Opublikowano 06 września 2016 | Zaktualizowano 12 września 2016 r
Biuletyn bezpieczeństwa systemu Android zawiera szczegółowe informacje na temat luk w zabezpieczeniach urządzeń z systemem Android. Wraz z biuletynem opublikowaliśmy aktualizację zabezpieczeń dla urządzeń Nexus za pośrednictwem aktualizacji bezprzewodowej (OTA). Obrazy oprogramowania sprzętowego Nexusa zostały także udostępnione w witrynie Google Developer . Poziomy poprawek zabezpieczeń z 6 września 2016 r. lub nowszych rozwiązują te problemy. Zapoznaj się z dokumentacją , aby dowiedzieć się, jak sprawdzić poziom poprawki zabezpieczeń. Obsługiwane urządzenia Nexus otrzymają pojedynczą aktualizację OTA z poziomem poprawki zabezpieczeń z 06 września 2016 r.
Partnerzy zostali powiadomieni o problemach opisanych w biuletynie w dniu 05 sierpnia 2016 roku lub wcześniej. W stosownych przypadkach w repozytorium Android Open Source Project (AOSP) udostępniono poprawki kodu źródłowego rozwiązujące te problemy. Biuletyn ten zawiera także łącza do poprawek spoza AOSP.
Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach, która może umożliwić zdalne wykonanie kodu na zagrożonym urządzeniu przy użyciu wielu metod, takich jak poczta e-mail, przeglądanie stron internetowych i MMS podczas przetwarzania plików multimedialnych. Ocena ważności opiera się na możliwym wpływie wykorzystania luki na urządzenie, którego dotyczy luka, przy założeniu, że zabezpieczenia platformy i usług są wyłączone na potrzeby programowania lub jeśli pomyślnie je ominiesz.
Nie otrzymaliśmy żadnych raportów o aktywnym wykorzystywaniu klientów lub nadużyciach w związku z nowo zgłoszonymi problemami. Szczegółowe informacje na temat zabezpieczeń platformy zabezpieczeń Androida i zabezpieczeń usług, takich jak SafetyNet, które poprawiają bezpieczeństwo platformy Android, można znaleźć w sekcji Ograniczenia usług Android i Google.
Zachęcamy wszystkich klientów do zaakceptowania tych aktualizacji na swoich urządzeniach.
Ogłoszenia
- W tym biuletynie znajdują się trzy poziomy poprawek zabezpieczeń, które zapewniają partnerom systemu Android elastyczność umożliwiającą szybsze usuwanie podzbioru luk w zabezpieczeniach, które są podobne na wszystkich urządzeniach z systemem Android. Aby uzyskać dodatkowe informacje, zobacz Często zadawane pytania i odpowiedzi :
- 2016-09-01 : Ciąg znaków dotyczący poziomu częściowej poprawki zabezpieczeń. Ten ciąg poziomu poprawki zabezpieczeń wskazuje, że rozwiązano wszystkie problemy związane z datą 2016-09-01 (i wszystkimi poprzednimi ciągami poziomów poprawek zabezpieczeń).
- 2016-09-05 : Ciąg znaków dotyczący poziomu częściowej poprawki zabezpieczeń. Ten ciąg poziomu poprawki zabezpieczeń wskazuje, że rozwiązano wszystkie problemy związane z datami 2016-09-01 i 2016-09-05 (oraz wszystkimi poprzednimi ciągami poziomów poprawek zabezpieczeń).
- 2016-09-06 : Kompletny ciąg poziomów poprawek zabezpieczeń, który rozwiązuje problemy wykryte po powiadomieniu partnerów o większości problemów w tym biuletynie. Ten ciąg poziomu poprawki zabezpieczeń wskazuje, że rozwiązano wszystkie problemy związane z datami 2016-09-01, 2016-09-05 i 2016-09-06 (oraz wszystkimi poprzednimi ciągami poziomów poprawek zabezpieczeń).
- Obsługiwane urządzenia Nexus otrzymają pojedynczą aktualizację OTA z poziomem poprawki zabezpieczeń z 06 września 2016 r.
Ograniczenia dotyczące usług Android i Google
To jest podsumowanie środków zaradczych zapewnianych przez platformę zabezpieczeń Androida i zabezpieczenia usług, takie jak SafetyNet. Funkcje te zmniejszają prawdopodobieństwo skutecznego wykorzystania luk w zabezpieczeniach systemu Android.
- Eksploatację wielu problemów na Androidzie utrudniają ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników, jeśli to możliwe, do aktualizacji do najnowszej wersji Androida.
