Publicado em 1º de agosto de 2016 | Atualizado em 21 de outubro de 2016
O Boletim de segurança do Android contém detalhes das vulnerabilidades de segurança que afetam os dispositivos Android. Além do boletim, lançamos uma atualização de segurança para dispositivos Nexus por uma atualização over the air (OTA). As imagens do firmware do Nexus também foram lançadas no site para desenvolvedores do Google. Os níveis de patch de segurança de 5 de agosto de 2016 ou mais recentes resolvem esses problemas. Consulte a documentação para saber como verificar o nível do patch de segurança.
Os parceiros foram notificados sobre os problemas descritos no boletim em 6 de julho de 2016 ou antes. Quando aplicável, os patches de código-fonte para esses problemas foram lançados no repositório do Android Open Source Project (AOSP). Este boletim também inclui links para patches fora do AOSP.
O problema mais grave é uma vulnerabilidade de segurança crítica que pode permitir a execução remota de código em um dispositivo afetado por vários métodos, como e-mail, navegação na Web e MMS ao processar arquivos de mídia. A avaliação de gravidade é baseada no efeito que a exploração da vulnerabilidade teria em um dispositivo afetado, supondo que as mitigações de plataforma e serviço estejam desativadas para fins de desenvolvimento ou se forem contornadas.
Não recebemos relatos de exploração ou abuso ativo de clientes desses problemas recém-informados. Consulte a seção Mitigações de serviços do Google e do Android para saber mais sobre as proteções da plataforma de segurança do Android e as proteções de serviço, como a SafetyNet, que melhoram a segurança da plataforma Android.
Recomendamos que todos os clientes aceitem essas atualizações nos dispositivos.
Anúncios
- O boletim foi revisado para corrigir CVE-2016-3856 para CVE-2016-2060.
- Este boletim tem duas strings de nível de correção de segurança para oferecer aos parceiros
do Android a flexibilidade de agir mais rapidamente para corrigir um subconjunto de
vulnerabilidades semelhantes em todos os dispositivos Android. Consulte Perguntas frequentes e respostas para
mais informações:
- 2016-08-01: string parcial do nível do patch de segurança. Essa string de nível de patch de segurança indica que todos os problemas associados a 2016-08-01 (e todas as strings de nível de patch de segurança anteriores) foram resolvidos.
- 2016-08-05: string de nível de patch de segurança completa. Essa string de nível de patch de segurança indica que todos os problemas associados a 2016-08-01 e 2016-08-05 (e todas as strings de nível de patch de segurança anteriores) foram resolvidos.
- Os dispositivos Nexus compatíveis vão receber uma única atualização OTA com o nível do patch de segurança de 5 de agosto de 2016.
Mitigações do Android e dos serviços do Google
Este é um resumo das mitigações fornecidas pela plataforma de segurança do Android e proteções de serviço, como a SafetyNet. Esses recursos reduzem a probabilidade de vulnerabilidades de segurança serem exploradas com sucesso no Android.
- A exploração de muitos problemas no Android fica mais difícil devido a melhorias nas versões mais recentes da Plataforma Android. Recomendamos que todos os usuários atualizem para a versão mais recente do Android, sempre que possível.
- A equipe de segurança do Android monitora ativamente os abusos com o Verify Apps e a SafetyNet, que foram criados para alertar os usuários sobre apps potencialmente nocivos. A verificação de apps é ativada por padrão em dispositivos com Google Mobile Services e é especialmente importante para usuários que instalam apps fora do Google Play. Ferramentas de enraizamento de dispositivos são proibidas no Google Play, mas o recurso "Verificar apps" avisa os usuários quando eles tentam instalar um aplicativo de enraizamento detectado, não importa de onde ele vem. Além disso, o Verify Apps tenta identificar e bloquear a instalação de aplicativos maliciosos conhecidos que exploram uma vulnerabilidade de elevação de privilégios. Se esse aplicativo já tiver sido instalado, o recurso "Verificar apps" vai notificar o usuário e tentar remover o aplicativo detectado.
- Conforme apropriado, os aplicativos do Google Hangouts e do Messenger não transmitem mídia automaticamente para processos como o Mediaserver.
