Biuletyn bezpieczeństwa w Androidzie – wrzesień 2016 r.

dopuszczono

Opublikowano 6 września 2016 r. | Zaktualizowano 12 września 2016 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Oprócz biuletynu udostępniliśmy aktualizację zabezpieczeń dla urządzeń Nexus za pomocą aktualizacji OTA. Obrazy oprogramowania Nexus zostały też opublikowane na stronie dla deweloperów Google. Te problemy zostały rozwiązane w poziomach aktualizacji zabezpieczeń z 6 września 2016 r. lub nowszych. Aby dowiedzieć się, jak sprawdzić poziom zabezpieczeń, zapoznaj się z dokumentacją. Obsługiwane urządzenia Nexus otrzymają jedną aktualizację OTA z poziomem poprawki zabezpieczeń z 6 września 2016 r.

Partnerzy zostali powiadomieni o problemach opisanych w tym biuletynie 5 sierpnia 2016 r. lub wcześniej. W stosownych przypadkach poprawki do kodu źródłowego zostały opublikowane w repozytorium Projektu Android Open Source (AOSP). Ta wiadomość zawiera też linki do poprawek spoza AOSP.

Najpoważniejszym z tych problemów jest krytyczne zagrożenie bezpieczeństwa, które może umożliwić zdalne wykonywanie kodu na urządzeniu docelowym za pomocą wielu metod, takich jak poczta e-mail, przeglądanie stron internetowych i MMS-y podczas przetwarzania plików multimedialnych. Ocena ważności jest oparta na potencjalnym wpływie wykorzystania luki w zabezpieczeniach na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programowania lub że zostały pomyślnie omijane.

Nie otrzymaliśmy żadnych zgłoszeń o aktywnej eksploatacji klientów ani o wykorzystaniu tych nowo zgłoszonych problemów. Więcej informacji o zabezpieczeniach platformy bezpieczeństwa Androida oraz zabezpieczeniach usług, takich jak SafetyNet, które zwiększają bezpieczeństwo platformy Androida, znajdziesz w sekcji Zapobieganie atakom na Androida i usługi Google.

Zachęcamy wszystkich klientów do akceptowania tych aktualizacji na swoich urządzeniach.

Ogłoszenia

  • W tym komunikacie znajdują się 3 ciągi znaków dotyczące poziomu poprawek zabezpieczeń, które mają zapewnić partnerom Androida większą elastyczność w szybszym rozwiązywaniu problemów z niektórymi lukami w zabezpieczeniach, które występują na wszystkich urządzeniach z Androidem. Aby uzyskać więcej informacji, zapoznaj się z odpowiedziami na najczęstsze pytania:
    • 2016-09-01: częściowy ciąg znaków poziomu aktualizacji zabezpieczeń. Ten ciąg znaków poziomu aktualizacji zabezpieczeń wskazuje, że wszystkie problemy związane z 2016-09-01 (i wszystkimi poprzednimi ciągami znaków poziomu aktualizacji zabezpieczeń) zostały rozwiązane.
    • 2016-09-05: częściowy ciąg znaków poziomu aktualizacji zabezpieczeń. Ten ciąg znaków poziomu poprawki zabezpieczeń wskazuje, że wszystkie problemy związane z 2016-09-01 i 2016-09-05 (oraz wszystkie poprzednie ciągi znaków poziomu poprawki zabezpieczeń) zostały rozwiązane.
    • 2016-09-06: pełny ciąg znaków poziomu aktualizacji zabezpieczeń, który rozwiązuje problemy wykryte po powiadomieniu partnerów o większości problemów w tym biuletynie. Ten ciąg znaków poziomu poprawki zabezpieczeń wskazuje, że wszystkie problemy związane z 2016-09-01, 2016-09-05 i 2016-09-06 (oraz wszystkie poprzednie ciągi znaków poziomu poprawki zabezpieczeń) zostały rozwiązane.
  • Obsługiwane urządzenia Nexus otrzymają jedną aktualizację OTA z poziomem poprawki zabezpieczeń z 6 września 2016 r.

