Pubblicato il 3 ottobre 2016 | Aggiornato il 4 ottobre 2016
Il Bollettino sulla sicurezza Android contiene dettagli delle vulnerabilità di sicurezza che interessano i dispositivi Android. Insieme al bollettino, abbiamo rilasciato un aggiornamento della sicurezza per i dispositivi Nexus tramite un aggiornamento over-the-air (OTA). Le immagini del firmware di Nexus sono state rilasciate anche sul sito per sviluppatori Google. I livelli patch di sicurezza del 5 ottobre 2016 o successivi risolvono questi problemi. Consulta la documentazione per scoprire come controllare il livello della patch di sicurezza. I dispositivi Nexus supportati riceveranno un singolo aggiornamento OTA con il livello della patch di sicurezza del 5 ottobre 2016.
I partner sono stati informati dei problemi descritti nel bollettino il 06 settembre 2016 o prima. Ove applicabile, le patch del codice sorgente per questi problemi sono state rilasciate nel repository Android Open Source Project (AOSP). Questo bollettino include anche link a patch esterne ad AOSP.
I problemi più gravi sono le vulnerabilità di sicurezza critiche nel codice specifico del dispositivo che potrebbero consentire l'esecuzione di codice remoto nel contesto del kernel, con la possibilità di un compromesso permanente locale del dispositivo, che potrebbe richiedere il riflash del sistema operativo per riparare il dispositivo. La valutazione della gravità si basa sull'effetto che lo sfruttamento della vulnerabilità potrebbe avere su un dispositivo interessato, supponendo che le mitigazioni della piattaforma e del servizio siano disattivate a scopo di sviluppo o se sono state aggirate.
Non abbiamo ricevuto segnalazioni di sfruttamento o abuso attivo da parte dei clienti di questi problemi appena segnalati. Consulta la sezione Mitigazioni per Android e i servizi Google per informazioni dettagliate sulle protezioni della piattaforma di sicurezza Android e sulle protezioni dei servizi come SafetyNet, che migliorano la sicurezza della piattaforma Android.
Invitiamo tutti i clienti ad accettare questi aggiornamenti sui loro dispositivi.
Annunci
- Questo bollettino contiene due stringhe di livello della patch di sicurezza per offrire ai partner Android la flessibilità di correggere più rapidamente un sottoinsieme di vulnerabilità simili su tutti i dispositivi Android. Per ulteriori informazioni, consulta la sezione Domande frequenti e risposte:
- 2016-10-01: stringa del livello della patch di sicurezza parziale. Questa stringa del livello patch di sicurezza indica che tutti i problemi associati al 1° ottobre 2016 (e a tutte le stringhe del livello patch di sicurezza precedenti) sono stati risolti.
- 2016-10-05: stringa completa del livello della patch di sicurezza. Questa stringa del livello del patch di sicurezza indica che tutti i problemi associati al 1° ottobre 2016 e al 5 ottobre 2016 (e a tutte le stringhe del livello del patch di sicurezza precedenti) sono stati risolti.
- I dispositivi Nexus supportati riceveranno un singolo aggiornamento OTA con il livello della patch di sicurezza del 5 ottobre 2016.
Mitigazioni per i servizi Android e Google
Questo è un riepilogo delle mitigazioni fornite dalla piattaforma di sicurezza Android e dalle protezioni dei servizi come SafetyNet. Queste funzionalità riducono la probabilità che le vulnerabilità di sicurezza possano essere sfruttate con successo su Android.
- Lo sfruttamento di molti problemi su Android è reso più difficile dai miglioramenti apportati alle versioni più recenti della piattaforma Android. Invitiamo tutti gli utenti a eseguire l'aggiornamento all'ultima versione di Android, se possibile.
- Il team di Android Security monitora attivamente gli abusi con Verify Apps e SafetyNet, progettati per avvisare gli utenti delle app potenzialmente dannose. Verifica app è attivata per impostazione predefinita sui dispositivi con Google Mobile Services ed è particolarmente importante per gli utenti che installano applicazioni al di fuori di Google Play. Gli strumenti di rooting del dispositivo sono vietati in Google Play, ma Verifica app avvisa gli utenti quando tentano di installare un'applicazione di rooting rilevata, indipendentemente dalla sua provenienza. Inoltre, Verifica app tenta di identificare e bloccare l'installazione di applicazioni dannose note che sfruttano una vulnerabilità di escalation dei privilegi. Se un'applicazione di questo tipo è già installata, Verifica app lo comunicherà all'utente e tenterà di rimuoverla.
