zabezpieczeniach w bibliotece libjhead umożliwiająca zdalne uruchomienie kodu może umożliwić atakującemu użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście procesu bez uprawnień. Ten problem ma ocenę wysoką ze względu na możliwość zdalnego wykonywania kodu w aplikacjach korzystających z tej biblioteki.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3822	A-28868315	Wysoki	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	Tylko w Google

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Mediaserver

Podatność w Mediaserverze umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu z uprawnieniami. Ten problem ma ocenę wysoką, ponieważ może być wykorzystywany do uzyskiwania lokalnego dostępu do rozszerzonych funkcji, które są zwykle niedostępne dla aplikacji innych firm.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3823	A-28815329	Wysoki	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	17 maja 2016 r.
CVE-2016-3824	A-28816827	Wysoki	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	17 maja 2016 r.
CVE-2016-3825	A-28816964	Wysoki	Wszystkie Nexus	5.0.2, 5.1.1, 6.0, 6.0.1	17 maja 2016 r.
CVE-2016-3826	A-29251553	Wysoki	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	9 czerwca 2016 r.

Atak typu DoS w usłudze Mediaserver

Luka w zabezpieczeniach umożliwiająca atak typu DoS w Mediaserverze może pozwolić atakującemu użyć specjalnie spreparowanego pliku, aby spowodować zawieszenie lub ponowne uruchomienie urządzenia. Ten problem ma ocenę wysoką z powodu możliwości tymczasowego odmowy usługi z dalszej odległości.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3827	A-28816956	Wysoki	Wszystkie Nexus	6.0.1	16 maja 2016 r.
CVE-2016-3828	A-28835995	Wysoki	Wszystkie Nexus	6.0, 6.0.1	17 maja 2016 r.
CVE-2016-3829	A-29023649	Wysoki	Wszystkie Nexus	6.0, 6.0.1	27 maja 2016 r.
CVE-2016-3830	A-29153599	Wysoki	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	Tylko w Google

luka w zabezpieczeniach umożliwiająca atak typu DoS w zegarku systemowym

Usługa zegarków systemowych może być podatna na atak typu „odmowa usługi”, który może umożliwić atakującemu zdalne zawieszenie urządzenia. Ten problem został oceniony jako wysoki ze względu na możliwość tymczasowego odmowy usługi zdalnie.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3831	A-29083635	Wysoki	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	31 maja 2016 r.

Podniesienie uprawnień w interfejsach API frameworku

Podniesienie uprawnień w ramach interfejsów API frameworku może umożliwić lokalnej złośliwej aplikacji obejście zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji. Ten problem został oceniony jako „Umiarkowany”, ponieważ może służyć do uzyskania dostępu do danych, które wykraczają poza poziomy uprawnień aplikacji.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3832	A-28795098	Umiarkowana	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	15 maja 2016 r.

Luki w zabezpieczeniach w Shell umożliwiające podniesienie uprawnień

Podniesienie uprawnień w powłoce może umożliwić lokalnej złośliwej aplikacji obejście ograniczeń urządzenia, takich jak ograniczenia użytkownika. Ten problem ma ocenę Średni, ponieważ jest to lokalne obejście uprawnień użytkownika.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3833	A-29189712 [2]	Umiarkowana	Wszystkie Nexus	5.0.2, 5.1.1, 6.0, 6.0.1	Tylko w Google

Luka w zabezpieczeniach OpenSSL umożliwiająca ujawnienie informacji

Luka w zabezpieczeniach OpenSSL dotycząca ujawnienia informacji może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza poziomem uprawnień. Ten problem został oceniony jako umiarkowany, ponieważ może umożliwiać dostęp do danych wrażliwych bez zgody.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-2842	A-29060514	Brak*	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1	29 marca 2016 r.

* Ta luka nie dotyczy obsługiwanych urządzeń Nexus, na których zainstalowano wszystkie dostępne aktualizacje.

Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w interfejsach API kamery

Użytkownikom lokalnych aplikacji szkodliwych można przyznać dostęp do struktur danych spoza ich poziomów uprawnień, co może prowadzić do ujawnienia informacji w uzależnionych od aparatu interfejsach API. Ten problem został oceniony jako „Umiarkowany”, ponieważ może umożliwiać dostęp do danych wrażliwych bez zgody użytkownika.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3834	A-28466701	Umiarkowana	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	28 kwietnia 2016 r.

Luka w zabezpieczeniach w Mediaserverze umożliwiająca ujawnienie informacji

Użytkownikom lokalnych aplikacji złośliwych może zostać przyznany dostęp do danych spoza ich uprawnień, ponieważ w Mediaserver występuje luka w zabezpieczeniach dotycząca ujawnienia informacji. Ten problem został oceniony jako „Umiarkowany”, ponieważ może umożliwiać dostęp do danych wrażliwych bez zgody użytkownika.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3835	A-28920116	Umiarkowana	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	23 maja 2016 r.

Luka w zabezpieczeniach w usłudze SurfaceFlinger umożliwiająca ujawnienie informacji

W usłudze SurfaceFlinger występuje luka umożliwiająca ujawnienie informacji, która może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza poziomem uprawnień. Ten problem ma ocenę umiarkowaną, ponieważ może być wykorzystywany do uzyskiwania dostępu do danych wrażliwych bez wyraźnej zgody użytkownika.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3836	A-28592402	Umiarkowana	Wszystkie Nexus	5.0.2, 5.1.1, 6.0, 6.0.1	4 maja 2016 r.

luka w zabezpieczeniach w sieci Wi-Fi, która umożliwia ujawnienie informacji;

W sieci Wi-Fi występuje luka umożliwiająca ujawnienie informacji, która może pozwolić lokalnej złośliwej aplikacji na dostęp do danych poza poziomem uprawnień. Ten problem ma umiarkowany priorytet, ponieważ może umożliwiać dostęp do danych wrażliwych bez zgody.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3837	A-28164077	Umiarkowana	Wszystkie Nexus	5.0.2, 5.1.1, 6.0, 6.0.1	Tylko w Google

luka w zabezpieczeniach umożliwiająca atak typu DoS w interfejsie użytkownika systemu

Usługa odmowy dostępu w interfejsie użytkownika mogłaby umożliwić lokalnej złośliwej aplikacji uniemożliwienie wykonywania połączeń alarmowych na zablokowanym ekranie. Ten problem został oceniony jako „Umiarkowany” ze względu na możliwość odmowy usługi w przypadku funkcji krytycznej.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3838	A-28761672	Umiarkowana	Wszystkie Nexus	6.0, 6.0.1	Tylko w Google

luka w zabezpieczeniach umożliwiająca atak typu DoS w Bluetooth

Usługa odmowy dostępu w Bluetooth może umożliwić lokalnej złośliwej aplikacji blokowanie połączeń z numeru 911 z urządzenia Bluetooth. Ten problem został oceniony jako umiarkowany ze względu na możliwość odmowy usługi w przypadku funkcji krytycznej.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3839	A-28885210	Umiarkowana	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	Tylko w Google

Poziom aktualizacji zabezpieczeń z 05.08.2016 r. – szczegóły luki w zabezpieczeniach

W odcinkach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które mają zastosowanie do poziomu poprawek z 5 sierpnia 2016 r. Zawiera on opis problemu, uzasadnienie powagi oraz tabelę z identyfikatorem CVE, powiązanymi odniesieniami, wagą, zaktualizowanymi urządzeniami Nexus oraz zaktualizowanymi wersjami AOSP (w stosownych przypadkach) i datą zgłoszenia. W miarę możliwości będziemy linkować publiczne zmiany, które rozwiązały problem, do identyfikatora błędu, np. do listy zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są powiązane z numerami po identyfikatorze błędu.

luka umożliwiająca zdalne wykonanie kodu w sterowniku Wi-Fi Qualcomm

Luka w zabezpieczeniach w sterowniku Wi-Fi Qualcomm umożliwiająca zdalnym atakującym uruchomienie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego zainfekowania urządzenia.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2014-9902	A-28668638 QC-CR#553937 QC-CR#553941	Krytyczny	Nexus 7 (2013)	31 marca 2014 r.