Agradecimentos
Agradecemos as contribuições dos seguintes pesquisadores:
- Abhishek Arya, Oliver Chang e Martin Barbella, da equipe de segurança do Google Chrome Equipe: CVE-2016-3821, CVE-2016-3837
- Adam Donenfeld e outros da Check Point Software Technologies Ltd.: CVE-2016-2504
- Chiachih Wu (@chiachih_wu), Mingjian Zhou (@Mingjian_Zhou) e Xuxian Jiang da Equipe C0RE: CVE-2016-3844
- Chiachih Wu (@chiachih_wu), Yuan-Tsung Lo (computernik@gmail.com) e Xuxian Jiang da Equipe C0RE: CVE-2016-3857
- David Benjamin e Kenny Root, do Google: CVE-2016-3840
- Dawei Peng (Vinc3nt4H) da Equipe de segurança de dispositivos móveis da Alibaba: CVE-2016-3822
- Di Shen (@returnsme) do KeenLab (@keen_lab), Tencent: CVE-2016-3842
- Dianne Hackborn, do Google: CVE-2016-2497
- Dmitry Vyukov, da equipe de ferramentas dinâmicas do Google: CVE-2016-3841
- Gengjia Chen (@chengjia4574), pjf (weibo.com/jfpan) do IceSword Lab, Qihoo 360 Technology Co. Ltd: CVE-2016-3852
- Guang Gong (龚广) (@oldfresher) da equipe Alpha, Qihoo 360 Technology Co. Ltd: CVE-2016-3834
- Kai Lu (@K3vinLuSec) do Fortinet's FortiGuard Labs: CVE-2016-3820
- Kandala Shivaram Reddy, DS e Uppi: CVE-2016-3826
- Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) e Xuxian Jiang da Equipe C0RE: CVE-2016-3823, CVE-2016-3835, CVE-2016-3824, CVE-2016-3825
- Nathan Crandall (@natecray) da equipe de segurança de produtos da Tesla Motors: CVE-2016-3847, CVE-2016-3848
- Peng Xiao, Chengming Yang, Ning You, Chao Yang e Yang Song do Alibaba Mobile Security Group: CVE-2016-3845
- Peter Pi (@heisecode) da Trend Micro: CVE-2016-3849
- Qianwei Hu (rayxcp@gmail.com) da WooYun TangLab: CVE-2016-3846
- Qidan He (@flanker_hqd) do KeenLab (@keen_lab), Tencent: CVE-2016-3832.
- Sharvil Nanavati, do Google: CVE-2016-3839
- Shinjo Park (@ad_ili_rai) e Altaf Shaik, da Security in Telecommunications: CVE-2016-3831
- Tom Rootjunky: CVE-2016-3853
- Vasily Vasiliev: CVE-2016-3819
- Weichao Sun (@sunblate) da Alibaba Inc.: CVE-2016-3827, CVE-2016-3828, CVE-2016-3829
- Wish Wu (吴潍浠) (@wish_wu) da Trend Micro Inc.: CVE-2016-3843
- Yongke Wang (@Rudykewang) do Xuanwu LAB da Tencent: CVE-2016-3836
Gostaríamos de agradecer a Daniel Micay, da Copperhead Security, Jeff Vander Stoep e Yabin Cui, do Google, pela contribuição de atualizações no nível da plataforma para mitigar uma classe de vulnerabilidades, como CVE-2016-3843. Essa mitigação é baseada no trabalho de Brad Spengler, da Grsecurity.
Nível do patch de segurança de 01/08/2016: detalhes da vulnerabilidade de segurança
Nas seções abaixo, fornecemos detalhes sobre cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 2016-08-01. Há uma descrição do problema, um raciocínio sobre a gravidade e uma tabela com as vulnerabilidades e exposições comuns, as referências associadas, a gravidade, os dispositivos Nexus atualizados, as versões do AOSP atualizadas (quando aplicável) e a data de denúncia. Quando disponível, vamos vincular a mudança pública que resolveu o problema ao ID do bug, como a lista de mudanças do AOSP. Quando várias mudanças se relacionam a um único bug, outras referências são vinculadas a números que seguem o ID do bug.
Vulnerabilidade de execução remota de código no Mediaserver
Uma vulnerabilidade de execução remota de código no Mediaserver pode permitir que um invasor use um arquivo criado especialmente para causar corrupção de memória durante o processamento de arquivos de mídia e dados. Esse problema é classificado como crítico devido à possibilidade de execução remota de código no contexto do processo do Mediaserver. O processo do Mediaserver tem acesso a streams de áudio e vídeo, além de privilégios que apps de terceiros normalmente não podem acessar.