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie metod ograniczania zagrożeń oferowanych przez platformę bezpieczeństwa Androida oraz usługi zabezpieczające, takie jak SafetyNet. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach zostaną wykorzystane na Androidzie.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą weryfikacji aplikacji i SafetyNet, które mają ostrzegać użytkowników o potencjalnie szkodliwych aplikacjach. Weryfikacja aplikacji jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google i jest szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play. Narzędzia do rootowania urządzeń są zabronione w Google Play, ale aplikacja Verify Apps ostrzega użytkowników, gdy próbują oni zainstalować wykryte narzędzie do rootowania – niezależnie od tego, skąd pochodzi. Dodatkowo Weryfikacja aplikacji próbuje wykrywać i blokować instalowanie znanych szkodliwych aplikacji, które wykorzystują lukę w zabezpieczeniach umożliwiającą podniesienie uprawnień. Jeśli taka aplikacja jest już zainstalowana, funkcja Weryfikacja aplikacji powiadomi użytkownika i spróbuje ją usunąć.
  • W odpowiednich przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak Mediaserver.

Podziękowania

Dziękujemy zaangażowanym w to badanie naukowcom:

  • Cory Pruce z Uniwersytetu Carnegie Mellon: CVE-2016-3897
  • Gengjia Chen (@chengjia4574) i pjf z IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-3869, CVE-2016-3865, CVE-2016-3866, CVE-2016-3867
  • Hao Qin z Security Research Lab, Cheetah Mobile: CVE-2016-3863
  • Jann Horn z Google Project Zero: CVE-2016-3885
  • Jianqiang Zhao (@jianqiangzhao) i pjf z IceSword Lab, Qihoo 360: CVE-2016-3858
  • Joshua Drake (@jduck): CVE-2016-3861
  • Madhu Priya Murugan z CISPA, Uniwersytet Saarlandzki: CVE-2016-3896
  • Makoto Onuki z Google: CVE-2016-3876
  • Mark Brand of Google Project Zero: CVE-2016-3861
  • Max Spector z Android Security: CVE-2016-3888
  • Max Spector i Quan To z Android Security: CVE-2016-3889
  • Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu), i Xuxian Jiang z zespołu C0RE: CVE-2016-3895
  • Nathan Crandall (@natecray) z zespołu ds. bezpieczeństwa produktów Tesla Motors: wykrycie dodatkowych problemów związanych z CVE-2016-2446
  • Oleksiy Vyalov z Google: CVE-2016-3890
  • Oliver Chang z zespołu ds. bezpieczeństwa Google Chrome: CVE-2016-3880
  • Peng Xiao, Chengming Yang, Ning You, Chao Yang i Yang Song z Alibaba Mobile Security Group: CVE-2016-3859
  • Ronald L. Loor Vargas (@loor_rlv) z zespołu TEAM Lv51: CVE-2016-3886
  • Sagi Kedmi, badacz IBM Security X-Force: CVE-2016-3873
  • Scott Bauer (@ScottyBauer1): CVE-2016-3893, CVE-2016-3868, CVE-2016-3867
  • Seven Shen (@lingtongshen) z Trend Micro: CVE-2016-3894
  • Tim Strazzere (@timstrazz) z SentinelOne / RedNaga: CVE-2016-3862
  • trotmaster (@trotmaster99): CVE-2016-3883
  • Victor Chang z Google: CVE-2016-3887
  • Vignesh Venkatasubramanian z Google: CVE-2016-3881
  • Weichao Sun (@sunblate) z Alibaba Inc.: CVE-2016-3878
  • Wenke Dou, Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) i Xuxian Jiang z zespołu C0RE: CVE-2016-3870, CVE-2016-3871, CVE-2016-3872
  • Wish Wu (吴潍浠) (@wish_wu) z Trend Micro Inc: CVE-2016-3892
  • Xingyu He (何星宇) (@Spid3r_) z Alibaba Inc: CVE-2016-3879
  • Yacong Gu z TCA Lab, Instytutu Programów, Chińskiej Akademii Nauk: CVE-2016-3884
  • Yuru Shao z Uniwersytetu Michigan w Ann Arbor: CVE-2016-3898

Poziom aktualizacji zabezpieczeń z 01.09.2016 r. – szczegóły luki w zabezpieczeniach

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 2016-09-01. Zawiera on opis problemu, uzasadnienie powagi, a także tabelę z identyfikatorem CVE, powiązanymi odniesieniami, wagą, zaktualizowanymi urządzeniami Nexus, zaktualizowanymi wersjami AOSP (w stosownych przypadkach) i datą zgłoszenia. Jeśli to możliwe, połączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Luka w zabezpieczeniach LibUtils umożliwiająca zdalne uruchomienie kodu

Luka w zabezpieczeniach w bibliotece LibUtils umożliwiająca zdalne uruchomienie kodu może umożliwić atakującemu użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście procesu uprzywilejowanego. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonywania kodu w aplikacjach korzystających z tej biblioteki.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3861 A-29250543 [2] [3] [4] Krytyczny Wszystkie Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 9 czerwca 2016 r.

Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu w Mediaserver

Luka w zabezpieczeniach umożliwiająca zdalne uruchomienie kodu w Mediaserverze może umożliwić atakującemu użycie specjalnie spreparowanego pliku do spowodowania uszkodzenia pamięci podczas przetwarzania plików multimedialnych i danych. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście procesu Mediaserver.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3862 A-29270469 Krytyczny Wszystkie Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 10 czerwca 2016 r.

Luka w zabezpieczeniach umożliwiająca zdalne wykonywanie kodu w MediaMuxer

Luka w zabezpieczeniach umożliwiająca zdalne uruchomienie kodu w MediaMuxer może umożliwić atakującemu użycie specjalnie spreparowanego pliku do wykonania dowolnego kodu w kontekście procesu bez uprawnień. Ten problem ma ocenę wysoką z powodu możliwości zdalnego uruchomienia kodu w aplikacji korzystającej z MediaMuxer.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3863 A-29161888 Wysoki Wszystkie Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 6 czerwca 2016 r.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Mediaserver

Podatność w Mediaserverze umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu z uprawnieniami. Ten problem ma ocenę wysoką, ponieważ może być wykorzystywany do uzyskiwania lokalnego dostępu do rozszerzonych funkcji, które są zwykle niedostępne dla aplikacji innych firm.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3870 A-29421804 Wysoki Wszystkie Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 15 czerwca 2016 r.
CVE-2016-3871 A-29422022 [2] [3] Wysoki Wszystkie Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 15 czerwca 2016 r.
CVE-2016-3872 A-29421675 [2] Wysoki Wszystkie Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 15 czerwca 2016 r.

Podniesienie uprawnień podczas uruchamiania urządzenia

Podniesienie uprawnień podczas sekwencji rozruchu może umożliwić lokalnemu atakującemu uruchomienie trybu awaryjnego, nawet jeśli jest on wyłączony. Ten problem ma wysoki priorytet, ponieważ jest to lokalny sposób na obejście wymagań dotyczących interakcji z użytkownikiem w przypadku wszelkich modyfikacji ustawień dewelopera lub zabezpieczeń.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3875 A-26251884 Wysoki Brak* 6.0, 6.0.1 Tylko w Google

* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z Androidem 7.0, na których zainstalowano wszystkie dostępne aktualizacje.

Luki w zabezpieczeniach związane z podniesieniem uprawnień w Ustawieniach

Podniesienie uprawnień w Ustawieniach może umożliwić lokalnemu złośliwemu atakującemu uruchomienie trybu awaryjnego, nawet jeśli jest on wyłączony. Ten problem ma wysoki priorytet, ponieważ umożliwia lokalny obejście wymagań dotyczących interakcji z użytkownikiem w przypadku wszelkich modyfikacji ustawień dewelopera lub zabezpieczeń.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3876 A-29900345 Wysoki Wszystkie Nexus 6.0, 6.0.1, 7.0 Tylko w Google

Atak typu DoS w usłudze Mediaserver

Luka w Mediaserverze umożliwiająca atak typu DoS może pozwolić atakującemu użyć specjalnie spreparowanego pliku, aby spowodować zawieszenie lub ponowne uruchomienie urządzenia. Ten problem ma ocenę wysoką z powodu możliwości zdalnego odmowy usługi.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3899 A-29421811 Wysoki Wszystkie Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 16 czerwca 2016 r.
CVE-2016-3878 A-29493002 Wysoki Wszystkie Nexusy* 6.0, 6.0.1 17 czerwca 2016 r.
CVE-2016-3879 A-29770686 Wysoki Wszystkie Nexusy* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 25 czerwca 2016 r.
CVE-2016-3880 A-25747670 Wysoki Wszystkie Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Tylko w Google
CVE-2016-3881 A-30013856 Wysoki Wszystkie Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Tylko w Google

* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z Androidem 7.0, na których zainstalowano wszystkie dostępne aktualizacje.

Luki w zabezpieczeniach związane z podniesieniem uprawnień w aplikacji Telephony

W komponencie telefonii występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnej złośliwej aplikacji wysyłanie nieautoryzowanych SMS-ów premium. Ten problem został oceniony jako „Umiarkowany”, ponieważ może zostać wykorzystany do uzyskania rozszerzonych uprawnień bez wyraźnej zgody użytkownika.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3883 A-28557603 Umiarkowana Wszystkie Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 3 maja 2016 r.