Usterka zdalnego wykonywania kodu w Conscrypt

Luka w zabezpieczeniach w programie Conscrypt umożliwiająca zdalne uruchomienie kodu mogłaby umożliwić atakującemu zdalne uruchomienie dowolnego kodu w kontekście procesu uprzywilejowanego. Ten problem został oznaczony jako krytyczny ze względu na możliwość zdalnego wykonania kodu.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3840	A-28751153	Krytyczny	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	Tylko w Google

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w komponentach Qualcomm

Tabela poniżej zawiera informacje o lukach w zabezpieczeniach, które dotyczą komponentów Qualcomm, w tym m.in. bootloadera, sterownika kamery, sterownika znaków, sieci, sterownika dźwięku i sterownika wideo.

Najpoważniejszy z tych problemów został oceniony jako krytyczny ze względu na możliwość, że lokalna złośliwa aplikacja może wykonać dowolny kod w kontekście jądra, co może doprowadzić do trwałego uszkodzenia urządzenia, a na jego naprawę może być konieczne przeflashowanie systemu operacyjnego.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2014-9863	A-28768146 QC-CR#549470	Krytyczny	Nexus 5, Nexus 7 (2013)	30 kwietnia 2014 r.
CVE-2014-9864	A-28747998 QC-CR#561841	Wysoki	Nexus 5, Nexus 7 (2013)	27 marca 2014 r.
CVE-2014-9865	A-28748271 QC-CR#550013	Wysoki	Nexus 5, Nexus 7 (2013)	27 marca 2014 r.
CVE-2014-9866	A-28747684 QC-CR#511358	Wysoki	Nexus 5, Nexus 7 (2013)	31 marca 2014 r.
CVE-2014-9867	A-28749629 QC-CR#514702	Wysoki	Nexus 5, Nexus 7 (2013)	31 marca 2014 r.
CVE-2014-9868	A-28749721 QC-CR#511976	Wysoki	Nexus 5, Nexus 7 (2013)	31 marca 2014 r.
CVE-2014-9869	A-28749728 QC-CR#514711 [2]	Wysoki	Nexus 5, Nexus 7 (2013)	31 marca 2014 r.
CVE-2014-9870	A-28749743 QC-CR#561044	Wysoki	Nexus 5, Nexus 7 (2013)	31 marca 2014 r.
CVE-2014-9871	A-28749803 QC-CR#514717	Wysoki	Nexus 5, Nexus 7 (2013)	31 marca 2014 r.
CVE-2014-9872	A-28750155 QC-CR#590721	Wysoki	Nexus 5	31 marca 2014 r.
CVE-2014-9873	A-28750726 QC-CR#556860	Wysoki	Nexus 5, Nexus 7 (2013)	31 marca 2014 r.
CVE-2014-9874	A-28751152 QC-CR#563086	Wysoki	Nexus 5, Nexus 5X, Nexus 6P, Nexus 7 (2013)	31 marca 2014 r.
CVE-2014-9875	A-28767589 QC-CR#483310	Wysoki	Nexus 7 (2013)	30 kwietnia 2014 r.
CVE-2014-9876	A-28767796 QC-CR#483408	Wysoki	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013 r.)	30 kwietnia 2014 r.
CVE-2014-9877	A-28768281 QC-CR#547231	Wysoki	Nexus 5, Nexus 7 (2013)	30 kwietnia 2014 r.
CVE-2014-9878	A-28769208 QC-CR#547479	Wysoki	Nexus 5	30 kwietnia 2014 r.
CVE-2014-9879	A-28769221 QC-CR#524490	Wysoki	Nexus 5	30 kwietnia 2014 r.
CVE-2014-9880	A-28769352 QC-CR#556356	Wysoki	Nexus 7 (2013)	30 kwietnia 2014 r.
CVE-2014-9881	A-28769368 QC-CR#539008	Wysoki	Nexus 7 (2013)	30 kwietnia 2014 r.
CVE-2014-9882	A-28769546 QC-CR#552329 [2]	Wysoki	Nexus 7 (2013)	30 kwietnia 2014 r.
CVE-2014-9883	A-28769912 QC-CR#565160	Wysoki	Nexus 5, Nexus 7 (2013)	30 kwietnia 2014 r.
CVE-2014-9884	A-28769920 QC-CR#580740	Wysoki	Nexus 5, Nexus 7 (2013)	30 kwietnia 2014 r.