A funcionalidade afetada é fornecida como parte principal do sistema operacional e há vários aplicativos que permitem o acesso a ela com conteúdo remoto, principalmente MMS e reprodução de mídia no navegador.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3819 | A-28533562 | Crítico | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 2 de maio de 2016 |
| CVE-2016-3820 | A-28673410 | Crítico | Todos os Nexus | 6.0, 6.0.1 | 6 de maio de 2016 |
| CVE-2016-3821 | A-28166152 | Crítico | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Uso interno do Google |
Vulnerabilidade de execução remota de código no libjhead
Uma vulnerabilidade de execução remota de código no libjhead pode permitir que um invasor use um arquivo criado especialmente para executar códigos arbitrários no contexto de um processo não privilegiado. Esse problema é classificado como Alto devido à possibilidade de execução remota de código em aplicativos que usam essa biblioteca.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3822 | A-28868315 | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Uso interno do Google |
Vulnerabilidade de elevação de privilégio no Mediaserver
Uma elevação de vulnerabilidade de privilégio no Mediaserver pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto de um processo privilegiado. Esse problema foi classificado como Alto porque pode ser usado para ter acesso local a recursos elevados, que normalmente não são acessíveis a um aplicativo de terceiros.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3823 | A-28815329 | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 17 de maio de 2016 |
| CVE-2016-3824 | A-28816827 | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 17 de maio de 2016 |
| CVE-2016-3825 | A-28816964 | Alta | Todos os Nexus | 5.0.2, 5.1.1, 6.0, 6.0.1 | 17 de maio de 2016 |
| CVE-2016-3826 | A-29251553 | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 9 de junho de 2016 |
Vulnerabilidade de negação de serviço no Mediaserver
Uma vulnerabilidade de negação de serviço no Mediaserver pode permitir que um invasor use um arquivo criado especialmente para causar uma falha ou reinicialização do dispositivo. Esse problema é classificado como Alto devido à possibilidade de uma negação de serviço remota temporária.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3827 | A-28816956 | Alta | Todos os Nexus | 6.0.1 | 16 de maio de 2016 |
| CVE-2016-3828 | A-28835995 | Alta | Todos os Nexus | 6.0, 6.0.1 | 17 de maio de 2016 |
| CVE-2016-3829 | A-29023649 | Alta | Todos os Nexus | 6.0, 6.0.1 | 27 de maio de 2016 |
| CVE-2016-3830 | A-29153599 | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Uso interno do Google |
Vulnerabilidade de negação de serviço no relógio do sistema
Uma vulnerabilidade de negação de serviço no relógio do sistema pode permitir que um invasor remoto cause uma falha no dispositivo. Esse problema é classificado como alto devido à possibilidade de uma negação de serviço remota temporária.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3831 | A-29083635 | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 31 de maio de 2016 |
Vulnerabilidade de elevação de privilégio em APIs de framework
Uma elevação de vulnerabilidade de privilégio nas APIs do framework pode permitir que um aplicativo malicioso local contorne as proteções do sistema operacional que isolam os dados de outros aplicativos. Esse problema é considerado moderado porque pode ser usado para acessar dados fora dos níveis de permissão do aplicativo.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3832 | A-28795098 | Moderada | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 15 de maio de 2016 |
Vulnerabilidade de elevação de privilégios no Shell
Um aumento de privilégio no Shell pode permitir que um app local malicioso ignore restrições do dispositivo, como restrições de usuário. Esse problema é classificado como moderado porque é uma evasão local de permissões do usuário.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3833 | A-29189712 [2] | Moderada | Todos os Nexus | 5.0.2, 5.1.1, 6.0, 6.0.1 | Uso interno do Google |
Vulnerabilidade de divulgação de informações no OpenSSL
Uma vulnerabilidade de divulgação de informações no OpenSSL pode permitir que um aplicativo local malicioso acessoe dados fora dos níveis de permissão. Essa questão foi classificada como moderada porque pode ser usada para acessar dados sensíveis sem permissão.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-2842 | A-29060514 | Nenhuma* | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1 | 29 de março de 2016 |
* Os dispositivos Nexus com suporte que instalaram todas as atualizações disponíveis não são afetados por essa vulnerabilidade.