Luki w zabezpieczeniach umożliwiające podniesienie uprawnień w usłudze Notification Manager

Uprawnienia związane z podwyższeniem uprawnień w usłudze Menedżer powiadomień mogą umożliwić lokalnej złośliwej aplikacji obejście zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji. Ten problem został oceniony jako umiarkowany, ponieważ jest to lokalny sposób na obejście wymagań dotyczących interakcji z użytkownikiem, np. dostęp do funkcji, które zwykle wymagają inicjacji przez użytkownika lub jego zgody.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3884 A-29421441 Umiarkowana Wszystkie Nexus 6.0, 6.0.1, 7.0 15 czerwca 2016 r.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Debuggerd

Podatność w ramach mechanizmu podwyższania uprawnień w zintegrowanym debugerze Androida może umożliwić lokalnej aplikacji złośliwej wykonanie dowolnego kodu w kontekście tego debugera. Ten problem ma umiarkowany poziom ważności ze względu na możliwość lokalnego wykonywania dowolnego kodu w procesie uprzywilejowanym.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3885 A-29555636 Umiarkowana Wszystkie Nexus 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 21 czerwca 2016 r.

Luka w zabezpieczeniach polegająca na podnoszeniu uprawnień w Kalibrze interfejsu systemu

Podniesienie uprawnień w System UI Tuner może umożliwić lokalnemu użytkownikowi z złośliwymi zamiarami modyfikowanie chronionych ustawień, gdy urządzenie jest zablokowane. Ten problem został oceniony jako umiarkowany, ponieważ jest to lokalny sposób na obejście uprawnień użytkownika.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3886 A-30107438 Umiarkowana Wszystkie Nexus 7,0 23 czerwca 2016 r.

Luki w zabezpieczeniach związane z podniesieniem uprawnień w Ustawieniach

W ustawieniach występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń systemu operacyjnego dotyczących ustawień VPN. Ten problem ma ocenę Średni, ponieważ może umożliwiać uzyskanie dostępu do danych, które wykraczają poza poziomy uprawnień aplikacji.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3887 A-29899712 Umiarkowana Wszystkie Nexus 7,0 Tylko w Google

Luki w zabezpieczeniach związane z podniesieniem uprawnień w SMS-ach

W przypadku podatności w SMS-ach umożliwiającej podniesienie uprawnień atakujący lokalny mógłby wysyłać SMS-y premium przed wdrożeniem urządzenia. Otrzymało ono ocenę umiarkowaną ze względu na możliwość obejścia ochrony przywracania ustawień fabrycznych, która powinna uniemożliwiać korzystanie z urządzenia przed jego skonfigurowaniem.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3888 A-29420123 Umiarkowana Wszystkie Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Tylko w Google

Luki w zabezpieczeniach związane z podniesieniem uprawnień w Ustawieniach

W ustawieniach występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnemu atakującemu obejście ochrony przed przywróceniem do ustawień fabrycznych i uzyskanie dostępu do urządzenia. Ocena została sklasyfikowana jako „Średnia” ze względu na możliwość ominięcia ochrony przed przywróceniem ustawień fabrycznych, co może spowodować przywrócenie ustawień fabrycznych urządzenia i usunięcie wszystkich danych.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3889 A-29194585 [2] Umiarkowana Wszystkie Nexus 6.0, 6.0.1, 7.0 Tylko w Google

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w protokole Java Debug Wire

W przypadku podatności w ramach Java Debug Wire Protocol umożliwiającej podwyższanie uprawnień lokalna złośliwa aplikacja może wykonywać dowolny kod w kontekście podwyższonych uprawnień aplikacji systemowej. Ten problem ma ocenę Średni, ponieważ wymaga nietypowej konfiguracji urządzenia.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3890 A-28347842 [2] Umiarkowana Brak* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Tylko w Google

* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z Androidem 7.0, na których zainstalowano wszystkie dostępne aktualizacje.

Luka w zabezpieczeniach w Mediaserverze umożliwiająca ujawnienie informacji

Użytkownikom lokalnych aplikacji złośliwych może zostać przyznany dostęp do danych spoza poziomu uprawnień, ponieważ w Mediaserverze występuje luka umożliwiająca ujawnienie informacji. Ten problem został oceniony jako „Umiarkowany”, ponieważ może umożliwiać dostęp do danych wrażliwych bez zgody użytkownika.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3895 A-29983260 Umiarkowana Wszystkie Nexus 6.0, 6.0.1, 7.0 4 lipca 2016 r.

Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w AOSP Mail

Luka w zabezpieczeniach, która umożliwia ujawnienie informacji w AOSP Mail, może umożliwić lokalnej złośliwej aplikacji uzyskanie dostępu do prywatnych danych użytkownika. Ten problem ma ocenę Średni, ponieważ może być wykorzystywany do nieprawidłowego uzyskiwania dostępu do danych bez zgody.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3896 A-29767043 Umiarkowana Brak* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 24 lipca 2016 r.

* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z Androidem 7.0, na których zainstalowano wszystkie dostępne aktualizacje.

luka w zabezpieczeniach w sieci Wi-Fi, która umożliwia ujawnienie informacji;

W konfiguracji Wi-Fi występuje luka umożliwiająca ujawnienie informacji, która może pozwolić aplikacji na dostęp do informacji poufnych. Ten problem ma ocenę Średni, ponieważ może być wykorzystywany do uzyskiwania dostępu do danych bez zgody.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3897 A-25624963 [2] Umiarkowana Brak* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 5 listopada 2015 r.

* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z Androidem 7.0, na których zainstalowano wszystkie dostępne aktualizacje.

luka w zabezpieczeniach umożliwiająca atak typu DoS w Telephony

Usługa telefoniczna może zostać zablokowana przez lokalną złośliwą aplikację, która może uniemożliwić inicjowanie połączeń TTY na numer 911 z zamkniętego ekranu. Ten problem został oceniony jako „Umiarkowany” ze względu na możliwość odmowy usługi w przypadku funkcji krytycznej.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-3898 A-29832693 Umiarkowana Wszystkie Nexus 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 28 czerwca 2016 r.

Poziom aktualizacji zabezpieczeń z 05.09.2016 r. – szczegóły luki

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 5 września 2016 r. Zawiera on opis problemu, uzasadnienie powagi, a także tabelę z identyfikatorem CVE, powiązanymi odniesieniami, wagą, zaktualizowanymi urządzeniami Nexus, zaktualizowanymi wersjami AOSP (w stosownych przypadkach) i datą zgłoszenia. Jeśli to możliwe, połączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Luki w zabezpieczeniach polegające na podnoszeniu uprawnień w podsystemie zabezpieczeń jądra

Podatność w ramach podsystemu zabezpieczeń jądra może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego zainfekowania urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2014-9529 A-29510361

Kernel upstream

 Krytyczny Nexus 5, Nexus 6, Nexus 9, Nexus Player, Android One 6 stycznia 2015 r.
CVE-2016-4470 A-29823941

Kernel upstream

 Krytyczny Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player 15 czerwca 2016 r.

Luki w zabezpieczeniach polegające na podnoszeniu uprawnień w podsystemie sieciowym jądra

Podatność w ramach systemu sieciowego jądra umożliwia lokalnym złośliwym aplikacjom wykonywanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego zainfekowania urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2013-7446 A-29119002

Kernel upstream

 Krytyczny Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 18 listopada 2015 r.

Luka w zabezpieczeniach polegająca na podnoszeniu uprawnień w podsystemie netfilter jądra

Podatność w podsystemie netfilter jądra może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego zainfekowania urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3134 A-28940694

Kernel upstream

 Krytyczny Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 9 marca 2016 r.

Podniesienie uprawnień w sterowniku USB jądra

Podatność w postaci podwyższenia uprawnień w sterowniku USB jądra może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3951 A-28744625

Kernel upstream[2]

 Krytyczny Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 6 kwietnia 2016 r.

Luki w zabezpieczeniach związane z podniesieniem uprawnień w podsystemie dźwięku jądra

Podatność na podniesienie uprawnień w podsystemie dźwięku jądra może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2014-4655 A-29916012

Kernel upstream

 Wysoki Nexus 5, Nexus 6, Nexus 9, Nexus Player 26 czerwca 2014 r.

Podniesienie uprawnień w dekoderze ASN.1 jądra

Podatność na podniesienie uprawnień w dekoderze ASN.1 jądra może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2053 A-28751627

Kernel upstream

 Wysoki Nexus 5X, Nexus 6P 25 stycznia 2016 r.