CVE-2014-9885	A-28769959 QC-CR#562261	Wysoki	Nexus 5	30 kwietnia 2014 r.
CVE-2014-9886	A-28815575 QC-CR#555030	Wysoki	Nexus 5, Nexus 7 (2013)	30 kwietnia 2014 r.
CVE-2014-9887	A-28804057 QC-CR#636633	Wysoki	Nexus 5, Nexus 7 (2013)	3 lipca 2014 r.
CVE-2014-9888	A-28803642 QC-CR#642735	Wysoki	Nexus 5, Nexus 7 (2013)	29 sierpnia 2014 r.
CVE-2014-9889	A-28803645 QC-CR#674712	Wysoki	Nexus 5	31 października 2014 r.
CVE-2015-8937	A-28803962 QC-CR#770548	Wysoki	Nexus 5, Nexus 6, Nexus 7 (2013 r.)	31 marca 2015 r.
CVE-2015-8938	A-28804030 QC-CR#766022	Wysoki	Nexus 6	31 marca 2015 r.
CVE-2015-8939	A-28398884 QC-CR#779021	Wysoki	Nexus 7 (2013)	30 kwietnia 2015 r.
CVE-2015-8940	A-28813987 QC-CR#792367	Wysoki	Nexus 6	30 kwietnia 2015 r.
CVE-2015-8941	A-28814502 QC-CR#792473	Wysoki	Nexus 6, Nexus 7 (2013)	29 maja 2015 r.
CVE-2015-8942	A-28814652 QC-CR#803246	Wysoki	Nexus 6	30 czerwca 2015 r.
CVE-2015-8943	A-28815158 QC-CR#794217 QC-CR#836226	Wysoki	Nexus 5	11 września 2015 r.
CVE-2014-9891	A-28749283 QC-CR#550061	Umiarkowana	Nexus 5	13 marca 2014 r.
CVE-2014-9890	A-28770207 QC-CR#529177	Umiarkowana	Nexus 5, Nexus 7 (2013)	2 czerwca 2014 r.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w komponencie sieciowym jądra

Luka w zabezpieczeniach związana z podwyższeniem uprawnień w komponencie sieciowym jądra może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego zainfekowania urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2015-2686	A-28759139 Upstream kernel	Krytyczny	Wszystkie Nexus	23 marca 2015 r.
CVE-2016-3841	A-28746669 Upstream kernel	Krytyczny	Wszystkie Nexus	3 grudnia 2015 r.

Uprawnienia podniesienia uprawnień w sterowniku GPU Qualcomm

Podatność w ramach funkcji podwyższania uprawnień w sterowniku GPU Qualcomma może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-2504	A-28026365 QC-CR#1002974	Krytyczny	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013 r.)	5 kwietnia 2016 r.
CVE-2016-3842	A-28377352 QC-CR#1002974	Krytyczny	Nexus 5X, Nexus 6, Nexus 6P	25 kwietnia 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla programistów.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w komponencie dotyczącym wydajności w urządzeniach Qualcomm

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w komponencie wydajnościowym Qualcomma może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego zainfekowania urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

Uwaga: w tym komunikacie znajduje się również aktualizacja na poziomie platformy (A-29119870), która ma na celu ograniczenie tej klasy podatności.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-3843	A-28086229* QC-CR#1011071	Krytyczny	Nexus 5X, Nexus 6P	7 kwietnia 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla programistów.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w jądrze

Podatność w jądrze umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-3857	A-28522518*	Krytyczny	Nexus 7 (2013)	2 maja 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla programistów.

