Biuletyn dotyczący bezpieczeństwa Androida — wrzesień 2016 r

de

Opublikowano 06 września 2016 | Zaktualizowano 12 września 2016 r

Biuletyn bezpieczeństwa systemu Android zawiera szczegółowe informacje na temat luk w zabezpieczeniach urządzeń z systemem Android. Wraz z biuletynem opublikowaliśmy aktualizację zabezpieczeń dla urządzeń Nexus za pośrednictwem aktualizacji bezprzewodowej (OTA). Obrazy oprogramowania sprzętowego Nexusa zostały także udostępnione w witrynie Google Developer . Poziomy poprawek zabezpieczeń z 6 września 2016 r. lub nowszych rozwiązują te problemy. Zapoznaj się z dokumentacją , aby dowiedzieć się, jak sprawdzić poziom poprawki zabezpieczeń. Obsługiwane urządzenia Nexus otrzymają pojedynczą aktualizację OTA z poziomem poprawki zabezpieczeń z 06 września 2016 r.

Partnerzy zostali powiadomieni o problemach opisanych w biuletynie w dniu 05 sierpnia 2016 roku lub wcześniej. W stosownych przypadkach w repozytorium Android Open Source Project (AOSP) udostępniono poprawki kodu źródłowego rozwiązujące te problemy. Biuletyn ten zawiera także łącza do poprawek spoza AOSP.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach, która może umożliwić zdalne wykonanie kodu na zagrożonym urządzeniu przy użyciu wielu metod, takich jak poczta e-mail, przeglądanie stron internetowych i MMS podczas przetwarzania plików multimedialnych. Ocena ważności opiera się na możliwym wpływie wykorzystania luki na urządzenie, którego dotyczy luka, przy założeniu, że zabezpieczenia platformy i usług są wyłączone na potrzeby programowania lub jeśli pomyślnie je ominiesz.

Nie otrzymaliśmy żadnych raportów o aktywnym wykorzystywaniu klientów lub nadużyciach w związku z nowo zgłoszonymi problemami. Szczegółowe informacje na temat zabezpieczeń platformy zabezpieczeń Androida i zabezpieczeń usług, takich jak SafetyNet, które poprawiają bezpieczeństwo platformy Android, można znaleźć w sekcji Ograniczenia usług Android i Google.

Zachęcamy wszystkich klientów do zaakceptowania tych aktualizacji na swoich urządzeniach.

Ogłoszenia

  • W tym biuletynie znajdują się trzy poziomy poprawek zabezpieczeń, które zapewniają partnerom systemu Android elastyczność umożliwiającą szybsze usuwanie podzbioru luk w zabezpieczeniach, które są podobne na wszystkich urządzeniach z systemem Android. Aby uzyskać dodatkowe informacje, zobacz Często zadawane pytania i odpowiedzi :
    • 2016-09-01 : Ciąg znaków dotyczący poziomu częściowej poprawki zabezpieczeń. Ten ciąg poziomu poprawki zabezpieczeń wskazuje, że rozwiązano wszystkie problemy związane z datą 2016-09-01 (i wszystkimi poprzednimi ciągami poziomów poprawek zabezpieczeń).
    • 2016-09-05 : Ciąg znaków dotyczący poziomu częściowej poprawki zabezpieczeń. Ten ciąg poziomu poprawki zabezpieczeń wskazuje, że rozwiązano wszystkie problemy związane z datami 2016-09-01 i 2016-09-05 (oraz wszystkimi poprzednimi ciągami poziomów poprawek zabezpieczeń).
    • 2016-09-06 : Kompletny ciąg poziomów poprawek zabezpieczeń, który rozwiązuje problemy wykryte po powiadomieniu partnerów o większości problemów w tym biuletynie. Ten ciąg poziomu poprawki zabezpieczeń wskazuje, że rozwiązano wszystkie problemy związane z datami 2016-09-01, 2016-09-05 i 2016-09-06 (oraz wszystkimi poprzednimi ciągami poziomów poprawek zabezpieczeń).
  • Obsługiwane urządzenia Nexus otrzymają pojedynczą aktualizację OTA z poziomem poprawki zabezpieczeń z 06 września 2016 r.

Ograniczenia dotyczące usług Android i Google

To jest podsumowanie środków zaradczych zapewnianych przez platformę zabezpieczeń Androida i zabezpieczenia usług, takie jak SafetyNet. Funkcje te zmniejszają prawdopodobieństwo skutecznego wykorzystania luk w zabezpieczeniach systemu Android.