Vulnerabilidade de divulgação de informações em APIs de câmera
Uma vulnerabilidade de divulgação de informações nas APIs da câmera pode permitir que um app malicioso local acesse estruturas de dados fora dos níveis de permissão. Esse problema é classificado como moderado porque pode ser usado para acessar dados sensíveis sem permissão.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3834 | A-28466701 | Moderada | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 28 de abril de 2016 |
Vulnerabilidade de divulgação de informações no Mediaserver
Uma vulnerabilidade de divulgação de informações no Mediaserver pode permitir que um aplicativo malicioso local acesse dados fora dos níveis de permissão. Esse problema é classificado como moderado porque pode ser usado para acessar dados sensíveis sem permissão.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3835 | A-28920116 | Moderada | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 23 de maio de 2016 |
Vulnerabilidade de divulgação de informações no SurfaceFlinger
Uma vulnerabilidade de divulgação de informações no serviço SurfaceFlinger poderia permitir que um aplicativo local malicioso acessasse dados fora dos níveis de permissão. Esse problema foi classificado como moderado porque pode ser usado para acessar dados sensíveis sem a permissão explícita do usuário.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3836 | A-28592402 | Moderada | Todos os Nexus | 5.0.2, 5.1.1, 6.0, 6.0.1 | 4 de maio de 2016 |
Vulnerabilidade de divulgação de informações no Wi-Fi
Uma vulnerabilidade de divulgação de informações no Wi-Fi pode permitir que um aplicativo local malicioso acessoe dados fora dos níveis de permissão. Esse problema foi classificado como moderado porque pode ser usado para acessar dados sensíveis sem permissão.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3837 | A-28164077 | Moderada | Todos os Nexus | 5.0.2, 5.1.1, 6.0, 6.0.1 | Uso interno do Google |
Vulnerabilidade de negação de serviço na interface do sistema
Uma vulnerabilidade de negação de serviço na interface do sistema pode permitir que um aplicativo malicioso local impeça ligações para o 190 em uma tela bloqueada. Esse problema é classificado como moderado devido à possibilidade de negação de serviço em uma função crítica.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3838 | A-28761672 | Moderada | Todos os Nexus | 6.0, 6.0.1 | Uso interno do Google |
Vulnerabilidade de negação de serviço no Bluetooth
Uma vulnerabilidade de negação de serviço no Bluetooth pode permitir que um aplicativo malicioso local impeça ligações de emergência de um dispositivo Bluetooth. Esse problema é considerado moderado devido à possibilidade de negação de serviço em uma função crítica.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3839 | A-28885210 | Moderada | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Uso interno do Google |
Nível do patch de segurança de 05/08/2016: detalhes da vulnerabilidade
Nas seções abaixo, fornecemos detalhes sobre cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 2016-08-05. Há uma descrição do problema, um raciocínio sobre a gravidade e uma tabela com as vulnerabilidades e exposições comuns, as referências associadas, a gravidade, os dispositivos Nexus atualizados, as versões do AOSP atualizadas (quando aplicável) e a data de denúncia. Quando disponível, vamos vincular a mudança pública que resolveu o problema ao ID do bug, como a lista de mudanças do AOSP. Quando várias mudanças se relacionam a um único bug, outras referências são vinculadas a números após o ID do bug.
Vulnerabilidade de execução remota de código no driver do Wi-Fi da Qualcomm
Uma vulnerabilidade de execução remota de código no driver de Wi-Fi da Qualcomm pode permitir que um invasor remoto execute código arbitrário no contexto do kernel. Esse problema é classificado como crítico devido à possibilidade de comprometimento permanente local do dispositivo.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2014-9902 | A-28668638 | Crítico | Nexus 7 (2013) | 31 de março de 2014 |
Vulnerabilidade de execução remota de código no Conscrypt
Uma vulnerabilidade de execução remota de código no Conscrypt pode permitir que um invasor remoto execute código arbitrário no contexto de um processo privilegiado. Esse problema é classificado como crítico devido à possibilidade de execução remota de código.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3840 | A-28751153 | Crítico | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Uso interno do Google |
Elevação de privilégio em componentes da Qualcomm
A tabela abaixo contém vulnerabilidades de segurança que afetam os componentes da Qualcomm, incluindo o carregador de inicialização, o driver da câmera, o driver de caracteres, a rede, o driver de som e o driver de vídeo.