Luki w zabezpieczeniach związane z podniesieniem uprawnień w systemie pamięci jądra

Luka w zabezpieczeniach polegająca na podwyższaniu uprawnień w systemie pamięci jądra może umożliwić lokalnej aplikacji z możliwością wykonywania szkodliwego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2015-1593	A-29577822 Upstream kernel	Wysoki	Nexus Player	13 lutego 2015 r.
CVE-2016-3672	A-28763575 Upstream kernel	Wysoki	Nexus Player	25 marca 2016 r.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w komponencie dźwiękowym jądra

Podatność w komponencie dźwiękowym jądra umożliwia lokalnym złośliwym aplikacjom wykonywanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-2544	A-28695438 Upstream kernel	Wysoki	Wszystkie Nexus	19 stycznia 2016 r.
CVE-2016-2546	A-28694392 Upstream kernel	Wysoki	Pixel C	19 stycznia 2016 r.
CVE-2014-9904	A-28592007 Upstream kernel	Wysoki	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player	4 maja 2016 r.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w systemie plików jądra

W przypadku podatności w systemie plików jądra umożliwiającej podniesienie uprawnień lokalna złośliwa aplikacja mogłaby wykonać dowolny kod w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2012-6701	A-28939037 Upstream kernel	Wysoki	Nexus 5, Nexus 7 (2013)	2 marca 2016 r.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Mediaserver

Podatność w Mediaserverze umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu z uprawnieniami. Ten problem ma priorytet wysoki, ponieważ może być wykorzystywany do uzyskiwania lokalnego dostępu do rozszerzonych funkcji, które są niedostępne dla aplikacji innych firm.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-3844	A-28299517* N-CVE-2016-3844	Wysoki	Nexus 9, Pixel C	19 kwietnia 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla programistów.

Luki w zabezpieczeniach polegające na podnoszeniu uprawnień w sterowniku wideo jądra

Podatność w zasadach przywileju w sterowniku wideo jądra może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-3845	A-28399876*	Wysoki	Nexus 5	20 kwietnia 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla programistów.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w sterowniku interfejsu szeregowego (SPI)

Luka w zabezpieczeniach w sterowniku interfejsu szeregowego umożliwia lokalnym szkodliwym aplikacjom wykonywanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu z przywilejami.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-3846	A-28817378*	Wysoki	Nexus 5X, Nexus 6P	17 maja 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla programistów.

Luki w zabezpieczeniach polegające na podnoszeniu uprawnień w sterowniku multimediów NVIDIA

Podatność w sterowniku multimediów NVIDIA umożliwiająca lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-3847	A-28871433* N-CVE-2016-3847	Wysoki	Nexus 9	19 maja 2016 r.
CVE-2016-3848	A-28919417* N-CVE-2016-3848	Wysoki	Nexus 9	19 maja 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla programistów.

Luki w zabezpieczeniach polegająca na podnoszeniu uprawnień w sterowniku ION

Podatność w sterowniku ION umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-3849	A-28939740	Wysoki	Pixel C	24 maja 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla programistów.

Eskalacja uprawnień w luki w zabezpieczeniach w początkującym programie Qualcomm

Podatność na podniesienie uprawnień w początkującym programie Qualcomm mogłaby umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-3850	A-27917291 QC-CR#945164	Wysoki	Nexus 5, Nexus 5X, Nexus 6P, Nexus 7 (2013)	28 marca 2016 r.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w podsystemie wydajności jądra

Podatności związane z podwyższeniem uprawnień w podsystemie wydajności jądra mogą umożliwić lokalnym złośliwym aplikacjom wykonywanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę wysoką, ponieważ umożliwia atakowanie jądra przez hakerów.