  • Eksploatację wielu problemów na Androidzie utrudniają ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników, jeśli to możliwe, do aktualizacji do najnowszej wersji Androida.
  • Zespół ds. bezpieczeństwa systemu Android aktywnie monitoruje nadużycia za pomocą aplikacji Verify Apps i SafetyNet , których zadaniem jest ostrzeganie użytkowników o potencjalnie szkodliwych aplikacjach . Opcja Weryfikuj aplikacje jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google i jest szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play. Narzędzia do rootowania urządzeń są zabronione w Google Play, ale funkcja Verify Apps ostrzega użytkowników, gdy próbują zainstalować wykrytą aplikację do rootowania – niezależnie od tego, skąd ona pochodzi. Ponadto funkcja Verify Apps próbuje identyfikować i blokować instalację znanych złośliwych aplikacji wykorzystujących lukę umożliwiającą eskalację uprawnień. Jeżeli taka aplikacja została już zainstalowana, Verify Apps powiadomi użytkownika i podejmie próbę usunięcia wykrytej aplikacji.
  • W stosownych przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak Mediaserver.

Podziękowanie

Chcielibyśmy podziękować tym badaczom za ich wkład:

  • Cory Pruce z Carnegie Mellon University: CVE-2016-3897
  • Gengjia Chen ( @chengjia4574 ) i plik PDF z IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-3869, CVE-2016-3865, CVE-2016-3866, CVE-2016-3867
  • Hao Qin z Laboratorium Badań nad Bezpieczeństwem, Cheetah Mobile : CVE-2016-3863
  • Jann Horn z Google Project Zero: CVE-2016-3885
  • Jianqiang Zhao ( @jianqiangzhao ) i plik PJF z IceSword Lab, Qihoo 360: CVE-2016-3858
  • Joshua Drake @jduck ): CVE-2016-3861
  • Madhu Priya Murugan z CISPA, Uniwersytet Saary: CVE-2016-3896
  • Makoto Onuki z Google: CVE-2016-3876
  • Oznacz markę Google Project Zero: CVE-2016-3861
  • Max Spector zabezpieczeń Androida: CVE-2016-3888
  • Max Spector i Quan To z zabezpieczeń systemu Android: CVE-2016-3889
  • Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ) i Xuxian Jiang z zespołu C0RE : CVE-2016-3895
  • Nathan Crandall ( @natecray ) z zespołu ds. bezpieczeństwa produktów Tesla Motors: Odkrycie dodatkowych problemów związanych z CVE-2016-2446
  • Oleksiy Vyalov z Google: CVE-2016-3890
  • Oliver Chang z zespołu ds. bezpieczeństwa przeglądarki Google Chrome: CVE-2016-3880
  • Piosenka Peng Xiao, Chengming Yang, Ning You, Chao Yang i Yang z Alibaba Mobile Security Group: CVE-2016-3859
  • Ronald L. Loor Vargas ( @loor_rlv ) z TEAM Lv51: CVE-2016-3886
  • Sagi Kedmi, badacz IBM Security X-Force: CVE-2016-3873
  • Scott Bauer ( @ScottyBauer1 ): CVE-2016-3893, CVE-2016-3868, CVE-2016-3867
  • Seven Shen ( @lingtongshen ) z TrendMicro: CVE-2016-3894
  • Tim Strazzere ( @timstrazz ) z SentinelOne / RedNaga: CVE-2016-3862
  • trotmaster ( @trotmaster99 ): CVE-2016-3883
  • Victor Chang z Google: CVE-2016-3887
  • Vignesh Venkatasubraman z Google: CVE-2016-3881
  • Weichao Sun ( @sunblate ) z Alibaba Inc: CVE-2016-3878
  • Wenke Dou , Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ) i Xuxian Jiang z zespołu C0RE : CVE-2016-3870, CVE-2016-3871, CVE-2016-3872
  • Wish Wu (吴潍浠) ( @wish_wu ) z Trend Micro Inc .: CVE-2016-3892
  • Xingyu He (何星宇) ( @Spid3r_ ) z Alibaba Inc : CVE-2016-3879
  • Yacong Gu z TCA Lab, Instytut Oprogramowania, Chińskiej Akademii Nauk: CVE-2016-3884
  • Yuru Shao z Uniwersytetu Michigan w Ann Arbor: CVE-2016-3898

Poziom poprawki zabezpieczeń z dnia 2016-09-01 — szczegóły luk w zabezpieczeniach

W poniższych sekcjach podajemy szczegółowe informacje na temat każdej luki w zabezpieczeniach, która ma zastosowanie w wersji poprawki 2016-09-01. Znajduje się tam opis problemu, uzasadnienie wagi oraz tabela zawierająca CVE, powiązane odniesienia, wagę, zaktualizowane urządzenia Nexus, zaktualizowane wersje AOSP (w stosownych przypadkach) i datę zgłoszenia. Jeśli będzie to możliwe, połączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian AOSP. Gdy wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są powiązane z liczbami następującymi po identyfikatorze błędu.

Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu w LibUtils

Luka w zabezpieczeniach LibUtils umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej korzystającej ze specjalnie spreparowanego pliku wykonanie dowolnego kodu w kontekście uprzywilejowanego procesu. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w aplikacjach korzystających z tej biblioteki.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3861 A-29250543 [ 2 ] [ 3 ] [ 4 ] Krytyczny Cały Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 9 czerwca 2016 r

Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu w Mediaserverze

Luka w zabezpieczeniach programu Mediaserver umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej użycie specjalnie spreparowanego pliku spowodowanie uszkodzenia pamięci podczas przetwarzania plików multimedialnych i danych. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście procesu Mediaservera.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3862 A-29270469 Krytyczny Cały Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 10 czerwca 2016 r

Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu w MediaMuxerze

Luka w zabezpieczeniach programu MediaMuxer umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej korzystającej ze specjalnie spreparowanego pliku wykonanie dowolnego kodu w kontekście nieuprzywilejowanego procesu. Ten problem ma ocenę Wysoki ze względu na możliwość zdalnego wykonania kodu w aplikacji korzystającej z MediaMuxera.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3863 A-29161888 Wysoki Cały Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 6 czerwca 2016 r

Zwiększenie luki w zabezpieczeniach serwera multimediów

Luka w zabezpieczeniach programu Mediaserver umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście uprzywilejowanego procesu. Ten problem ma ocenę Wysoki, ponieważ można go wykorzystać do uzyskania lokalnego dostępu do zwiększonych możliwości, które zwykle nie są dostępne dla aplikacji innych firm.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3870 A-29421804 Wysoki Cały Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 15 czerwca 2016 r
CVE-2016-3871 A-29422022 [ 2 ] [ 3 ] Wysoki Cały Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 15 czerwca 2016 r
CVE-2016-3872 A-29421675 [ 2 ] Wysoki Cały Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 15 czerwca 2016 r

Zwiększenie luki w zabezpieczeniach uprawnień podczas uruchamiania urządzenia

Podniesienie uprawnień podczas sekwencji rozruchowej może umożliwić lokalnemu złośliwemu atakującemu uruchomienie systemu w trybie awaryjnym, nawet jeśli jest on wyłączony. Ten problem ma ocenę Wysoki, ponieważ stanowi lokalne obejście wymagań dotyczących interakcji użytkownika w przypadku jakichkolwiek modyfikacji ustawień zabezpieczeń przez programistów lub zabezpieczeń.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3875 A-26251884 Wysoki Nic* 6.0, 6.0.1 Wewnętrzne Google

* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z systemem Android 7.0, na których zainstalowano wszystkie dostępne aktualizacje.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Ustawieniach

Podniesienie uprawnień w Ustawieniach może umożliwić lokalnemu złośliwemu atakującemu uruchomienie systemu w trybie awaryjnym, nawet jeśli jest on wyłączony. Ten problem ma ocenę Wysoki, ponieważ stanowi lokalne obejście wymagań dotyczących interakcji użytkownika w przypadku jakichkolwiek modyfikacji ustawień zabezpieczeń przez programistów lub zabezpieczeń.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3876 A-29900345 Wysoki Cały Nexus 6.0, 6.0.1, 7.0 Wewnętrzne Google

Luka w zabezpieczeniach typu „odmowa usługi” w serwerze multimediów

Luka w zabezpieczeniach programu Mediaserver umożliwiająca odmowę usługi może umożliwić osobie atakującej użycie specjalnie spreparowanego pliku w celu spowodowania zawieszenia lub ponownego uruchomienia urządzenia. Ten problem ma ocenę Wysoki ze względu na możliwość zdalnej odmowy usługi.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3899 A-29421811 Wysoki Cały Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 16 czerwca 2016 r
CVE-2016-3878 A-29493002 Wysoki Wszystkie Nexusy* 6.0, 6.0.1 17 czerwca 2016 r
CVE-2016-3879 A-29770686 Wysoki Wszystkie Nexusy* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 25 czerwca 2016 r
CVE-2016-3880 A-25747670 Wysoki Cały Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Wewnętrzne Google
CVE-2016-3881 A-30013856 Wysoki Cały Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Wewnętrzne Google

* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z systemem Android 7.0, na których zainstalowano wszystkie dostępne aktualizacje.