Podniesienie uprawnień w warstwie interfejsu radia Qualcomm

Uprawnienie dotyczące podwyższania uprawnień na poziomie interfejsu radiowego Qualcomma może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3864 A-28823714*
QC-CR#913117		 Wysoki Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One 29 kwietnia 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google Developer.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w sterowniku podsystemu Qualcomm

Podatność na podniesienie uprawnień w sterowniku podsystemu Qualcomm może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3858 A-28675151
QC-CR#1022641		 Wysoki Nexus 5X, Nexus 6P 9 maja 2016 r.

podatność w sterowniku sieciowym jądra umożliwiająca podniesienie uprawnień

Podatność w sterowniku sieciowym jądra umożliwiająca podniesienie uprawnień może umożliwić złośliwej aplikacji lokalnej wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-4805 A-28979703

Kernel upstream

 Wysoki Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9 15 maja 2016 r.

Luka w zarządzaczu ekranu dotykowego Synaptics umożliwiająca podniesienie uprawnień

W ramach podatności na podniesienie uprawnień w sterowniku ekranu dotykowego Synaptics lokalna złośliwa aplikacja może wykonać dowolny kod w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3865 A-28799389* Wysoki Nexus 5X, Nexus 9 16 maja 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google Developer.

Luka w zarządziku aparatu Qualcomma umożliwiająca podniesienie uprawnień

Podatność w sterowniku aparatu Qualcomm umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3859 A-28815326*
QC-CR#1034641		 Wysoki Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 17 maja 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google Developer.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w sterowniku dźwięku Qualcomm

Podatność w sterowniku dźwięku Qualcomma umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3866 A-28868303*
QC-CR#1032820		 Wysoki Nexus 5X, Nexus 6, Nexus 6P 18 maja 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google Developer.

Luki w zabezpieczeniach w sterowniku IPA firmy Qualcomm

Podatność na podniesienie uprawnień w sterowniku IPA firmy Qualcomm może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3867 A-28919863*
QC-CR#1037897		 Wysoki Nexus 5X, Nexus 6P 21 maja 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google Developer.

Luki w zabezpieczeniach polegającej na podnoszeniu uprawnień w sterowniku zasilania Qualcomm

Podatność w sterowniku zasilania Qualcomma umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3868 A-28967028*
QC-CR#1032875		 Wysoki Nexus 5X, Nexus 6P 25 maja 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google Developer.

Podniesienie uprawnień w sterowniku Wi-Fi Broadcom

W ramach podatności w sterowniku Wi-Fi Broadcom dotyczącym podwyższania uprawnień lokalna złośliwa aplikacja może wykonać dowolny kod w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3869 A-29009982*
B-RB#96070		 Wysoki Nexus 5, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C 27 maja 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google Developer.

Podniesienie uprawnień w systemie plików eCryptfs w rdzeniu

Podatność w systemie plików eCryptfs jądra umożliwia lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-1583 A-29444228
Kernel upstream		 Wysoki Pixel C 1 czerwca 2016 r.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w jądrze NVIDIA

Luka w zabezpieczeniach związana z podwyższeniem uprawnień w jądrze NVIDIA może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu z przywilejami.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3873 A-29518457*
N-CVE-2016-3873		 Wysoki Nexus 9 20 czerwca 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google Developer.

podatność na podniesienie uprawnień w sterowniku Wi-Fi Qualcomm;

Podatność w sterowniku Wi-Fi Qualcomma umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3874 A-29944562
QC-CR#997797 [2]		 Wysoki Nexus 5X 1 lipca 2016 r.

Usługa typu DoS w podsystemie sieciowym jądra

Użycie luki w zabezpieczeniach umożliwiającej odmowę usługi w podsystemie sieciowym jądra może umożliwić atakującemu zawieszenie lub ponowne uruchomienie urządzenia. Ten problem został oceniony jako wysoki ze względu na możliwość tymczasowego odmowy usługi zdalnie.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2015-1465 A-29506807

Kernel upstream

 Wysoki Nexus 5, Nexus 6, Nexus 9, Nexus Player, Pixel C, Android One 3 lutego 2015 r.
CVE-2015-5364 A-29507402

Kernel upstream

 Wysoki Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 30 czerwca 2015 r.

luka w zabezpieczeniach umożliwiająca atak typu DoS w systemie plików ext4 jądra

Usługa odmowy dostępu w systemie plików jądra ext4 może umożliwić atakującemu wywołanie trwałej lokalnie usługi odmowy dostępu, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia. Ten problem ma wysoki priorytet ze względu na możliwość trwałego odmowy usługi na poziomie lokalnym.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2015-8839 A-28760453* Wysoki Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 4 kwietnia 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google Developer.

luka w zabezpieczeniach polegająca na ujawnieniu informacji w sterowniku SPMI firmy Qualcomm.