- A seconda dei casi, le applicazioni Google Hangouts e Messenger non trasmettono automaticamente i contenuti multimediali a processi come Mediaserver.
Ringraziamenti
Vogliamo ringraziare per il loro contributo i seguenti ricercatori:
- Andre Teixeira Rizzo: CVE-2016-3882
- Andrea Biondo: CVE-2016-3921
- Daniel Micay di Copperhead Security: CVE-2016-3922
- Dmitry Vyukov di Google: CVE-2016-7117
- dosomder: CVE-2016-3931
- Ecular Xu (徐健) di Trend Micro: CVE-2016-3920
- Gengjia Chen (@chengjia4574) e pjf di IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-6690, CVE-2016-3901, CVE-2016-6672, CVE-2016-3940, CVE-2016-3935
- Hang Zhang, Dongdong She e Zhiyun Qian dell'Università della California a Riverside: CVE-2015-8950
- Hao Chen del team Alpha, Qihoo 360 Technology Co. Ltd.: CVE-2016-3860
- Jann Horn di Google Project Zero: CVE-2016-3900, CVE-2016-3885
- Jason Rogena: CVE-2016-3917
- Jianqiang Zhao (@jianqiangzhao) e pjf di IceSword Lab, Qihoo 360: CVE-2016-6688, CVE-2016-6677, CVE-2016-6673, CVE-2016-6687, CVE-2016-6686, CVE-2016-6681, CVE-2016-6682, CVE-2016-3930
- Joshua Drake (@jduck): CVE-2016-3920
- Maciej Szawłowski del team di sicurezza di Google: CVE-2016-3905
- Mark Brand di Google Project Zero: CVE-2016-6689
- Michał Bednarski: CVE-2016-3914, CVE-2016-6674, CVE-2016-3911, CVE-2016-3912
- Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) e Xuxian Jiang del team C0RE: CVE-2016-3933, CVE-2016-3932
- Nightwatch Cybersecurity Research (@nightwatchcyber): CVE-2016-5348
- Roee Hay, ricercatore di IBM Security X-Force: CVE-2016-6678
- Samuel Tan di Google: CVE-2016-3925
- Scott Bauer (@ScottyBauer1): CVE-2016-3936, CVE-2016-3928, CVE-2016-3902, CVE-2016-3937, CVE-2016-6696
- Seven Shen (@lingtongshen) del team di ricerca sulle minacce mobile di Trend Micro: CVE-2016-6685, CVE-2016-6683, CVE-2016-6680, CVE-2016-6679, CVE-2016-3903, CVE-2016-6693, CVE-2016-6694, CVE-2016-6695
- Wenke Dou, Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) e Xuxian Jiang del team C0RE: CVE-2016-3909
- Wenlin Yang e Guang Gong (龚广) (@oldfresher) del team Alpha di Qihoo 360 Technology Co. Ltd.: CVE-2016-3918
- Wish Wu (吴潍浠) (@wish_wu) di Trend Micro Inc.: CVE-2016-3924, CVE-2016-3915, CVE-2016-3916, CVE-2016-3910
- Yong Shi del team Eagleye, SCC, Huawei: CVE-2016-3938
- Zhanpeng Zhao (行之) (@0xr0ot) del Security Research Lab di Cheetah Mobile: CVE-2016-3908
01-10-2016 livello patch di sicurezza: dettagli sulla vulnerabilità
Nelle sezioni seguenti sono riportati i dettagli di ciascuna delle vulnerabilità di sicurezza che si applicano al livello del patch del 1° ottobre 2016. Sono presenti una descrizione del problema, una motivazione della gravità e una tabella con il CVE, i riferimenti associati, la gravità, i dispositivi Nexus aggiornati, le versioni AOSP aggiornate (se applicabili) e la data di segnalazione. Se disponibile, collegheremo la modifica pubblica che ha risolto il problema all'ID bug, ad esempio l'elenco delle modifiche AOSP. Quando più modifiche si riferiscono a un singolo bug, i riferimenti aggiuntivi sono collegati ai numeri che seguono l'ID bug.