Uwaga: jest to aktualizacja na poziomie platformy, która ma na celu ograniczenie podatności na ataki, takich jak CVE-2016-3843 (A-28086229).

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3843	A-29119870*	Wysoki	Wszystkie Nexus	6.0, 6.1	Tylko w Google

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla programistów.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w bootloadzie LG Electronics

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w bootloadzie LG Electronics może umożliwić atakującemu uruchomienie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu z przywilejami.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-3851	A-29189941*	Wysoki	Nexus 5X	Tylko w Google

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla programistów.

luka w zabezpieczeniach polegająca na ujawnieniu informacji w komponentach Qualcomm

Tabela poniżej zawiera informacje o lukach w zabezpieczeniach, które dotyczą komponentów Qualcomm, w tym m.in. bootloadera, sterownika kamery, sterownika znaków, sterownika sieci, sterownika dźwięku i sterownika wideo.

Najpoważniejszy z tych problemów został oceniony jako wysoki ze względu na możliwość, że lokalna złośliwa aplikacja może uzyskać dostęp do danych spoza swoich poziomów uprawnień, takich jak dane wrażliwe, bez wyraźnej zgody użytkownika.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2014-9892	A-28770164 QC-CR#568717	Wysoki	Nexus 5, Nexus 7 (2013)	2 czerwca 2014 r.
CVE-2015-8944	A-28814213 QC-CR#786116	Wysoki	Nexus 6, Nexus 7 (2013)	30 kwietnia 2015 r.
CVE-2014-9893	A-28747914 QC-CR#542223	Umiarkowana	Nexus 5	27 marca 2014 r.
CVE-2014-9894	A-28749708 QC-CR#545736	Umiarkowana	Nexus 7 (2013)	31 marca 2014 r.
CVE-2014-9895	A-28750150 QC-CR#570757	Umiarkowana	Nexus 5, Nexus 7 (2013)	31 marca 2014 r.
CVE-2014-9896	A-28767593 QC-CR#551795	Umiarkowana	Nexus 5, Nexus 7 (2013)	30 kwietnia 2014 r.
CVE-2014-9897	A-28769856 QC-CR#563752	Umiarkowana	Nexus 5	30 kwietnia 2014 r.
CVE-2014-9898	A-28814690 QC-CR#554575	Umiarkowana	Nexus 5, Nexus 7 (2013)	30 kwietnia 2014 r.
CVE-2014-9899	A-28803909 QC-CR#547910	Umiarkowana	Nexus 5	3 lipca 2014 r.
CVE-2014-9900	A-28803952 QC-CR#570754	Umiarkowana	Nexus 5, Nexus 7 (2013)	8 sierpnia 2014 r.

Luka w zabezpieczeniach polegająca na możliwości ujawnienia informacji w planowaniu jądra

W ramach tej podatności w planiście jądra możliwe jest ujawnienie informacji, które może umożliwić lokalnej złośliwej aplikacji dostęp do danych wykraczających poza poziomy uprawnień. Ten problem ma wysoki priorytet, ponieważ może umożliwiać dostęp do danych wrażliwych bez wyraźnej zgody użytkownika.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2014-9903	A-28731691 Upstream kernel	Wysoki	Nexus 5X, Nexus 6P	21 lutego 2014 r.