W sterowniku SPMI firmy Qualcomm występuje luka umożliwiająca ujawnienie informacji, która może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza poziomem uprawnień. Ten problem został oceniony jako średnio poważny, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3892 A-28760543*
QC-CR#1024197		 Umiarkowana Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 13 maja 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google Developer.

Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w kodzie dźwiękowym Qualcomm

W kodeki dźwięku Qualcomma wbudowana jest luka, która może umożliwić lokalnej złośliwej aplikacji dostęp do danych wykraczających poza poziom uprawnień. Ten problem został oceniony jako średnio poważny, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3893 A-29512527
QC-CR#856400		 Umiarkowana Nexus 6P 20 czerwca 2016 r.

luka w zabezpieczeniach w komponencie DMA Qualcomm umożliwiająca ujawnienie informacji

W komponencie DMA firmy Qualcomm występuje luka umożliwiająca ujawnienie informacji, która może pozwolić złośliwej aplikacji na uzyskanie dostępu do danych poza poziomem uprawnień. Ten problem został oceniony jako średnio poważny, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-3894 A-29618014*
QC-CR#1042033		 Umiarkowana Nexus 6 23 czerwca 2016 r.

* Aktualizacja rozwiązująca ten problem nie jest dostępna publicznie. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google Developer.

Luka w zabezpieczeniach polegająca na możliwości ujawnienia informacji w jądrowym podsystemie sieciowym

W ramach podatności w systemie do obsługi sieci w rdzeniu, która umożliwia ujawnianie informacji, lokalna złośliwa aplikacja może uzyskać dostęp do danych poza poziomem uprawnień. Ten problem został oceniony jako średnio poważny, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-4998 A-29637687
Kernel upstream [2]		 Umiarkowana Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 24 czerwca 2016 r.

Usługa typu DoS w podsystemie sieciowym jądra

Usługa typu DoS w podsystemie sieciowym jądra może umożliwić atakującemu zablokowanie dostępu do funkcji Wi-Fi.Ten problem został oceniony jako umiarkowany ze względu na możliwość tymczasowego zdalnego wyłączenia funkcji Wi-Fi.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2015-2922 A-29409847

Kernel upstream

 Umiarkowana Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 4 kwietnia 2015 r.

Luki w komponentach Qualcomm

Tabela poniżej zawiera informacje o lukach w zabezpieczeniach, które dotyczą komponentów Qualcomm, w tym m.in. bootloadera, sterownika kamery, sterownika znaków, sterownika sieci, sterownika dźwięku i sterownika wideo.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2469 QC-CR#997025 Wysoki Brak Czerwiec 2016 r.
CVE-2016-2469 QC-CR#997015 Umiarkowana Brak Czerwiec 2016 r.

Poziom aktualizacji zabezpieczeń z 6 września 2016 r. – szczegóły luki

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 6 września 2016 r. Zawiera on opis problemu, uzasadnienie powagi, a także tabelę z identyfikatorem CVE, powiązanymi odniesieniami, wagą, zaktualizowanymi urządzeniami Nexus, zaktualizowanymi wersjami AOSP (w stosownych przypadkach) i datą zgłoszenia. Jeśli to możliwe, połączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Podwyższanie uprawnień w ramach podsystemu pamięci współdzielonej jądra

Luka w zabezpieczeniach polegająca na podwyższaniu uprawnień w podsystemie pamięci współdzielonej jądra może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oznaczony jako krytyczny ze względu na możliwość trwałego zainfekowania urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-5340 A-30652312
QC-CR#1008948		 Krytyczny Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One 26 lipca 2016 r.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w komponencie sieciowym Qualcomm

W komponencie sieciowym Qualcomm występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wysoki priorytet, ponieważ wymaga najpierw przejęcia procesu uprzywilejowanego.

CVE Pliki referencyjne Poziom Zaktualizowane urządzenia Nexus Data zgłoszenia
CVE-2016-2059 A-27045580
QC-CR#974577		 Wysoki Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One 4 lutego 2016 r.

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy rozwiązuje te problemy?