Zwiększenie luki w zabezpieczeniach w zakresie uprawnień w telefonii

Luka w zabezpieczeniach komponentu Telefonia umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wysyłanie nieautoryzowanych wiadomości SMS typu premium. Ten problem został oceniony jako umiarkowany, ponieważ można go wykorzystać do zwiększenia możliwości bez wyraźnej zgody użytkownika.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3883 A-28557603 Umiarkowany Cały Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 3 maja 2016 r

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w usłudze Menedżera powiadomień

Luka w zabezpieczeniach usługi Menedżer powiadomień umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji. Ten problem został oceniony jako umiarkowany, ponieważ stanowi lokalne obejście wymagań dotyczących interakcji użytkownika, takich jak dostęp do funkcji, które normalnie wymagają inicjacji użytkownika lub jego pozwolenia.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3884 A-29421441 Umiarkowany Cały Nexus 6.0, 6.0.1, 7.0 15 czerwca 2016 r

Podniesienie luki w zabezpieczeniach w Debuggerdzie

Luka w zabezpieczeniach zintegrowanego debugera systemu Android umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście debugera systemu Android. Ten problem ma wagę umiarkowaną ze względu na możliwość wykonania lokalnego dowolnego kodu w uprzywilejowanym procesie.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3885 A-29555636 Umiarkowany Cały Nexus 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 21 czerwca 2016 r

Zwiększenie luki w zabezpieczeniach systemu UI Tunera

Podniesienie uprawnień w tunerze interfejsu użytkownika systemu może umożliwić lokalnemu złośliwemu użytkownikowi modyfikację chronionych ustawień, gdy urządzenie jest zablokowane. Ten problem został oceniony jako umiarkowany, ponieważ stanowi lokalne obejście uprawnień użytkownika.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3886 A-30107438 Umiarkowany Cały Nexus 7,0 23 czerwca 2016 r

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Ustawieniach

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Ustawieniach może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń systemu operacyjnego dla ustawień VPN. Ten problem został oceniony jako umiarkowany, ponieważ może zostać wykorzystany do uzyskania dostępu do danych wykraczających poza poziomy uprawnień aplikacji.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3887 A-29899712 Umiarkowany Cały Nexus 7,0 Wewnętrzne Google

Zwiększenie luki w zabezpieczeniach wiadomości SMS

Luka w zabezpieczeniach programu SMS umożliwiająca podniesienie uprawnień może umożliwić lokalnemu atakującemu wysyłanie wiadomości SMS typu premium przed udostępnieniem urządzenia. Jest to oceniane jako umiarkowane ze względu na możliwość ominięcia zabezpieczenia przywracania ustawień fabrycznych, co powinno uniemożliwić korzystanie z urządzenia przed jego skonfigurowaniem.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3888 A-29420123 Umiarkowany Cały Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Wewnętrzne Google

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Ustawieniach

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Ustawieniach może umożliwić lokalnemu atakującemu ominięcie zabezpieczenia przywracania ustawień fabrycznych i uzyskanie dostępu do urządzenia. Jest to oceniane jako umiarkowane ze względu na możliwość ominięcia zabezpieczenia przywracania ustawień fabrycznych, co może doprowadzić do pomyślnego zresetowania urządzenia i usunięcia wszystkich jego danych.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3889 A-29194585 [ 2 ] Umiarkowany Cały Nexus 6.0, 6.0.1, 7.0 Wewnętrzne Google

Zwiększenie luki w zabezpieczeniach protokołu Java Debug Wire Protocol

Luka w zabezpieczeniach protokołu Java Debug Wire Protocol umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście aplikacji systemowej z podwyższonym poziomem uprawnień. Ten problem został oceniony jako umiarkowany, ponieważ wymaga nietypowej konfiguracji urządzenia.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3890 A-28347842 [ 2 ] Umiarkowany Nic* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Wewnętrzne Google

* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z systemem Android 7.0, na których zainstalowano wszystkie dostępne aktualizacje.

Luka umożliwiająca ujawnienie informacji w Mediaserverze

Luka w zabezpieczeniach Mediaservera umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem został oceniony jako umiarkowany, ponieważ może zostać wykorzystany do uzyskania dostępu do poufnych danych bez pozwolenia.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3895 A-29983260 Umiarkowany Cały Nexus 6.0, 6.0.1, 7.0 4 lipca 2016 r

Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w poczcie AOSP

Luka w zabezpieczeniach AOSP Mail umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji uzyskanie dostępu do prywatnych informacji użytkownika. Ten problem został oceniony jako umiarkowany, ponieważ może zostać wykorzystany do niewłaściwego uzyskania dostępu do danych bez pozwolenia.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3896 A-29767043 Umiarkowany Nic* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 24 lipca 2016 r

* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z systemem Android 7.0, na których zainstalowano wszystkie dostępne aktualizacje.