Vulnerabilità di elevazione dei privilegi in ServiceManager
Un'elevazione dei privilegi in ServiceManager potrebbe consentire a un'applicazione locale dannosa di registrare servizi arbitrari che normalmente verrebbero forniti da un processo privilegiato, come system_server. Questo problema è classificato come di gravità Alta a causa della possibilità di furto d'identità del servizio.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3900 | A-29431260 [2] | Alto | Tutti i Nexus | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 15 giugno 2016 |
Vulnerability di elevazione del privilegio nel servizio Impostazioni serratura
Una vulnerabilità di elevazione dei privilegi nel servizio Impostazioni blocco potrebbe consentire a un'applicazione locale dannosa di cancellare il PIN o la password del dispositivo. Questo problema è classificato come Alto perché rappresenta un bypass locale dei requisiti di interazione utente per eventuali modifiche alle impostazioni di sicurezza o per gli sviluppatori.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3908 | A-30003944 | Alto | Tutti i Nexus | 6.0, 6.0.1, 7.0 | 6 luglio 2016 |
Vulnerabilità di elevazione dei privilegi in Mediaserver
Una vulnerabilità di elevazione dei privilegi in Mediaserver potrebbe consentire a un'applicazione local malintenzionata di eseguire codice arbitrario nel contesto di un processo con privilegi. Questo problema è classificato come Alto perché potrebbe essere utilizzato per ottenere accesso locale a funzionalità con privilegi elevati, che in genere non sono accessibili a un'applicazione di terze parti.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3909 | A-30033990 [2] | Alto | Tutti i Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 8 luglio 2016 |
| CVE-2016-3910 | A-30148546 | Alto | Tutti i Nexus | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 13 luglio 2016 |
| CVE-2016-3913 | A-30204103 | Alto | Tutti i Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 18 luglio 2016 |
Vulnerabilità di elevazione dei privilegi nel processo Zygote
Un'elevazione dei privilegi nel processo Zygote potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto di un processo con privilegi. Questo problema è classificato come Alto perché potrebbe essere utilizzato per ottenere accesso locale a funzionalità elevate, che in genere non sono accessibili a un'applicazione di terze parti.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3911 | A-30143607 | Alto | Tutti i Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 12 luglio 2016 |
Vulnerabilità di elevazione dei privilegi nelle API del framework
Una vulnerabilità di elevazione dei privilegi nelle API del framework potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto di un processo privilegiato. Questo problema è classificato come Alto perché potrebbe essere utilizzato per ottenere accesso locale a funzionalità con privilegi elevati, che in genere non sono accessibili a un'applicazione di terze parti.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3912 | A-30202481 | Alto | Tutti i Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 17 luglio 2016 |
Vulnerabilità di elevazione dei privilegi in Telefonia
Una vulnerabilità di elevazione dei privilegi nel componente Telefonia potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto di un processo con privilegi. Questo problema è classificato come Alto perché potrebbe essere utilizzato per ottenere accesso locale a funzionalità con privilegi elevati, che in genere non sono accessibili a un'applicazione di terze parti.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3914 | A-30481342 | Alto | Tutti i Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 28 luglio 2016 |
Vulnerabilità di elevazione dei privilegi nel servizio della fotocamera
Una vulnerabilità di elevazione dei privilegi nel servizio della fotocamera potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto di un processo privilegiato. Questo problema è classificato come Alto perché potrebbe essere utilizzato per ottenere accesso locale a funzionalità con privilegi elevati, che in genere non sono accessibili a un'applicazione di terze parti.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3915 | A-30591838 | Alto | Tutti i Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 1° agosto 2016 |
| CVE-2016-3916 | A-30741779 | Alto | Tutti i Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 2 agosto 2016 |
Vulnerabilità di elevazione dei privilegi nell'accesso con l'impronta
Una vulnerabilità di elevazione dei privilegi durante l'accesso con l'impronta potrebbe consentire a un proprietario del dispositivo malintenzionato di accedere come un altro account utente sul dispositivo. Questo problema è classificato come Alto a causa della possibilità di aggirare la schermata di blocco.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3917 | A-30744668 | Alto | Tutti i Nexus | 6.0.1, 7.0 | 5 agosto 2016 |
Vulnerabilità di divulgazione di informazioni in AOSP Mail