- Zespół ds. bezpieczeństwa systemu Android aktywnie monitoruje nadużycia za pomocą aplikacji Verify Apps i SafetyNet , których zadaniem jest ostrzeganie użytkowników o potencjalnie szkodliwych aplikacjach . Opcja Weryfikuj aplikacje jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google i jest szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play. Narzędzia do rootowania urządzeń są zabronione w Google Play, ale funkcja Verify Apps ostrzega użytkowników, gdy próbują zainstalować wykrytą aplikację do rootowania – niezależnie od tego, skąd ona pochodzi. Ponadto funkcja Verify Apps próbuje identyfikować i blokować instalację znanych złośliwych aplikacji wykorzystujących lukę umożliwiającą eskalację uprawnień. Jeżeli taka aplikacja została już zainstalowana, Verify Apps powiadomi użytkownika i podejmie próbę usunięcia wykrytej aplikacji.
- W stosownych przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak Mediaserver.
Podziękowanie
Chcielibyśmy podziękować tym badaczom za ich wkład:
- Cory Pruce z Carnegie Mellon University: CVE-2016-3897
- Gengjia Chen ( @chengjia4574 ) i plik PDF z IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-3869, CVE-2016-3865, CVE-2016-3866, CVE-2016-3867
- Hao Qin z Laboratorium Badań nad Bezpieczeństwem, Cheetah Mobile : CVE-2016-3863
- Jann Horn z Google Project Zero: CVE-2016-3885
- Jianqiang Zhao ( @jianqiangzhao ) i plik PJF z IceSword Lab, Qihoo 360: CVE-2016-3858
- Joshua Drake @jduck ): CVE-2016-3861
- Madhu Priya Murugan z CISPA, Uniwersytet Saary: CVE-2016-3896
- Makoto Onuki z Google: CVE-2016-3876
- Oznacz markę Google Project Zero: CVE-2016-3861
- Max Spector zabezpieczeń Androida: CVE-2016-3888
- Max Spector i Quan To z zabezpieczeń systemu Android: CVE-2016-3889
- Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ) i Xuxian Jiang z zespołu C0RE : CVE-2016-3895
- Nathan Crandall ( @natecray ) z zespołu ds. bezpieczeństwa produktów Tesla Motors: Odkrycie dodatkowych problemów związanych z CVE-2016-2446
- Oleksiy Vyalov z Google: CVE-2016-3890
- Oliver Chang z zespołu ds. bezpieczeństwa przeglądarki Google Chrome: CVE-2016-3880
- Piosenka Peng Xiao, Chengming Yang, Ning You, Chao Yang i Yang z Alibaba Mobile Security Group: CVE-2016-3859
- Ronald L. Loor Vargas ( @loor_rlv ) z TEAM Lv51: CVE-2016-3886
- Sagi Kedmi, badacz IBM Security X-Force: CVE-2016-3873
- Scott Bauer ( @ScottyBauer1 ): CVE-2016-3893, CVE-2016-3868, CVE-2016-3867
- Seven Shen ( @lingtongshen ) z TrendMicro: CVE-2016-3894
- Tim Strazzere ( @timstrazz ) z SentinelOne / RedNaga: CVE-2016-3862
- trotmaster ( @trotmaster99 ): CVE-2016-3883
- Victor Chang z Google: CVE-2016-3887
- Vignesh Venkatasubraman z Google: CVE-2016-3881
- Weichao Sun ( @sunblate ) z Alibaba Inc: CVE-2016-3878
- Wenke Dou , Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ) i Xuxian Jiang z zespołu C0RE : CVE-2016-3870, CVE-2016-3871, CVE-2016-3872
- Wish Wu (吴潍浠) ( @wish_wu ) z Trend Micro Inc .: CVE-2016-3892
- Xingyu He (何星宇) ( @Spid3r_ ) z Alibaba Inc : CVE-2016-3879
- Yacong Gu z TCA Lab, Instytut Oprogramowania, Chińskiej Akademii Nauk: CVE-2016-3884
- Yuru Shao z Uniwersytetu Michigan w Ann Arbor: CVE-2016-3898
Poziom poprawki zabezpieczeń z dnia 2016-09-01 — szczegóły luk w zabezpieczeniach
W poniższych sekcjach podajemy szczegółowe informacje na temat każdej luki w zabezpieczeniach, która ma zastosowanie w wersji poprawki 2016-09-01. Znajduje się tam opis problemu, uzasadnienie wagi oraz tabela zawierająca CVE, powiązane odniesienia, wagę, zaktualizowane urządzenia Nexus, zaktualizowane wersje AOSP (w stosownych przypadkach) i datę zgłoszenia. Jeśli będzie to możliwe, połączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian AOSP. Gdy wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są powiązane z liczbami następującymi po identyfikatorze błędu.
Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu w LibUtils
Luka w zabezpieczeniach LibUtils umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej korzystającej ze specjalnie spreparowanego pliku wykonanie dowolnego kodu w kontekście uprzywilejowanego procesu. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w aplikacjach korzystających z tej biblioteki.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3861 | A-29250543 [ 2 ] [ 3 ] [ 4 ] | Krytyczny | Cały Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 9 czerwca 2016 r |
Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu w Mediaserverze
Luka w zabezpieczeniach programu Mediaserver umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej użycie specjalnie spreparowanego pliku spowodowanie uszkodzenia pamięci podczas przetwarzania plików multimedialnych i danych. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście procesu Mediaservera.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3862 | A-29270469 | Krytyczny | Cały Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 10 czerwca 2016 r |
Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu w MediaMuxerze
Luka w zabezpieczeniach programu MediaMuxer umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej korzystającej ze specjalnie spreparowanego pliku wykonanie dowolnego kodu w kontekście nieuprzywilejowanego procesu. Ten problem ma ocenę Wysoki ze względu na możliwość zdalnego wykonania kodu w aplikacji korzystającej z MediaMuxera.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3863 | A-29161888 | Wysoki | Cały Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 6 czerwca 2016 r |
Zwiększenie luki w zabezpieczeniach serwera multimediów
Luka w zabezpieczeniach programu Mediaserver umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście uprzywilejowanego procesu. Ten problem ma ocenę Wysoki, ponieważ można go wykorzystać do uzyskania lokalnego dostępu do zwiększonych możliwości, które zwykle nie są dostępne dla aplikacji innych firm.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3870 | A-29421804 | Wysoki | Cały Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 15 czerwca 2016 r |
| CVE-2016-3871 | A-29422022 [ 2 ] [ 3 ] | Wysoki | Cały Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 15 czerwca 2016 r |
| CVE-2016-3872 | A-29421675 [ 2 ] | Wysoki | Cały Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 15 czerwca 2016 r |
Zwiększenie luki w zabezpieczeniach uprawnień podczas uruchamiania urządzenia
Podniesienie uprawnień podczas sekwencji rozruchowej może umożliwić lokalnemu złośliwemu atakującemu uruchomienie systemu w trybie awaryjnym, nawet jeśli jest on wyłączony. Ten problem ma ocenę Wysoki, ponieważ stanowi lokalne obejście wymagań dotyczących interakcji użytkownika w przypadku jakichkolwiek modyfikacji ustawień zabezpieczeń przez programistów lub zabezpieczeń.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3875 | A-26251884 | Wysoki | Nic* | 6.0, 6.0.1 | Wewnętrzne Google |
* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z systemem Android 7.0, na których zainstalowano wszystkie dostępne aktualizacje.
Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Ustawieniach
Podniesienie uprawnień w Ustawieniach może umożliwić lokalnemu złośliwemu atakującemu uruchomienie systemu w trybie awaryjnym, nawet jeśli jest on wyłączony. Ten problem ma ocenę Wysoki, ponieważ stanowi lokalne obejście wymagań dotyczących interakcji użytkownika w przypadku jakichkolwiek modyfikacji ustawień zabezpieczeń przez programistów lub zabezpieczeń.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3876 | A-29900345 | Wysoki | Cały Nexus | 6.0, 6.0.1, 7.0 | Wewnętrzne Google |
Luka w zabezpieczeniach typu „odmowa usługi” w serwerze multimediów
Luka w zabezpieczeniach programu Mediaserver umożliwiająca odmowę usługi może umożliwić osobie atakującej użycie specjalnie spreparowanego pliku w celu spowodowania zawieszenia lub ponownego uruchomienia urządzenia. Ten problem ma ocenę Wysoki ze względu na możliwość zdalnej odmowy usługi.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3899 | A-29421811 | Wysoki | Cały Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 16 czerwca 2016 r |
| CVE-2016-3878 | A-29493002 | Wysoki | Wszystkie Nexusy* | 6.0, 6.0.1 | 17 czerwca 2016 r |
| CVE-2016-3879 | A-29770686 | Wysoki | Wszystkie Nexusy* | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 25 czerwca 2016 r |
| CVE-2016-3880 | A-25747670 | Wysoki | Cały Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | Wewnętrzne Google |
| CVE-2016-3881 | A-30013856 | Wysoki | Cały Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | Wewnętrzne Google |
* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z systemem Android 7.0, na których zainstalowano wszystkie dostępne aktualizacje.