O mais grave desses problemas é classificado como crítico devido à possibilidade de um aplicativo malicioso local executar um código arbitrário no contexto do kernel, levando a uma violação permanente local do dispositivo, o que pode exigir uma nova atualização do sistema operacional para reparar o dispositivo.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2014-9863 | A-28768146 | Crítico | Nexus 5, Nexus 7 (2013) | 30 de abril de 2014 |
| CVE-2014-9864 | A-28747998 | Alta | Nexus 5, Nexus 7 (2013) | 27 de março de 2014 |
| CVE-2014-9865 | A-28748271 | Alta | Nexus 5, Nexus 7 (2013) | 27 de março de 2014 |
| CVE-2014-9866 | A-28747684 | Alta | Nexus 5, Nexus 7 (2013) | 31 de março de 2014 |
| CVE-2014-9867 | A-28749629 | Alta | Nexus 5, Nexus 7 (2013) | 31 de março de 2014 |
| CVE-2014-9868 | A-28749721 | Alta | Nexus 5, Nexus 7 (2013) | 31 de março de 2014 |
| CVE-2014-9869 | A-28749728 | Alta | Nexus 5, Nexus 7 (2013) | 31 de março de 2014 |
| CVE-2014-9870 | A-28749743 | Alta | Nexus 5, Nexus 7 (2013) | 31 de março de 2014 |
| CVE-2014-9871 | A-28749803 | Alta | Nexus 5, Nexus 7 (2013) | 31 de março de 2014 |
| CVE-2014-9872 | A-28750155 | Alta | Nexus 5 | 31 de março de 2014 |
| CVE-2014-9873 | A-28750726 | Alta | Nexus 5, Nexus 7 (2013) | 31 de março de 2014 |
| CVE-2014-9874 | A-28751152 | Alta | Nexus 5, Nexus 5X, Nexus 6P, Nexus 7 (2013) | 31 de março de 2014 |
| CVE-2014-9875 | A-28767589 | Alta | Nexus 7 (2013) | 30 de abril de 2014 |
| CVE-2014-9876 | A-28767796 | Alta | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013) | 30 de abril de 2014 |
| CVE-2014-9877 | A-28768281 | Alta | Nexus 5, Nexus 7 (2013) | 30 de abril de 2014 |
| CVE-2014-9878 | A-28769208 | Alta | Nexus 5 | 30 de abril de 2014 |
| CVE-2014-9879 | A-28769221 | Alta | Nexus 5 | 30 de abril de 2014 |
| CVE-2014-9880 | A-28769352 | Alta | Nexus 7 (2013) | 30 de abril de 2014 |
| CVE-2014-9881 | A-28769368 | Alta | Nexus 7 (2013) | 30 de abril de 2014 |
| CVE-2014-9882 | A-28769546 | Alta | Nexus 7 (2013) | 30 de abril de 2014 |
| CVE-2014-9883 | A-28769912 | Alta | Nexus 5, Nexus 7 (2013) | 30 de abril de 2014 |
| CVE-2014-9884 | A-28769920 | Alta | Nexus 5, Nexus 7 (2013) | 30 de abril de 2014 |
| CVE-2014-9885 | A-28769959 | Alta | Nexus 5 | 30 de abril de 2014 |
| CVE-2014-9886 | A-28815575 | Alta | Nexus 5, Nexus 7 (2013) | 30 de abril de 2014 |
| CVE-2014-9887 | A-28804057 | Alta | Nexus 5, Nexus 7 (2013) | 3 de julho de 2014 |
| CVE-2014-9888 | A-28803642 | Alta | Nexus 5, Nexus 7 (2013) | 29 de agosto de 2014 |
| CVE-2014-9889 | A-28803645 | Alta | Nexus 5 | 31 de outubro de 2014 |
| CVE-2015-8937 | A-28803962 | Alta | Nexus 5, Nexus 6, Nexus 7 (2013) | 31 de março de 2015 |
| CVE-2015-8938 | A-28804030 | Alta | Nexus 6 | 31 de março de 2015 |
| CVE-2015-8939 | A-28398884 | Alta | Nexus 7 (2013) | 30 de abril de 2015 |
| CVE-2015-8940 | A-28813987 | Alta | Nexus 6 | 30 de abril de 2015 |
| CVE-2015-8941 | A-28814502 | Alta | Nexus 6, Nexus 7 (2013) | 29 de maio de 2015 |
| CVE-2015-8942 | A-28814652 | Alta | Nexus 6 | 30 de junho de 2015 |
| CVE-2015-8943 | A-28815158 | Alta | Nexus 5 | 11 de setembro de 2015 |
| CVE-2014-9891 | A-28749283 | Moderada | Nexus 5 | 13 de março de 2014 |
| CVE-2014-9890 | A-28770207 | Moderada | Nexus 5, Nexus 7 (2013) | 2 de junho de 2014 |
Elevação de vulnerabilidade de privilégio no componente de rede do kernel
Uma elevação de vulnerabilidade de privilégio no componente de rede do kernel pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como crítico devido à possibilidade de comprometer permanentemente o dispositivo local, o que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-2686 | A-28759139 | Crítico | Todos os Nexus | 23 de março de 2015 |
| CVE-2016-3841 | A-28746669 | Crítico | Todos os Nexus | 3 de dezembro de 2015 |
Elevação do privilégio no driver da GPU Qualcomm
Uma elevação de vulnerabilidade de privilégio no driver da GPU da Qualcomm pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como crítico devido à possibilidade de comprometimento permanente local do dispositivo, que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-2504 | A-28026365
QC-CR#1002974 |
Crítico | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013) | 5 de abril de 2016 |
| CVE-2016-3842 | A-28377352
QC-CR#1002974 |
Crítico | Nexus 5X, Nexus 6, Nexus 6P | 25 de abril de 2016 |
* O patch para esse problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no componente de desempenho da Qualcomm
Uma elevação de vulnerabilidade de privilégio no componente de desempenho da Qualcomm pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como crítico devido à possibilidade de comprometer permanentemente o dispositivo local, o que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.