Una vulnerabilità di divulgazione di informazioni in AOSP Mail potrebbe consentire a un'applicazione local maligna di aggirare le protezioni del sistema operativo che isolano i dati dell'applicazione da altre applicazioni. Questo problema è classificato come Alto perché potrebbe essere utilizzato per accedere ai dati senza autorizzazione.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3918 | A-30745403 | Alto | Tutti i Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 5 agosto 2016 |
Vulnerabilità Denial of Service nel Wi-Fi
Una vulnerabilità di denial of service nel Wi-Fi potrebbe consentire a un malintenzionato nelle vicinanze di creare un hotspot e causare il riavvio di un dispositivo. Questo problema è classificato come Alto a causa della possibilità di un attacco di negazione di servizio remoto temporaneo.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3882 | A-29464811 | Alto | Tutti i Nexus | 6.0, 6.0.1, 7.0 | 17 giugno 2016 |
Vulnerabilità Denial of Service nel GPS
Una vulnerabilità di denial of service nel componente GPS potrebbe consentire a un malintenzionato remoto di causare un blocco o un riavvio del dispositivo. Questo problema è classificato come Alto a causa della possibilità di un attacco di negazione del servizio remoto temporaneo.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-5348 | A-29555864 | Alto | Tutti i Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 20 giugno 2016 |
Vulnerabilità Denial of Service in Mediaserver
Una vulnerabilità di tipo denial of service in Mediaserver potrebbe consentire a un malintenzionato di utilizzare un file appositamente creato per causare un blocco o un riavvio del dispositivo. Questo problema è classificato come Alto a causa della possibilità di un attacco di negazione del servizio da remoto.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3920 | A-30744884 | Alto | Tutti i Nexus | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 5 agosto 2016 |
Vulnerabilità di elevazione dei privilegi nell'ascoltatore del framework
Una vulnerabilità di elevazione dei privilegi in Framework Listener potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto di un processo privilegiato. Questo problema è classificato come moderato perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3921 | A-29831647 | Moderata | Tutti i Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 25 giugno 2016 |
Vulnerabilità di elevazione dei privilegi in Telefonia
Una vulnerabilità di elevazione dei privilegi in Telefonia potrebbe consentire a un'applicazione local malvagia di eseguire codice arbitrario nel contesto di un processo privilegiato. Questo problema è classificato come moderato perché richiede innanzitutto di compromettere un processo con privilegi.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3922 | A-30202619 | Moderata | Tutti i Nexus | 6.0, 6.0.1, 7.0 | 17 luglio 2016 |
Vulnerabilità di elevazione dei privilegi nei servizi di accessibilità
Una vulnerabilità di elevazione dei privilegi nei servizi di accessibilità potrebbe consentire a un'applicazione locale dannosa di generare eventi di tocco imprevisti sul dispositivo, il che potrebbe portare le applicazioni ad accettare le finestre di dialogo di autorizzazione senza il consenso esplicito dell'utente. Questo problema è classificato come moderato perché si tratta di un aggiramento locale dei requisiti di interazione con l'utente che normalmente richiede l'iniziazione o l'autorizzazione dell'utente.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3923 | A-30647115 | Moderata | Tutti i Nexus | 7,0 | Interno Google |
Vulnerabilità di divulgazione di informazioni in Mediaserver
Una vulnerabilità di divulgazione di informazioni in Mediaserver potrebbe consentire a un'applicazione local maligna di accedere ai dati al di fuori dei suoi livelli di autorizzazione. Questo problema è classificato come moderato perché potrebbe essere utilizzato per accedere a dati sensibili senza autorizzazione.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3924 | A-30204301 | Moderata | Tutti i Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 18 luglio 2016 |
Vulnerabilità Denial of Service nel Wi-Fi
Una vulnerabilità di tipo denial of service nel servizio Wi-Fi potrebbe consentire a un'applicazione local maliciosa di impedire le chiamate Wi-Fi. Questo problema è classificato come moderato a causa della possibilità di un attacco di tipo denial of service alla funzionalità dell'applicazione.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Versioni AOSP aggiornate | Data segnalazione |
|---|---|---|---|---|---|
| CVE-2016-3925 | A-30230534 | Moderata | Tutti i Nexus | 6.0, 6.0.1, 7.0 | Interno Google |
05-10-2016 livello patch di sicurezza: dettagli sulla vulnerabilità
Nelle sezioni seguenti sono riportati i dettagli di ciascuna delle vulnerabilità di sicurezza che si applicano al livello del patch del 05/10/2016. Sono presenti una descrizione del problema, una motivazione della gravità e una tabella con il CVE, i riferimenti associati, la gravità, i dispositivi Nexus aggiornati, le versioni AOSP aggiornate (se applicabili) e la data di segnalazione. Se disponibile, collegheremo la modifica pubblica che ha risolto il problema all'ID bug, ad esempio l'elenco delle modifiche AOSP. Quando più modifiche si riferiscono a un singolo bug, i riferimenti aggiuntivi sono collegati ai numeri che seguono l'ID bug.