Zwiększenie luki w zabezpieczeniach w zakresie uprawnień w telefonii
Luka w zabezpieczeniach komponentu Telefonia umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wysyłanie nieautoryzowanych wiadomości SMS typu premium. Ten problem został oceniony jako umiarkowany, ponieważ można go wykorzystać do zwiększenia możliwości bez wyraźnej zgody użytkownika.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3883 | A-28557603 | Umiarkowany | Cały Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 3 maja 2016 r |
Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w usłudze Menedżera powiadomień
Luka w zabezpieczeniach usługi Menedżer powiadomień umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji. Ten problem został oceniony jako umiarkowany, ponieważ stanowi lokalne obejście wymagań dotyczących interakcji użytkownika, takich jak dostęp do funkcji, które normalnie wymagają inicjacji użytkownika lub jego pozwolenia.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3884 | A-29421441 | Umiarkowany | Cały Nexus | 6.0, 6.0.1, 7.0 | 15 czerwca 2016 r |
Podniesienie luki w zabezpieczeniach w Debuggerdzie
Luka w zabezpieczeniach zintegrowanego debugera systemu Android umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście debugera systemu Android. Ten problem ma wagę umiarkowaną ze względu na możliwość wykonania lokalnego dowolnego kodu w uprzywilejowanym procesie.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3885 | A-29555636 | Umiarkowany | Cały Nexus | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 21 czerwca 2016 r |
Zwiększenie luki w zabezpieczeniach systemu UI Tunera
Podniesienie uprawnień w tunerze interfejsu użytkownika systemu może umożliwić lokalnemu złośliwemu użytkownikowi modyfikację chronionych ustawień, gdy urządzenie jest zablokowane. Ten problem został oceniony jako umiarkowany, ponieważ stanowi lokalne obejście uprawnień użytkownika.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3886 | A-30107438 | Umiarkowany | Cały Nexus | 7,0 | 23 czerwca 2016 r |
Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Ustawieniach
Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Ustawieniach może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń systemu operacyjnego dla ustawień VPN. Ten problem został oceniony jako umiarkowany, ponieważ może zostać wykorzystany do uzyskania dostępu do danych wykraczających poza poziomy uprawnień aplikacji.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3887 | A-29899712 | Umiarkowany | Cały Nexus | 7,0 | Wewnętrzne Google |
Zwiększenie luki w zabezpieczeniach wiadomości SMS
Luka w zabezpieczeniach programu SMS umożliwiająca podniesienie uprawnień może umożliwić lokalnemu atakującemu wysyłanie wiadomości SMS typu premium przed udostępnieniem urządzenia. Jest to oceniane jako umiarkowane ze względu na możliwość ominięcia zabezpieczenia przywracania ustawień fabrycznych, co powinno uniemożliwić korzystanie z urządzenia przed jego skonfigurowaniem.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3888 | A-29420123 | Umiarkowany | Cały Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | Wewnętrzne Google |
Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Ustawieniach
Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Ustawieniach może umożliwić lokalnemu atakującemu ominięcie zabezpieczenia przywracania ustawień fabrycznych i uzyskanie dostępu do urządzenia. Jest to oceniane jako umiarkowane ze względu na możliwość ominięcia zabezpieczenia przywracania ustawień fabrycznych, co może doprowadzić do pomyślnego zresetowania urządzenia i usunięcia wszystkich jego danych.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3889 | A-29194585 [ 2 ] | Umiarkowany | Cały Nexus | 6.0, 6.0.1, 7.0 | Wewnętrzne Google |
Zwiększenie luki w zabezpieczeniach protokołu Java Debug Wire Protocol
Luka w zabezpieczeniach protokołu Java Debug Wire Protocol umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście aplikacji systemowej z podwyższonym poziomem uprawnień. Ten problem został oceniony jako umiarkowany, ponieważ wymaga nietypowej konfiguracji urządzenia.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3890 | A-28347842 [ 2 ] | Umiarkowany | Nic* | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Wewnętrzne Google |
* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z systemem Android 7.0, na których zainstalowano wszystkie dostępne aktualizacje.
Luka umożliwiająca ujawnienie informacji w Mediaserverze
Luka w zabezpieczeniach Mediaservera umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem został oceniony jako umiarkowany, ponieważ może zostać wykorzystany do uzyskania dostępu do poufnych danych bez pozwolenia.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3895 | A-29983260 | Umiarkowany | Cały Nexus | 6.0, 6.0.1, 7.0 | 4 lipca 2016 r |
Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w poczcie AOSP
Luka w zabezpieczeniach AOSP Mail umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji uzyskanie dostępu do prywatnych informacji użytkownika. Ten problem został oceniony jako umiarkowany, ponieważ może zostać wykorzystany do niewłaściwego uzyskania dostępu do danych bez pozwolenia.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3896 | A-29767043 | Umiarkowany | Nic* | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 24 lipca 2016 r |
* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z systemem Android 7.0, na których zainstalowano wszystkie dostępne aktualizacje.