Observação:há também uma atualização no nível da plataforma neste boletim em A-29119870 que foi projetada para mitigar essa classe de vulnerabilidades.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-3843 | A-28086229*
QC-CR#1011071 |
Crítico | Nexus 5X, Nexus 6P | 7 de abril de 2016 |
* O patch para esse problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no kernel
Uma elevação de vulnerabilidade de privilégio no kernel pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como crítico devido à possibilidade de comprometimento permanente local do dispositivo, que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-3857 | A-28522518* | Crítico | Nexus 7 (2013) | 2 de maio de 2016 |
* O patch para esse problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Elevação de vulnerabilidade de privilégio no sistema de memória do kernel
Uma elevação de vulnerabilidade de privilégio no sistema de memória do kernel pode permitir que um aplicativo malicioso local execute código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-1593 | A-29577822 | Alta | Nexus Player | 13 de fevereiro de 2015 |
| CVE-2016-3672 | A-28763575 | Alta | Nexus Player | 25 de março de 2016 |
Elevação de vulnerabilidade de privilégio no componente de som do kernel
Uma elevação de vulnerabilidade de privilégio no componente de som do kernel pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como Alto porque primeiro exige comprometer um processo privilegiado.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-2544 | A-28695438 | Alta | Todos os Nexus | 19 de janeiro de 2016 |
| CVE-2016-2546 | A-28694392 | Alta | Pixel C | 19 de janeiro de 2016 |
| CVE-2014-9904 | A-28592007 | Alta | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player | 4 de maio de 2016 |
Vulnerabilidade de elevação de privilégio no sistema de arquivos do kernel
Uma elevação de vulnerabilidade de privilégio no sistema de arquivos do kernel pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2012-6701 | A-28939037 | Alta | Nexus 5, Nexus 7 (2013) | 2 de março de 2016 |
Vulnerabilidade de elevação de privilégio no Mediaserver
Uma elevação de vulnerabilidade de privilégio no Mediaserver pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto de um processo privilegiado. Esse problema foi classificado como "Alto" porque pode ser usado para ter acesso local a recursos elevados, que não são acessíveis a um aplicativo de terceiros.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-3844 | A-28299517*
N-CVE-2016-3844 |
Alta | Nexus 9, Pixel C | 19 de abril de 2016 |
* O patch para esse problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no driver de vídeo do kernel
Uma elevação de vulnerabilidade de privilégio no driver de vídeo do kernel pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-3845 | A-28399876* | Alta | Nexus 5 | 20 de abril de 2016 |
* O patch para esse problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Elevação de vulnerabilidade de privilégio no driver da interface periférica serial
Uma elevação de vulnerabilidade de privilégio no driver da interface periférica serial pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro exige comprometer um processo privilegiado.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-3846 | A-28817378* | Alta | Nexus 5X, Nexus 6P | 17 de maio de 2016 |
* O patch para esse problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no driver de mídia da NVIDIA
Uma elevação de vulnerabilidade de privilégio no driver de mídia da NVIDIA pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-3847 | A-28871433*
N-CVE-2016-3847 |
Alta | Nexus 9 | 19 de maio de 2016 |
| CVE-2016-3848 | A-28919417*
N-CVE-2016-3848 |
Alta | Nexus 9 | 19 de maio de 2016 |
* O patch para esse problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no driver ION
Uma elevação de vulnerabilidade de privilégio no driver ION pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-3849 | A-28939740 | Alta | Pixel C | 24 de maio de 2016 |
* O patch para esse problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Elevação de vulnerabilidade de privilégio no carregador de inicialização da Qualcomm
Uma elevação de vulnerabilidade de privilégio no bootloader da Qualcomm pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-3850 | A-27917291 | Alta | Nexus 5, Nexus 5X, Nexus 6P, Nexus 7 (2013) | 28 de março de 2016 |
Elevação de vulnerabilidade de privilégio no subsistema de desempenho do kernel
O escalonamento de vulnerabilidades de privilégio no subsistema de desempenho do kernel pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como Alto devido à superfície de ataque do kernel disponível para exploração por invasores.
Observação:essa é uma atualização no nível da plataforma projetada para reduzir uma classe de vulnerabilidades, como CVE-2016-3843 (A-28086229).
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3843 | A-29119870* | Alta | Todos os Nexus | 6.0, 6.1 | Uso interno do Google |
* Um patch para esse problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no carregador de inicialização da LG Electronics
Uma elevação de vulnerabilidade de privilégio no carregador de inicialização da LG Electronics pode permitir que um invasor execute um código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-3851 | A-29189941* | Alta | Nexus 5X | Uso interno do Google |
* O patch para esse problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de divulgação de informações em componentes da Qualcomm
A tabela abaixo contém vulnerabilidades de segurança que afetam componentes da Qualcomm, incluindo o carregador de inicialização, o driver de câmera, o driver de caracteres, a rede, o driver de som e o driver de vídeo.