Vulnerabilità di esecuzione di codice remoto nel decodificatore ASN.1 del kernel
Una vulnerabilità di elevazione dei privilegi nel decodificatore ASN.1 del kernel potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Critico a causa della possibilità di un compromesso permanente del dispositivo locale, che potrebbe richiedere il riflash del sistema operativo per riparare il dispositivo.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-0758 | A-29814470 Kernel upstream |
Critico | Nexus 5X, Nexus 6P | 12 maggio 2016 |
Vulnerabilità di esecuzione di codice remoto nel sottosistema di networking del kernel
Una vulnerabilità di esecuzione di codice da remoto nel sottosistema di rete del kernel potrebbe consentire a un utente malintenzionato remoto di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Critico a causa della possibilità di un compromesso permanente del dispositivo locale, che potrebbe richiedere il riflash del sistema operativo per riparare il dispositivo.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-7117 | A-30515201 Kernel upstream |
Critico | Tutti i Nexus | Interno Google |
Vulnerabilità di elevazione dei privilegi nel driver video MediaTek
Una vulnerabilità di elevazione dei privilegi nel driver video MediaTek potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Critico a causa della possibilità di un compromesso permanente locale del dispositivo, che potrebbe richiedere il riflash del sistema operativo per ripararlo.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-3928 | A-30019362* M-ALPS02829384 |
Critico | Nessuno | 6 luglio 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerability di elevazione di privilegi nel driver della memoria condivisa del kernel
Una vulnerabilità di elevazione dei privilegi nel driver della memoria condivisa del kernel potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Critico a causa della possibilità di un compromesso permanente locale del dispositivo, che potrebbe richiedere il riflash del sistema operativo per ripararlo.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-5340 | A-30652312 QC-RP#1008948 |
Critico | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One | 26 luglio 2016 |
Vulnerabilità nei componenti Qualcomm
La tabella seguente contiene le vulnerabilità di sicurezza che interessano i componenti Qualcomm e sono descritte in modo più dettagliato nei bollettini sulla sicurezza Qualcomm AMSS di marzo 2016 e Qualcomm AMSS di aprile 2016.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-3926 | A-28823953* | Critico | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P | Qualcomm interno |
| CVE-2016-3927 | A-28823244* | Critico | Nexus 5X, Nexus 6P | Qualcomm interno |
| CVE-2016-3929 | A-28823675* | Alto | Nexus 5X, Nexus 6P | Qualcomm interno |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerabilità di elevazione del privilegio nel componente di rete Qualcomm
Una vulnerabilità di elevazione dei privilegi nel componente di rete Qualcomm potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Alto perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-2059 | A-27045580 QC-RP#974577 |
Alto | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One | 4 febbraio 2016 |
Vulnerabilità di elevazione dei privilegi nel driver di test MMC di NVIDIA
Una vulnerabilità di elevazione dei privilegi nel driver di test NVIDIA MMC potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Alto perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-3930 | A-28760138* N-CVE-2016-3930 |
Alto | Nexus 9 | 12 maggio 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerabilità di elevazione dei privilegi nel driver Qualcomm QSEE Communicator
Una vulnerabilità di elevazione dei privilegi nel driver Qualcomm QSEE Communicator potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Alto perché richiede innanzitutto la compromissione di un processo con privilegi.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-3931 | A-29157595 QC-RP#1036418 |
Alto | Nexus 5X, Nexus 6, Nexus 6P, Android One | 4 giugno 2016 |
Vulnerabilità di elevazione dei privilegi in Mediaserver
Una vulnerabilità di elevazione dei privilegi in Mediaserver potrebbe consentire a un'applicazione local malintenzionata di eseguire codice arbitrario nel contesto di un processo con privilegi. Questo problema è classificato come Alto perché potrebbe essere utilizzato per ottenere accesso locale a funzionalità con privilegi elevati, che in genere non sono accessibili a un'applicazione di terze parti.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-3932 | A-29161895 M-ALPS02770870 |