Luka w zabezpieczeniach Wi-Fi umożliwiająca ujawnienie informacji
Luka w konfiguracji Wi-Fi umożliwiająca ujawnienie informacji może umożliwić aplikacji dostęp do poufnych informacji. Ten problem został oceniony jako umiarkowany, ponieważ można go wykorzystać do uzyskania dostępu do danych bez pozwolenia.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3897 | A-25624963 [ 2 ] | Umiarkowany | Nic* | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 5 listopada 2015 r |
* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z systemem Android 7.0, na których zainstalowano wszystkie dostępne aktualizacje.
Luka w zabezpieczeniach typu „odmowa usługi” w telefonii
Luka w zabezpieczeniach składnika Telefonia umożliwiająca odmowę usługi może umożliwić lokalnej złośliwej aplikacji zapobieganie wywołaniom pod numer 911 TTY z zablokowanego ekranu. Ten problem został oceniony jako umiarkowany ze względu na możliwość odmowy usługi w przypadku funkcji krytycznej.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Zaktualizowane wersje AOSP | Data zgłoszona |
|---|---|---|---|---|---|
| CVE-2016-3898 | A-29832693 | Umiarkowany | Cały Nexus | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 28 czerwca 2016 r |
Poziom poprawki zabezpieczeń z dnia 2016-09-05 — szczegóły dotyczące luk w zabezpieczeniach
W poniższych sekcjach podajemy szczegółowe informacje na temat każdej luki w zabezpieczeniach, która ma zastosowanie w wersji poprawki z dnia 2016-09-05. Znajduje się tam opis problemu, uzasadnienie wagi oraz tabela zawierająca CVE, powiązane odniesienia, wagę, zaktualizowane urządzenia Nexus, zaktualizowane wersje AOSP (w stosownych przypadkach) i datę zgłoszenia. Jeśli będzie to możliwe, połączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian AOSP. Gdy wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są powiązane z liczbami następującymi po identyfikatorze błędu.
Zwiększenie luki w zabezpieczeniach podsystemu zabezpieczeń jądra
Luka w zabezpieczeniach podsystemu zabezpieczeń jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia, co może wymagać ponownej aktualizacji systemu operacyjnego w celu naprawy urządzenia.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2014-9529 | A-29510361 | Krytyczny | Nexus 5, Nexus 6, Nexus 9, Nexus Player, Android One | 6 stycznia 2015 r |
| CVE-2016-4470 | A-29823941 | Krytyczny | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player | 15 czerwca 2016 r |
Zwiększenie luki w zabezpieczeniach podsystemu sieciowego jądra
Luka w zabezpieczeniach podsystemu sieciowego jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia, co może wymagać ponownej aktualizacji systemu operacyjnego w celu naprawy urządzenia.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2013-7446 | A-29119002 | Krytyczny | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 18 listopada 2015 r |
Zwiększenie luki w zabezpieczeniach podsystemu netfilter jądra
Luka w zabezpieczeniach podsystemu netfilter jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia, co może wymagać ponownej aktualizacji systemu operacyjnego w celu naprawy urządzenia.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3134 | A-28940694 | Krytyczny | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 9 marca 2016 r |
Zwiększenie luki w zabezpieczeniach sterownika USB jądra
Luka w zabezpieczeniach sterownika USB jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia, co może wymagać ponownej aktualizacji systemu operacyjnego w celu naprawy urządzenia.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3951 | A-28744625 Jądro nadrzędne [ 2 ] | Krytyczny | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 6 kwietnia 2016 r |
Zwiększenie luki w zabezpieczeniach podsystemu dźwiękowego jądra
Luka w zabezpieczeniach podsystemu dźwiękowego jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2014-4655 | A-29916012 | Wysoki | Nexus 5, Nexus 6, Nexus 9, Nexus Player | 26 czerwca 2014 |
Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w dekoderze jądra ASN.1
Luka w zabezpieczeniach dekodera ASN.1 jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-2053 | A-28751627 | Wysoki | Nexusa 5X, Nexusa 6P | 25 stycznia 2016 r |
Zwiększenie luki w zabezpieczeniach warstwy interfejsu radiowego Qualcomm
Luka w zabezpieczeniach warstwy interfejsu radiowego Qualcomm umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3864 | A-28823714* QC-CR#913117 | Wysoki | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One | 29 kwietnia 2016 r |
* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .
Zwiększenie luki w zabezpieczeniach sterownika podsystemu Qualcomm
Luka w zabezpieczeniach sterownika podsystemu Qualcomm umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3858 | A-28675151 QC-CR#1022641 | Wysoki | Nexusa 5X, Nexusa 6P | 9 maja 2016 r |
Zwiększenie luki w zabezpieczeniach sterownika sieciowego jądra
Luka w zabezpieczeniach sterownika sieciowego jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-4805 | A-28979703 | Wysoki | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9 | 15 maja 2016 r |
Zwiększenie luki w zabezpieczeniach sterownika ekranu dotykowego Synaptics
Luka w zabezpieczeniach sterownika ekranu dotykowego Synaptics umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3865 | A-28799389* | Wysoki | Nexusa 5X, Nexusa 9 | 16 maja 2016 r |
* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .
Zwiększenie luki w zabezpieczeniach sterownika kamery Qualcomm
Luka w zabezpieczeniach sterownika aparatu Qualcomm umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3859 | A-28815326* QC-CR#1034641 | Wysoki | Nexusa 5, Nexusa 5X, Nexusa 6, Nexusa 6P | 17 maja 2016 r |
* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .
Zwiększenie luki w zabezpieczeniach sterownika dźwięku Qualcomm
Luka w sterowniku dźwięku Qualcomm umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3866 | A-28868303* QC-CR#1032820 | Wysoki | Nexusa 5X, Nexusa 6, Nexusa 6P | 18 maja 2016 r |
* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .
Zwiększenie luki w zabezpieczeniach sterownika Qualcomm IPA
Luka w zabezpieczeniach sterownika Qualcomm IPA umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3867 | A-28919863* QC-CR#1037897 | Wysoki | Nexusa 5X, Nexusa 6P | 21 maja 2016 r |
* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .
Zwiększenie luki w zabezpieczeniach sterownika zasilania Qualcomm
Luka w zabezpieczeniach sterownika zasilania Qualcomm umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3868 | A-28967028* QC-CR#1032875 | Wysoki | Nexusa 5X, Nexusa 6P | 25 maja 2016 r |
* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .
Zwiększenie luki w zabezpieczeniach sterownika Wi-Fi Broadcom
Luka w zabezpieczeniach sterownika Wi-Fi Broadcom umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3869 | A-29009982* B-RB#96070 | Wysoki | Nexus 5, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C | 27 maja 2016 r |
* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .
Zwiększenie luki w zabezpieczeniach systemu plików eCryptfs jądra
Luka w zabezpieczeniach systemu plików eCryptfs jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-1583 | A-29444228 Jądro nadrzędne | Wysoki | Piksel C | 1 czerwca 2016 r |
Zwiększenie luki w zabezpieczeniach jądra NVIDIA
Luka w jądrze NVIDIA umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wagę wysoką, ponieważ wymaga najpierw naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3873 | A-29518457* N-CVE-2016-3873 | Wysoki | Nexusa 9 | 20 czerwca 2016 r |
* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .
Zwiększenie luki w zabezpieczeniach sterownika Qualcomm Wi-Fi
Luka w zabezpieczeniach sterownika Qualcomm Wi-Fi umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3874 | A-29944562 QC-CR#997797 [ 2 ] | Wysoki | Nexusa 5X | 1 lipca 2016 r |
Luka w zabezpieczeniach typu „odmowa usługi” w podsystemie sieciowym jądra
Luka w zabezpieczeniach podsystemu sieciowego jądra umożliwiająca odmowę usługi może umożliwić osobie atakującej spowodowanie zawieszenia lub ponownego uruchomienia urządzenia. Ten problem ma ocenę Wysoki ze względu na możliwość tymczasowej zdalnej odmowy usługi.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2015-1465 | A-29506807 | Wysoki | Nexus 5, Nexus 6, Nexus 9, Nexus Player, Pixel C, Android One | 3 lutego 2015 r |
| CVE-2015-5364 | A-29507402 | Wysoki | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 30 czerwca 2015 r |
Luka w zabezpieczeniach typu „odmowa usługi” w systemie plików jądra ext4
Luka w zabezpieczeniach systemu plików ext4 jądra umożliwiająca odmowę usługi może umożliwić osobie atakującej spowodowanie lokalnej, trwałej odmowy usługi, co może wymagać ponownego flashowania systemu operacyjnego w celu naprawy urządzenia. Ten problem ma ocenę Wysoki ze względu na możliwość lokalnej trwałej odmowy usługi.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2015-8839 | A-28760453* | Wysoki | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 4 kwietnia 2016 r |
* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .
Luka umożliwiająca ujawnienie informacji w sterowniku Qualcomm SPMI
Luka w sterowniku Qualcomm SPMI umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem został oceniony jako umiarkowany, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3892 | A-28760543* QC-CR#1024197 | Umiarkowany | Nexusa 5, Nexusa 5X, Nexusa 6, Nexusa 6P | 13 maja 2016 r |
* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .
Luka w zabezpieczeniach kodeka dźwięku Qualcomm umożliwiająca ujawnienie informacji
Luka w kodeku dźwięku Qualcomm umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem został oceniony jako umiarkowany, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3893 | A-29512527 QC-CR#856400 | Umiarkowany | Nexusa 6P | 20 czerwca 2016 r |
Luka umożliwiająca ujawnienie informacji w komponencie Qualcomm DMA
Luka w komponencie Qualcomm DMA umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem został oceniony jako umiarkowany, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-3894 | A-29618014* QC-CR#1042033 | Umiarkowany | Nexusa 6 | 23 czerwca 2016 r |
* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .
Luka umożliwiająca ujawnienie informacji w podsystemie sieciowym jądra
Luka w podsystemie sieci jądra umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem został oceniony jako umiarkowany, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-4998 | A-29637687 Jądro nadrzędne [ 2 ] | Umiarkowany | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 24 czerwca 2016 r |
Luka w zabezpieczeniach typu „odmowa usługi” w podsystemie sieciowym jądra
Luka w zabezpieczeniach podsystemu sieciowego jądra umożliwiająca odmowę usługi może umożliwić osobie atakującej zablokowanie dostępu do funkcji Wi-Fi. Ten problem został oceniony jako umiarkowany ze względu na możliwość tymczasowej zdalnej odmowy usługi w zakresie funkcji Wi-Fi.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2015-2922 | A-29409847 | Umiarkowany | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 4 kwietnia 2015 r |
Luki w komponentach Qualcomm
Poniższa tabela zawiera luki w zabezpieczeniach komponentów Qualcomm, potencjalnie obejmujące program ładujący, sterownik aparatu, sterownik postaci, obsługę sieci, sterownik dźwięku i sterownik wideo.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-2469 | QC-CR#997025 | Wysoki | Nic | Czerwiec 2016 |
| CVE-2016-2469 | QC-CR#997015 | Umiarkowany | Nic | Czerwiec 2016 |
Poziom poprawki zabezpieczeń z dnia 2016-09-06 — szczegóły dotyczące luki
W poniższych sekcjach podajemy szczegółowe informacje na temat każdej luki w zabezpieczeniach, która ma zastosowanie w wersji poprawki z dnia 2016-09-06. Znajduje się tam opis problemu, uzasadnienie wagi oraz tabela zawierająca CVE, powiązane odniesienia, wagę, zaktualizowane urządzenia Nexus, zaktualizowane wersje AOSP (w stosownych przypadkach) i datę zgłoszenia. Jeśli będzie to możliwe, połączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian AOSP. Gdy wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są powiązane z liczbami następującymi po identyfikatorze błędu.
Zwiększenie luki w zabezpieczeniach podsystemu pamięci współdzielonej jądra
Luka w podsystemie pamięci współdzielonej jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia, co może wymagać ponownej aktualizacji systemu operacyjnego w celu naprawy urządzenia.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-5340 | A-30652312 QC-CR#1008948 | Krytyczny | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One | 26 lipca 2016 r |
Zwiększenie luki w zabezpieczeniach w komponencie sieciowym Qualcomm
Luka umożliwiająca podniesienie uprawnień w komponencie sieciowym Qualcomm może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Powaga | Zaktualizowano urządzenia Nexus | Data zgłoszona |
|---|---|---|---|---|
| CVE-2016-2059 | A-27045580 QC-CR#974577 | Wysoki | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One | 4 lutego 2016 r |
Często zadawane pytania i odpowiedzi
W tej sekcji znajdują się odpowiedzi na często zadawane pytania, które mogą pojawić się po przeczytaniu niniejszego biuletynu.