O problema mais grave é classificado como Alto devido à possibilidade de um aplicativo local malicioso acessar dados fora dos níveis de permissão, como dados sensíveis sem permissão explícita do usuário.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2014-9892 | A-28770164 | Alta | Nexus 5, Nexus 7 (2013) | 2 de junho de 2014 |
| CVE-2015-8944 | A-28814213 | Alta | Nexus 6, Nexus 7 (2013) | 30 de abril de 2015 |
| CVE-2014-9893 | A-28747914 | Moderada | Nexus 5 | 27 de março de 2014 |
| CVE-2014-9894 | A-28749708 | Moderada | Nexus 7 (2013) | 31 de março de 2014 |
| CVE-2014-9895 | A-28750150 | Moderada | Nexus 5, Nexus 7 (2013) | 31 de março de 2014 |
| CVE-2014-9896 | A-28767593 | Moderada | Nexus 5, Nexus 7 (2013) | 30 de abril de 2014 |
| CVE-2014-9897 | A-28769856 | Moderada | Nexus 5 | 30 de abril de 2014 |
| CVE-2014-9898 | A-28814690 | Moderada | Nexus 5, Nexus 7 (2013) | 30 de abril de 2014 |
| CVE-2014-9899 | A-28803909 | Moderada | Nexus 5 | 3 de julho de 2014 |
| CVE-2014-9900 | A-28803952 | Moderada | Nexus 5, Nexus 7 (2013) | 8 de agosto de 2014 |
Vulnerabilidade de divulgação de informações no agendador do kernel
Uma vulnerabilidade de divulgação de informações no agendador do kernel pode permitir que um aplicativo malicioso local acesse dados fora dos níveis de permissão. Esse problema foi classificado como Alto porque pode ser usado para acessar dados sensíveis sem a permissão explícita do usuário.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2014-9903 | A-28731691 | Alta | Nexus 5X, Nexus 6P | 21 de fevereiro de 2014 |
Vulnerabilidade de divulgação de informações no driver do MediaTek Wi-Fi (específico do dispositivo)
Uma vulnerabilidade de divulgação de informações no driver do Wi-Fi da MediaTek pode permitir que um aplicativo local malicioso acesse dados fora dos níveis de permissão. Esse problema foi classificado como Alto porque pode ser usado para acessar dados sensíveis sem a permissão explícita do usuário.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-3852 | A-29141147*
M-ALPS02751738 |
Alta | Android One | 12 de abril de 2016 |
* O patch para esse problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de divulgação de informações no driver USB
Uma vulnerabilidade de divulgação de informações no driver USB pode permitir que um aplicativo malicioso local acesse dados fora dos níveis de permissão. Esse problema foi classificado como Alto porque pode ser usado para acessar dados sensíveis sem permissão explícita do usuário.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-4482 | A-28619695 | Alta | Todos os Nexus | 3 de maio de 2016 |
Vulnerabilidade de negação de serviço em componentes da Qualcomm
A tabela abaixo contém vulnerabilidades de segurança que afetam componentes da Qualcomm, potencialmente incluindo o driver de Wi-Fi.
O problema mais grave é classificado como Alto devido à possibilidade de um invasor causar uma negação remota temporária de serviço, resultando em uma falha ou reinicialização do dispositivo.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2014-9901 | A-28670333 | Alta | Nexus 7 (2013) | 31 de março de 2014 |
Vulnerabilidade de elevação de privilégio no Google Play Services
Uma vulnerabilidade de elevação de privilégio nos serviços do Google Play pode permitir que um atacante local contorne a proteção de redefinição de fábrica e tenha acesso ao dispositivo. A classificação é Moderada devido à possibilidade de ignorar a proteção contra redefinição de fábrica, o que pode levar à redefinição do dispositivo e à exclusão de todos os dados.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-3853 | A-26803208* | Moderada | Todos os Nexus | Nenhum | 4 de maio de 2016 |
* O patch para esse problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio em APIs do framework
Uma vulnerabilidade de elevação de privilégio nas APIs do framework pode permitir que um aplicativo pré-instalado aumente a prioridade do filtro de intent quando o aplicativo estiver sendo atualizado sem que o usuário seja notificado. Esse problema é classificado como moderado porque pode ser usado para ganhar recursos elevados sem permissão explícita do usuário.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-2497 | A-27450489 | Moderada | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Uso interno do Google |
Vulnerabilidade de divulgação de informações no componente de rede do kernel
Uma vulnerabilidade de divulgação de informações no componente de rede do kernel pode permitir que um aplicativo malicioso local acesse dados fora dos níveis de permissão. Esse problema é classificado como moderado porque primeiro ele precisa comprometer um processo privilegiado.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-4486 | A-28620102 | Moderada | Todos os Nexus | 3 de maio de 2016 |
Vulnerabilidade de divulgação de informações no componente de som do kernel
Uma vulnerabilidade de divulgação de informações no componente de som do kernel pode permitir que um aplicativo local malicioso acesse dados fora dos níveis de permissão. Esse problema é classificado como moderado porque primeiro ele precisa comprometer um processo privilegiado.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-4569 | A-28980557 | Moderada | Todos os Nexus | 9 de maio de 2016 |
| CVE-2016-4578 | A-28980217 | Moderada | Todos os Nexus | 11 de maio de 2016 |
Vulnerabilidades em componentes da Qualcomm
A tabela abaixo contém vulnerabilidades de segurança que afetam os componentes da Qualcomm, incluindo o carregador de inicialização, o driver de câmera, o driver de caracteres, a rede, o driver de som e o driver de vídeo.