Luka w zabezpieczeniach Wi-Fi umożliwiająca ujawnienie informacji

Luka w konfiguracji Wi-Fi umożliwiająca ujawnienie informacji może umożliwić aplikacji dostęp do poufnych informacji. Ten problem został oceniony jako umiarkowany, ponieważ można go wykorzystać do uzyskania dostępu do danych bez pozwolenia.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3897 A-25624963 [ 2 ] Umiarkowany Nic* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 5 listopada 2015 r

* Ta luka nie dotyczy obsługiwanych urządzeń Nexus z systemem Android 7.0, na których zainstalowano wszystkie dostępne aktualizacje.

Luka w zabezpieczeniach typu „odmowa usługi” w telefonii

Luka w zabezpieczeniach składnika Telefonia umożliwiająca odmowę usługi może umożliwić lokalnej złośliwej aplikacji zapobieganie wywołaniom pod numer 911 TTY z zablokowanego ekranu. Ten problem został oceniony jako umiarkowany ze względu na możliwość odmowy usługi w przypadku funkcji krytycznej.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Zaktualizowane wersje AOSP Data zgłoszona
CVE-2016-3898 A-29832693 Umiarkowany Cały Nexus 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 28 czerwca 2016 r

Poziom poprawki zabezpieczeń z dnia 2016-09-05 — szczegóły dotyczące luk w zabezpieczeniach

W poniższych sekcjach podajemy szczegółowe informacje na temat każdej luki w zabezpieczeniach, która ma zastosowanie w wersji poprawki z dnia 2016-09-05. Znajduje się tam opis problemu, uzasadnienie wagi oraz tabela zawierająca CVE, powiązane odniesienia, wagę, zaktualizowane urządzenia Nexus, zaktualizowane wersje AOSP (w stosownych przypadkach) i datę zgłoszenia. Jeśli będzie to możliwe, połączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian AOSP. Gdy wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są powiązane z liczbami następującymi po identyfikatorze błędu.

Zwiększenie luki w zabezpieczeniach podsystemu zabezpieczeń jądra

Luka w zabezpieczeniach podsystemu zabezpieczeń jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia, co może wymagać ponownej aktualizacji systemu operacyjnego w celu naprawy urządzenia.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2014-9529 A-29510361

Jądro nadrzędne

Krytyczny Nexus 5, Nexus 6, Nexus 9, Nexus Player, Android One 6 stycznia 2015 r
CVE-2016-4470 A-29823941

Jądro nadrzędne

Krytyczny Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player 15 czerwca 2016 r

Zwiększenie luki w zabezpieczeniach podsystemu sieciowego jądra

Luka w zabezpieczeniach podsystemu sieciowego jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia, co może wymagać ponownej aktualizacji systemu operacyjnego w celu naprawy urządzenia.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2013-7446 A-29119002

Jądro nadrzędne

Krytyczny Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 18 listopada 2015 r

Zwiększenie luki w zabezpieczeniach podsystemu netfilter jądra

Luka w zabezpieczeniach podsystemu netfilter jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia, co może wymagać ponownej aktualizacji systemu operacyjnego w celu naprawy urządzenia.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3134 A-28940694

Jądro nadrzędne

Krytyczny Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 9 marca 2016 r

Zwiększenie luki w zabezpieczeniach sterownika USB jądra

Luka w zabezpieczeniach sterownika USB jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia, co może wymagać ponownej aktualizacji systemu operacyjnego w celu naprawy urządzenia.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3951 A-28744625

Jądro nadrzędne [ 2 ]

Krytyczny Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 6 kwietnia 2016 r

Zwiększenie luki w zabezpieczeniach podsystemu dźwiękowego jądra

Luka w zabezpieczeniach podsystemu dźwiękowego jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2014-4655 A-29916012

Jądro nadrzędne

Wysoki Nexus 5, Nexus 6, Nexus 9, Nexus Player 26 czerwca 2014

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w dekoderze jądra ASN.1

Luka w zabezpieczeniach dekodera ASN.1 jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-2053 A-28751627

Jądro nadrzędne

Wysoki Nexusa 5X, Nexusa 6P 25 stycznia 2016 r

Zwiększenie luki w zabezpieczeniach warstwy interfejsu radiowego Qualcomm

Luka w zabezpieczeniach warstwy interfejsu radiowego Qualcomm umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3864 A-28823714*
QC-CR#913117
Wysoki Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One 29 kwietnia 2016 r

* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Zwiększenie luki w zabezpieczeniach sterownika podsystemu Qualcomm

Luka w zabezpieczeniach sterownika podsystemu Qualcomm umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3858 A-28675151
QC-CR#1022641
Wysoki Nexusa 5X, Nexusa 6P 9 maja 2016 r

Zwiększenie luki w zabezpieczeniach sterownika sieciowego jądra

Luka w zabezpieczeniach sterownika sieciowego jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-4805 A-28979703

Jądro nadrzędne

Wysoki Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9 15 maja 2016 r

Zwiększenie luki w zabezpieczeniach sterownika ekranu dotykowego Synaptics

Luka w zabezpieczeniach sterownika ekranu dotykowego Synaptics umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3865 A-28799389* Wysoki Nexusa 5X, Nexusa 9 16 maja 2016 r

* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Zwiększenie luki w zabezpieczeniach sterownika kamery Qualcomm

Luka w zabezpieczeniach sterownika aparatu Qualcomm umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3859 A-28815326*
QC-CR#1034641
Wysoki Nexusa 5, Nexusa 5X, Nexusa 6, Nexusa 6P 17 maja 2016 r

* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Zwiększenie luki w zabezpieczeniach sterownika dźwięku Qualcomm

Luka w sterowniku dźwięku Qualcomm umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3866 A-28868303*
QC-CR#1032820
Wysoki Nexusa 5X, Nexusa 6, Nexusa 6P 18 maja 2016 r

* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Zwiększenie luki w zabezpieczeniach sterownika Qualcomm IPA

Luka w zabezpieczeniach sterownika Qualcomm IPA umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3867 A-28919863*
QC-CR#1037897
Wysoki Nexusa 5X, Nexusa 6P 21 maja 2016 r

* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Zwiększenie luki w zabezpieczeniach sterownika zasilania Qualcomm

Luka w zabezpieczeniach sterownika zasilania Qualcomm umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3868 A-28967028*
QC-CR#1032875
Wysoki Nexusa 5X, Nexusa 6P 25 maja 2016 r

* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Zwiększenie luki w zabezpieczeniach sterownika Wi-Fi Broadcom

Luka w zabezpieczeniach sterownika Wi-Fi Broadcom umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3869 A-29009982*
B-RB#96070
Wysoki Nexus 5, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C 27 maja 2016 r

* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Zwiększenie luki w zabezpieczeniach systemu plików eCryptfs jądra

Luka w zabezpieczeniach systemu plików eCryptfs jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-1583 A-29444228
Jądro nadrzędne
Wysoki Piksel C 1 czerwca 2016 r

Zwiększenie luki w zabezpieczeniach jądra NVIDIA

Luka w jądrze NVIDIA umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma wagę wysoką, ponieważ wymaga najpierw naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3873 A-29518457*
N-CVE-2016-3873
Wysoki Nexusa 9 20 czerwca 2016 r

* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Zwiększenie luki w zabezpieczeniach sterownika Qualcomm Wi-Fi

Luka w zabezpieczeniach sterownika Qualcomm Wi-Fi umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3874 A-29944562
QC-CR#997797 [ 2 ]
Wysoki Nexusa 5X 1 lipca 2016 r

Luka w zabezpieczeniach typu „odmowa usługi” w podsystemie sieciowym jądra

Luka w zabezpieczeniach podsystemu sieciowego jądra umożliwiająca odmowę usługi może umożliwić osobie atakującej spowodowanie zawieszenia lub ponownego uruchomienia urządzenia. Ten problem ma ocenę Wysoki ze względu na możliwość tymczasowej zdalnej odmowy usługi.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2015-1465 A-29506807

Jądro nadrzędne

Wysoki Nexus 5, Nexus 6, Nexus 9, Nexus Player, Pixel C, Android One 3 lutego 2015 r
CVE-2015-5364 A-29507402

Jądro nadrzędne

Wysoki Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 30 czerwca 2015 r

Luka w zabezpieczeniach typu „odmowa usługi” w systemie plików jądra ext4

Luka w zabezpieczeniach systemu plików ext4 jądra umożliwiająca odmowę usługi może umożliwić osobie atakującej spowodowanie lokalnej, trwałej odmowy usługi, co może wymagać ponownego flashowania systemu operacyjnego w celu naprawy urządzenia. Ten problem ma ocenę Wysoki ze względu na możliwość lokalnej trwałej odmowy usługi.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2015-8839 A-28760453* Wysoki Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 4 kwietnia 2016 r

* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Luka umożliwiająca ujawnienie informacji w sterowniku Qualcomm SPMI

Luka w sterowniku Qualcomm SPMI umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem został oceniony jako umiarkowany, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3892 A-28760543*
QC-CR#1024197
Umiarkowany Nexusa 5, Nexusa 5X, Nexusa 6, Nexusa 6P 13 maja 2016 r

* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Luka w zabezpieczeniach kodeka dźwięku Qualcomm umożliwiająca ujawnienie informacji

Luka w kodeku dźwięku Qualcomm umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem został oceniony jako umiarkowany, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3893 A-29512527
QC-CR#856400
Umiarkowany Nexusa 6P 20 czerwca 2016 r

Luka umożliwiająca ujawnienie informacji w komponencie Qualcomm DMA

Luka w komponencie Qualcomm DMA umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem został oceniony jako umiarkowany, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-3894 A-29618014*
QC-CR#1042033
Umiarkowany Nexusa 6 23 czerwca 2016 r

* Łatka rozwiązująca ten problem nie jest publicznie dostępna. Aktualizacja zawarta jest w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych na stronie Google Developer .

Luka umożliwiająca ujawnienie informacji w podsystemie sieciowym jądra

Luka w podsystemie sieci jądra umożliwiająca ujawnienie informacji może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem został oceniony jako umiarkowany, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-4998 A-29637687
Jądro nadrzędne [ 2 ]
Umiarkowany Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 24 czerwca 2016 r

Luka w zabezpieczeniach typu „odmowa usługi” w podsystemie sieciowym jądra

Luka w zabezpieczeniach podsystemu sieciowego jądra umożliwiająca odmowę usługi może umożliwić osobie atakującej zablokowanie dostępu do funkcji Wi-Fi. Ten problem został oceniony jako umiarkowany ze względu na możliwość tymczasowej zdalnej odmowy usługi w zakresie funkcji Wi-Fi.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2015-2922 A-29409847

Jądro nadrzędne

Umiarkowany Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 4 kwietnia 2015 r

Luki w komponentach Qualcomm

Poniższa tabela zawiera luki w zabezpieczeniach komponentów Qualcomm, potencjalnie obejmujące program ładujący, sterownik aparatu, sterownik postaci, obsługę sieci, sterownik dźwięku i sterownik wideo.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-2469 QC-CR#997025 Wysoki Nic Czerwiec 2016
CVE-2016-2469 QC-CR#997015 Umiarkowany Nic Czerwiec 2016

Poziom poprawki zabezpieczeń z dnia 2016-09-06 — szczegóły dotyczące luki

W poniższych sekcjach podajemy szczegółowe informacje na temat każdej luki w zabezpieczeniach, która ma zastosowanie w wersji poprawki z dnia 2016-09-06. Znajduje się tam opis problemu, uzasadnienie wagi oraz tabela zawierająca CVE, powiązane odniesienia, wagę, zaktualizowane urządzenia Nexus, zaktualizowane wersje AOSP (w stosownych przypadkach) i datę zgłoszenia. Jeśli będzie to możliwe, połączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian AOSP. Gdy wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są powiązane z liczbami następującymi po identyfikatorze błędu.

Zwiększenie luki w zabezpieczeniach podsystemu pamięci współdzielonej jądra

Luka w podsystemie pamięci współdzielonej jądra umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego lokalnego naruszenia bezpieczeństwa urządzenia, co może wymagać ponownej aktualizacji systemu operacyjnego w celu naprawy urządzenia.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-5340 A-30652312
QC-CR#1008948
Krytyczny Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One 26 lipca 2016 r

Zwiększenie luki w zabezpieczeniach w komponencie sieciowym Qualcomm

Luka umożliwiająca podniesienie uprawnień w komponencie sieciowym Qualcomm może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem ma ocenę Wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Powaga Zaktualizowano urządzenia Nexus Data zgłoszona
CVE-2016-2059 A-27045580
QC-CR#974577
Wysoki Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One 4 lutego 2016 r

Często zadawane pytania i odpowiedzi

W tej sekcji znajdują się odpowiedzi na często zadawane pytania, które mogą pojawić się po przeczytaniu niniejszego biuletynu.