Usterka w sterowniku MediaTek Wi-Fi umożliwiająca ujawnienie informacji (właściwe dla urządzenia)

W sterowniku Wi-Fi MediaTek występuje luka umożliwiająca ujawnienie informacji, która może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza poziomem uprawnień. Ten problem ma wysoki priorytet, ponieważ może umożliwiać dostęp do danych poufnych bez wyraźnej zgody użytkownika.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-3852	A-29141147* M-ALPS02751738	Wysoki	Android One	12 kwietnia 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla programistów.

luka w zabezpieczeniach w sterowniku USB, która umożliwia wyciek informacji;

W przypadku podatności w sterowniku USB umożliwiającej ujawnienie informacji lokalna złośliwa aplikacja mogłaby uzyskać dostęp do danych poza poziomem uprawnień. Ten problem został oceniony jako wysoki, ponieważ może umożliwiać dostęp do danych wrażliwych bez wyraźnej zgody użytkownika.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-4482	A-28619695 Upstream kernel	Wysoki	Wszystkie Nexus	3 maja 2016 r.

Usługa Qualcomm podatna na atak typu DoS

Tabela poniżej zawiera luki w zabezpieczeniach dotyczące komponentów Qualcomm, w tym potencjalnie sterownika Wi-Fi.

Najpoważniejsze z tych problemów ma ocenę wysoką ze względu na możliwość, że atakujący może tymczasowo uniemożliwić zdalny dostęp do usługi, co spowoduje zawieszenie lub ponowne uruchomienie urządzenia.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2014-9901	A-28670333 QC-CR#548711	Wysoki	Nexus 7 (2013)	31 marca 2014 r.

Usługa Google Play podatna na podniesienie uprawnień

W usłudze Google Play występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnemu atakującemu obejście funkcji ochrony przed przywróceniem ustawień fabrycznych i uzyskanie dostępu do urządzenia. Ocena została sklasyfikowana jako Średnia ze względu na możliwość ominięcia ochrony przed przywróceniem ustawień fabrycznych, co może spowodować przywrócenie ustawień fabrycznych urządzenia i usunięcie wszystkich danych.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-3853	A-26803208*	Umiarkowana	Wszystkie Nexus	Brak	4 maja 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla programistów.

Podniesienie uprawnień w interfejsach API Framework

W ramach podatności na eskalację uprawnień w interfejsach API frameworku w przeinstalowanej aplikacji można zwiększyć priorytet filtra intencji podczas aktualizowania aplikacji bez powiadamiania użytkownika. Ten problem został oceniony jako średni, ponieważ może być wykorzystywany do uzyskania rozszerzonych uprawnień bez wyraźnej zgody użytkownika.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-2497	A-27450489	Umiarkowana	Wszystkie Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	Tylko w Google

Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w komponencie sieciowym jądra

W komponencie sieciowym jądra występuje luka umożliwiająca ujawnienie informacji, która może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza poziomem uprawnień. Ten problem został oceniony jako średnio poważny, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-4486	A-28620102 Upstream kernel	Umiarkowana	Wszystkie Nexus	3 maja 2016 r.

luka w zabezpieczeniach umożliwiająca ujawnienie informacji w komponencie dźwiękowym jądra;

W komponencie dźwiękowym jądra występuje luka umożliwiająca ujawnienie informacji, która może umożliwić lokalnej złośliwej aplikacji dostęp do danych wykraczających poza poziom uprawnień. Ten problem został oceniony jako średnio poważny, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-4569	A-28980557 Upstream kernel	Umiarkowana	Wszystkie Nexus	9 maja 2016 r.
CVE-2016-4578	A-28980217 Zewnętrzny kernel [2]	Umiarkowana	Wszystkie Nexus	11 maja 2016 r.

Luki w komponentach Qualcomm

Tabela poniżej zawiera informacje o lukach w zabezpieczeniach, które dotyczą komponentów Qualcomm, w tym m.in. bootloadera, sterownika kamery, sterownika znaków, sterownika sieci, sterownika dźwięku i sterownika wideo.

CVE	Pliki referencyjne	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-3854	QC-CR#897326	Wysoki	Brak	Luty 2016 r.
CVE-2016-3855	QC-CR#990824	Wysoki	Brak	Maj 2016 roku
CVE-2016-2060	QC-CR#959631	Umiarkowana	Brak	Kwiecień 2016 r.