| CVE | Referências | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-3854 | QC-CR#897326 | Alta | Nenhum | Fevereiro de 2016 |
| CVE-2016-3855 | QC-CR#990824 | Alta | Nenhum | Maio de 2016 |
| CVE-2016-2060 | QC-CR#959631 | Moderada | Nenhum | Abril de 2016 |
Perguntas e respostas comuns
Esta seção responde a perguntas comuns que podem surgir após a leitura deste boletim.
1. Como determino se meu dispositivo está atualizado para resolver esses problemas?
Os níveis de patch de segurança de 2016-08-01 ou mais recentes resolvem todos os problemas associados ao nível da string do patch de segurança 2016-08-01. Os níveis de patch de segurança de 2016-08-05 ou mais recentes resolvem todos os problemas associados ao nível de string do patch de segurança 2016-08-05. Consulte a Central de Ajuda para instruções sobre como verificar o nível do patch de segurança. Os fabricantes de dispositivos que incluem essas atualizações precisam definir o nível da string de patch como: [ro.build.version.security_patch]:[2016-08-01] ou [ro.build.version.security_patch]:[2016-08-05].
2. Por que este boletim tem duas strings de nível de patch de segurança?
Este boletim tem duas strings de nível de patch de segurança para oferecer aos parceiros do Android a flexibilidade de corrigir um subconjunto de vulnerabilidades semelhantes em todos os dispositivos Android. Recomendamos que os parceiros do Android corrijam todos os problemas deste boletim e usem a string de nível de correção de segurança mais recente.
Os dispositivos que usam o nível do patch de segurança de 5 de agosto de 2016 ou mais recente precisam incluir todos os patches aplicáveis nestes e nos boletins de segurança anteriores.
Os dispositivos que usam o nível do patch de segurança de 1º de agosto de 2016 precisam incluir todos os problemas associados a esse nível, além de correções para todos os problemas informados em boletins de segurança anteriores. Dispositivos que usam o nível do patch de segurança de 1º de agosto de 2016 também podem incluir um subconjunto de correções associadas ao nível do patch de segurança de 5 de agosto de 2016.
3. Como determinar quais dispositivos Nexus são afetados por cada problema?
Nas seções de detalhes da vulnerabilidade de segurança 2016-08-01 e 2016-08-05, cada tabela tem uma coluna "Dispositivos Nexus atualizados" que abrange o intervalo de dispositivos Nexus afetados atualizados para cada problema. Essa coluna tem algumas opções:
- Todos os dispositivos Nexus: se um problema afetar todos os dispositivos Nexus, a tabela vai mostrar "Todos os Nexus" na coluna Dispositivos Nexus atualizados. "Todos os Nexus" inclui os seguintes dispositivos compatíveis: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player e Pixel C.
- Alguns dispositivos Nexus: se um problema não afetar todos os dispositivos Nexus, os dispositivos Nexus afetados serão listados na coluna Dispositivos Nexus atualizados.
- Nenhum dispositivo Nexus: se nenhum dispositivo Nexus for afetado pelo problema, a tabela vai mostrar "Nenhum" na coluna Dispositivos Nexus atualizados.
4. Para que as entradas na coluna de referências são mapeadas?
As entradas na coluna References da tabela de detalhes da vulnerabilidade podem conter um prefixo que identifica a organização à qual o valor de referência pertence. Esses prefixos são mapeados da seguinte maneira:
| Prefixo | Referência |
|---|---|
| A- | ID do bug do Android |
| QC- | Número de referência da Qualcomm |
| M- | Número de referência da MediaTek |
| N- | Número de referência da NVIDIA |
Revisões
- 1º de agosto de 2016: publicação do boletim.
- 2 de agosto de 2016: o boletim foi revisado para incluir links do AOSP.
- 16 de agosto de 2016: a CVE-2016-3856 foi corrigida para CVE-2016-2060, e o URL de referência foi atualizado.
- 21 de outubro de 2016: correção de um erro de digitação em CVE-2016-4486.