1. Jak sprawdzić, czy moje urządzenie zostało zaktualizowane w celu rozwiązania tych problemów?
Poziomy poprawek zabezpieczeń z wersji 2016-09-01 lub nowszej rozwiązują wszystkie problemy związane z poziomem ciągu poprawek zabezpieczeń z wersji 2016-09-01. Poziomy poprawek zabezpieczeń z 2016-09-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem ciągu poprawek zabezpieczeń z 2016-09-05. Poziomy poprawek zabezpieczeń z wersji 2016-09-06 lub nowszej rozwiązują wszystkie problemy związane z poziomem ciągu poprawek zabezpieczeń z dnia 2016-09-06. Instrukcje dotyczące sprawdzania poziomu poprawki zabezpieczeń znajdują się w Centrum pomocy . Producenci urządzeń, którzy zawierają te aktualizacje, powinni ustawić poziom ciągu poprawek na: [ro.build.version.security_patch]:[2016-09-01], [ro.build.version.security_patch]:[2016-09-05], lub [ro.build.version.security_patch]:[2016-09-06].
2. Dlaczego ten biuletyn zawiera trzy ciągi poziomów poprawek zabezpieczeń?
W tym biuletynie znajdują się trzy poziomy poprawek zabezpieczeń, dzięki czemu partnerzy systemu Android mogą szybciej naprawić podzbiór luk w zabezpieczeniach, które są podobne na wszystkich urządzeniach z systemem Android. Zachęcamy partnerów korzystających z systemu Android do naprawienia wszystkich problemów opisanych w tym biuletynie i korzystania z najnowszych poziomów poprawek zabezpieczeń.
Urządzenia korzystające z poprawki zabezpieczeń z 6 września 2016 r. lub nowszej muszą zawierać wszystkie odpowiednie poprawki opisane w tym (i poprzednich) biuletynach zabezpieczeń. Ten poziom poprawki został stworzony, aby rozwiązać problemy wykryte po pierwszym powiadomieniu partnerów o większości problemów w tym biuletynie.
Urządzenia korzystające z poziomu łatek bezpieczeństwa 5 września 2016 r. Muszą zawierać wszystkie problemy związane z tym poziomem łatki bezpieczeństwa, poziom łatki bezpieczeństwa z 1 września 2016 r. I poprawki dla wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa. Urządzenia korzystające z poziomu łatki bezpieczeństwa 5 września 2016 r. Mogą również zawierać podzbiór poprawek związanych z poziomem łatki bezpieczeństwa z 6 września 2016 r.
Urządzenia korzystające z 1 września 2016 r. Poziom łatki bezpieczeństwa muszą zawierać wszystkie problemy związane z tym poziomem łatki bezpieczeństwa, a także poprawki dla wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa. Urządzenia korzystające z poziomu łatki bezpieczeństwa z 1 września 2016 r. Mogą również obejmować podzbiór poprawek związanych z poziomami łatki bezpieczeństwa z 5 września 2016 r. I 6 września 2016 r.
3 . Jak ustalić, na które urządzenia Nexus ma wpływ na każdy problem?
W sekcjach w 2016-09-01 , 2016-09-05 i 2016-09-06 Szczegóły w zakresie zabezpieczenia, każda tabela ma zaktualizowaną kolumnę Nexus Devices , która obejmuje zakres zaktualizowanych dla każdego problemu. Ta kolumna ma kilka opcji:
- Wszystkie urządzenia Nexus : Jeśli problem wpływa na wszystkie urządzenia Nexus, tabela będzie miała „wszystkie Nexus” w zaktualizowanej kolumnie Nexus Devices . „All Nexus” zawiera następujące obsługiwane urządzenia : Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player i Pixel C.
- Niektóre urządzenia Nexus : jeśli problem nie wpływa na wszystkie urządzenia Nexus, dotknięte urządzenia Nexus są wymienione w zaktualizowanej kolumnie Nexus Devices .
- Brak urządzeń Nexus : jeśli problem nie ma wpływu na urządzenia Nexus z systemem Android 7.0, tabela będzie miała „Brak” w zaktualizowanej kolumnie Nexus Devices .
4. Na co wpisy w kolumnie referencyjnej mapują?
Wpisy w kolumnie Referencje tabeli szczegółów podatności mogą zawierać przedrostek identyfikujący organizację, do której należy wartość referencyjna. Te prefiks mapy w następujący sposób:
| Prefiks | Odniesienie |
|---|---|
| A- | Identyfikator błędu Androida |
| Kontrola jakości- | Numer referencyjny Qualcomma |
| M- | Numer referencyjny MediaTeka |
| N- | Numer referencyjny NVIDIA |
| B- | Numer referencyjny firmy Broadcom |
Wersje
- 06 września 2016: Opublikowano Biuletyn.
- 07 września 2016: Biuletyn zmienił się w celu zawierania linków AOSP.
- 12 września 2016 r.: Biuletyn zmieniony w celu zaktualizowania przypisania dla CVE-2016-3861 i usunięcia CVE-2016-3877.