Poziomy aktualizacji zabezpieczeń z 1 września 2016 r. lub nowsze rozwiązują wszystkie problemy związane z poziomem ciągu znaków aktualizacji zabezpieczeń z 1 września 2016 r. Poziomy aktualizacji zabezpieczeń z 2016-09-05 lub nowsze rozwiązują wszystkie problemy związane z ciągiem znaków aktualizacji zabezpieczeń z 2016-09-05. Poziomy aktualizacji zabezpieczeń z 6 września 2016 r. lub nowsze rozwiązują wszystkie problemy związane z poziomem ciągu znaków aktualizacji zabezpieczeń z 6 września 2016 r. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń, odwiedź Centrum pomocy. Producenci urządzeń, którzy uwzględniają te aktualizacje, powinni ustawić poziom ciągu poprawki na: [ro.build.version.security_patch]:[2016-09-01], [ro.build.version.security_patch]:[2016-09-05] lub [ro.build.version.security_patch]:[2016-09-06].

2. Dlaczego w tym komunikacie znajdują się 3 wiersze kodu dotyczące poziomu aktualizacji zabezpieczeń?

W tym biuletynie znajdują się 3 ciągi znaków stanu aktualizacji zabezpieczeń, dzięki którym partnerzy Androida będą mogli szybciej naprawiać podzbiór podatności, które są podobne na wszystkich urządzeniach z Androidem. Partnerów korzystających z Androida zachęcamy do naprawienia wszystkich problemów opisanych w tym biuletynie i używania najnowszego ciągu znaków poziomu poprawki zabezpieczeń.

Urządzenia, które korzystają z poziomu poprawki zabezpieczeń z 6 września 2016 r. lub nowszego, muszą zawierać wszystkie poprawki z tego (i poprzednich) komunikatu bezpieczeństwa. Ten poziom poprawek został stworzony w celu rozwiązania problemów, które zostały wykryte po tym, jak partnerzy zostali poinformowani o większości problemów w ramach tego biuletynu.

Urządzenia korzystające z poziomu poprawki zabezpieczeń z 5 września 2016 r. muszą zawierać wszystkie problemy związane z tym poziomem, poziom poprawki zabezpieczeń z 1 września 2016 r. oraz poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa. Urządzenia korzystające z poziomu aktualizacji zabezpieczeń z 5 września 2016 r. mogą też zawierać podzbiór poprawek związanych z poziomem aktualizacji zabezpieczeń z 6 września 2016 r.

Urządzenia korzystające z poziomu poprawki zabezpieczeń z 1 września 2016 r. muszą zawierać wszystkie problemy związane z tym poziomem, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa. Urządzenia, które korzystają z poziomu aktualizacji zabezpieczeń z 1 września 2016 r., mogą też zawierać podzbiór poprawek związanych z poziomami aktualizacji zabezpieczeń z 5 i 6 września 2016 r.

3. Jak sprawdzić, które urządzenia Nexus są objęte danym problemem?

W sekcji dotyczącej zagrożeń bezpieczeństwa z danych 2016-09-01, 2016-09-05 i 2016-09-06 w każdej tabeli znajduje się kolumna Zaktualizowane urządzenia Nexus, która zawiera zakres urządzeń Nexus, których dotyczy dana aktualizacja. Ta kolumna ma kilka opcji:

  • Wszystkie urządzenia Nexus: jeśli problem dotyczy wszystkich urządzeń Nexus, w tabeli w kolumnie Zaktualizowane urządzenia Nexus pojawi się opcja „Wszystkie urządzenia Nexus”. „Wszystkie Nexusy” obejmuje te obsługiwane urządzenia: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player i Pixel C.
  • Niektóre urządzenia Nexus: jeśli problem nie dotyczy wszystkich urządzeń Nexus, urządzenia, których dotyczy problem, są wymienione w kolumnie Zaktualizowane urządzenia Nexus.
  • Brak urządzeń Nexus: jeśli problem nie dotyczy żadnych urządzeń Nexus z Androidem 7.0, w kolumnie Zaktualizowane urządzenia Nexus pojawi się wartość „Brak”.

4. Do czego odnoszą się wpisy w kolumnie „Odwołania”?

Wpisy w kolumnie Odniesienia w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odniesienia. Te przedrostki są mapowane w ten sposób:

Prefiks Źródła wiedzy
A- Identyfikator błędu na Androidzie
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom

Wersje

  • 6 września 2016 r.: opublikowano biuletyn.
  • 7 września 2016 r.: w powiadomieniu uwzględniono linki do AOSP.
  • 12 września 2016 r.: zaktualizowano biuletyn, aby zaktualizować informacje o uwzględnionym raporcie CVE-2016-3861 i usunąć CVE-2016-3877.