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy rozwiązuje te problemy?

Poziomy aktualizacji zabezpieczeń z 2016-08-01 lub nowsze rozwiązują wszystkie problemy związane z poziomem ciągu aktualizacji zabezpieczeń z 2016-08-01. Poziomy aktualizacji zabezpieczeń z 2016-08-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem ciągu znaków aktualizacji zabezpieczeń z 2016-08-05. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń, odwiedź Centrum pomocy. Producenci urządzeń, którzy uwzględniają te aktualizacje, powinni ustawić poziom ciągu poprawki na: [ro.build.version.security_patch]:[2016-08-01] lub [ro.build.version.security_patch]:[2016-08-05].

2. Dlaczego w tym komunikacie są 2 wiersze dotyczące poziomu aktualizacji zabezpieczeń?

W tym komunikacie znajdują się 2 wiersze dotyczące poziomu poprawek zabezpieczeń, aby umożliwić partnerom Androida szybsze usuwanie podzbioru luk, które są podobne na wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do naprawienia wszystkich problemów opisanych w tym biuletynie i używania najnowszego ciągu stanu aktualizacji zabezpieczeń.

Urządzenia, które korzystają z poziomu poprawki zabezpieczeń z 5 sierpnia 2016 r. lub nowszego, muszą zawierać wszystkie poprawki z tego (i poprzednich) komunikatu bezpieczeństwa.

Urządzenia korzystające z poziomu poprawek zabezpieczeń z 1 sierpnia 2016 r. muszą zawierać wszystkie problemy związane z tym poziomem, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa. Urządzenia korzystające z poziomu poprawki zabezpieczeń z 1 sierpnia 2016 r. mogą też zawierać podzbiór poprawek związanych z poziomem poprawki zabezpieczeń z 5 sierpnia 2016 r.

3. Jak sprawdzić, które urządzenia Nexus są objęte danym problemem?

W sekcjach dotyczących szczegółów błędów zabezpieczeń z 2016-08-01 i 2016-08-05 w każdej tabeli znajduje się kolumna zaktualizowane urządzenia Nexus, która zawiera listę urządzeń Nexus, dla których dostępna jest aktualizacja dotycząca danego problemu. Ta kolumna ma kilka opcji:

• Wszystkie urządzenia Nexus: jeśli problem dotyczy wszystkich urządzeń Nexus, w tabeli w kolumnie Zaktualizowane urządzenia Nexus pojawi się opcja „Wszystkie urządzenia Nexus”. „Wszystkie Nexusy” obejmuje te obsługiwane urządzenia: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player i Pixel C.
• Niektóre urządzenia Nexus: jeśli problem nie dotyczy wszystkich urządzeń Nexus, urządzenia, których dotyczy problem, są wymienione w kolumnie Zaktualizowane urządzenia Nexus.
• Brak urządzeń Nexus: jeśli problem nie dotyczy żadnych urządzeń Nexus, w kolumnie Zaktualizowane urządzenia Nexus pojawi się wpis „Brak”.

4. Do czego odnoszą się wpisy w kolumnie „Odwołania”?

Wpisy w kolumnie Odniesienia w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odniesienia. Te przedrostki są mapowane w ten sposób:

Prefiks	Źródła wiedzy
A-	Identyfikator błędu na Androidzie
QC-	Numer referencyjny Qualcomm
M-	Numer referencyjny MediaTek
N-	Numer referencyjny NVIDIA

Wersje

• 1 sierpnia 2016 r.: opublikowano biuletyn.
• 2 sierpnia 2016 r.: w powiadomieniu uwzględniono linki do AOSP.
• 16 sierpnia 2016 r.: CVE-2016-3856 zostało zmienione na CVE-2016-2060, a adres URL referencyjny został zaktualizowany.
• 21 października 2016 r.: poprawiliśmy błąd pisowni w CVE-2016-4486.