1. Jak sprawdzić, czy moje urządzenie zostało zaktualizowane w celu rozwiązania tych problemów?

Poziomy poprawek zabezpieczeń z wersji 2016-09-01 lub nowszej rozwiązują wszystkie problemy związane z poziomem ciągu poprawek zabezpieczeń z wersji 2016-09-01. Poziomy poprawek zabezpieczeń z 2016-09-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem ciągu poprawek zabezpieczeń z 2016-09-05. Poziomy poprawek zabezpieczeń z wersji 2016-09-06 lub nowszej rozwiązują wszystkie problemy związane z poziomem ciągu poprawek zabezpieczeń z dnia 2016-09-06. Instrukcje dotyczące sprawdzania poziomu poprawki zabezpieczeń znajdują się w Centrum pomocy . Producenci urządzeń, którzy zawierają te aktualizacje, powinni ustawić poziom ciągu poprawek na: [ro.build.version.security_patch]:[2016-09-01], [ro.build.version.security_patch]:[2016-09-05], lub [ro.build.version.security_patch]:[2016-09-06].

2. Dlaczego ten biuletyn zawiera trzy ciągi poziomów poprawek zabezpieczeń?

W tym biuletynie znajdują się trzy poziomy poprawek zabezpieczeń, dzięki czemu partnerzy systemu Android mogą szybciej naprawić podzbiór luk w zabezpieczeniach, które są podobne na wszystkich urządzeniach z systemem Android. Zachęcamy partnerów korzystających z systemu Android do naprawienia wszystkich problemów opisanych w tym biuletynie i korzystania z najnowszych poziomów poprawek zabezpieczeń.

Urządzenia korzystające z poprawki zabezpieczeń z 6 września 2016 r. lub nowszej muszą zawierać wszystkie odpowiednie poprawki opisane w tym (i poprzednich) biuletynach zabezpieczeń. Ten poziom poprawki został stworzony, aby rozwiązać problemy wykryte po pierwszym powiadomieniu partnerów o większości problemów w tym biuletynie.

Urządzenia korzystające z poziomu łatek bezpieczeństwa 5 września 2016 r. Muszą zawierać wszystkie problemy związane z tym poziomem łatki bezpieczeństwa, poziom łatki bezpieczeństwa z 1 września 2016 r. I poprawki dla wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa. Urządzenia korzystające z poziomu łatki bezpieczeństwa 5 września 2016 r. Mogą również zawierać podzbiór poprawek związanych z poziomem łatki bezpieczeństwa z 6 września 2016 r.

Urządzenia korzystające z 1 września 2016 r. Poziom łatki bezpieczeństwa muszą zawierać wszystkie problemy związane z tym poziomem łatki bezpieczeństwa, a także poprawki dla wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa. Urządzenia korzystające z poziomu łatki bezpieczeństwa z 1 września 2016 r. Mogą również obejmować podzbiór poprawek związanych z poziomami łatki bezpieczeństwa z 5 września 2016 r. I 6 września 2016 r.

3 . Jak ustalić, na które urządzenia Nexus ma wpływ na każdy problem?

W sekcjach w 2016-09-01 , 2016-09-05 i 2016-09-06 Szczegóły w zakresie zabezpieczenia, każda tabela ma zaktualizowaną kolumnę Nexus Devices , która obejmuje zakres zaktualizowanych dla każdego problemu. Ta kolumna ma kilka opcji:

  • Wszystkie urządzenia Nexus : Jeśli problem wpływa na wszystkie urządzenia Nexus, tabela będzie miała „wszystkie Nexus” w zaktualizowanej kolumnie Nexus Devices . „All Nexus” zawiera następujące obsługiwane urządzenia : Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player i Pixel C.
  • Niektóre urządzenia Nexus : jeśli problem nie wpływa na wszystkie urządzenia Nexus, dotknięte urządzenia Nexus są wymienione w zaktualizowanej kolumnie Nexus Devices .
  • Brak urządzeń Nexus : jeśli problem nie ma wpływu na urządzenia Nexus z systemem Android 7.0, tabela będzie miała „Brak” w zaktualizowanej kolumnie Nexus Devices .

4. Na co wpisy w kolumnie referencyjnej mapują?

Wpisy w kolumnie Referencje tabeli szczegółów podatności mogą zawierać przedrostek identyfikujący organizację, do której należy wartość referencyjna. Te prefiks mapy w następujący sposób:

Prefiks Odniesienie
A- Identyfikator błędu Androida
Kontrola jakości- Numer referencyjny Qualcomma
M- Numer referencyjny MediaTeka
N- Numer referencyjny NVIDIA
B- Numer referencyjny firmy Broadcom

Wersje

  • 06 września 2016: Opublikowano Biuletyn.
  • 07 września 2016: Biuletyn zmienił się w celu zawierania linków AOSP.
  • 12 września 2016 r.: Biuletyn zmieniony w celu zaktualizowania przypisania dla CVE-2016-3861 i usunięcia CVE-2016-3877.