Alto | Nessuno | 6 giugno 2016 |
| CVE-2016-3933 | A-29421408* N-CVE-2016-3933 |
Alto | Nexus 9, Pixel C | 14 giugno 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerabilità di elevazione dei privilegi nel driver della videocamera Qualcomm
Una vulnerabilità di elevazione dei privilegi nel driver della fotocamera Qualcomm potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Alto perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-3903 | A-29513227 QC-RP#1040857 |
Alto | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One | 20 giugno 2016 |
| CVE-2016-3934 | A-30102557 QC-RP#789704 |
Alto | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One | 12 luglio 2016 |
Vulnerabilità di elevazione di privilegio nel driver audio Qualcomm
Una vulnerabilità di elevazione dei privilegi nel driver audio Qualcomm potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Alto perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2015-8951 | A-30142668 QC-RP#948902 QC-RP#948902 |
Alto | Nexus 5X, Nexus 6P, Android One | 20 giugno 2016 |
Vulnerability di elevazione di privilegio nel driver dell'engine di crittografia Qualcomm
Una vulnerabilità di elevazione dei privilegi nel driver del motore crittografico Qualcomm potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Alto perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-3901 | A-29999161 QC-RP#1046434 |
Alto | Nexus 5X, Nexus 6, Nexus 6P, Android One | 6 luglio 2016 |
| CVE-2016-3935 | A-29999665 QC-RP#1046507 |
Alto | Nexus 5X, Nexus 6, Nexus 6P, Android One | 6 luglio 2016 |
Vulnerabilità di elevazione dei privilegi nel driver video MediaTek
Una vulnerabilità di elevazione dei privilegi nel driver video MediaTek potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Alto perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-3936 | A-30019037* M-ALPS02829568 |
Alto | Nessuno | 6 luglio 2016 |
| CVE-2016-3937 | A-30030994* M-ALPS02834874 |
Alto | Nessuno | 7 luglio 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerabilità di elevazione del privilegio nel driver video Qualcomm
Una vulnerabilità di elevazione dei privilegi nel driver video Qualcomm potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Alto perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-3938 | A-30019716 QC-RP#1049232 |
Alto | Nexus 5X, Nexus 6, Nexus 6P, Android One | 7 luglio 2016 |
| CVE-2016-3939 | A-30874196 QC-RP#1001224 |
Alto | Nexus 5X, Nexus 6, Nexus 6P, Android One | 15 agosto 2016 |
Vulnerabilità di elevazione del privilegio nel driver del touchscreen Synaptics
Una vulnerabilità di elevazione dei privilegi nel driver del touchscreen Synaptics potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Alto perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-3940 | A-30141991* | Alto | Nexus 6P, Android One | 12 luglio 2016 |
| CVE-2016-6672 | A-30537088* | Alto | Nexus 5X | 31 lug 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerability di elevazione del privilegio nel driver della videocamera NVIDIA
Una vulnerabilità di elevazione dei privilegi nel driver della videocamera NVIDIA potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Alto perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-6673 | A-30204201* N-CVE-2016-6673 |
Alto | Nexus 9 | 17 luglio 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerabilità di elevazione dei privilegi in system_server
Una vulnerabilità di elevazione dei privilegi in system_server potrebbe consentire a un'applicazione local maligna di eseguire codice arbitrario nel contesto di un procedura con privilegi. Questo problema è classificato come Alto perché potrebbe essere utilizzato per ottenere accesso locale a funzionalità con privilegi elevati, che in genere non sono accessibili a un'applicazione di terze parti.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-6674 | A-30445380* | Alto | Tutti i Nexus | 26 luglio 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerability di elevazione di privilegio nel driver Wi-Fi Qualcomm
Una vulnerabilità di elevazione dei privilegi nel driver Wi-Fi Qualcomm potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Alto perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-3905 | A-28061823 QC-RP#1001449 |
Alto | Nexus 5X | Interno Google |
| CVE-2016-6675 | A-30873776 QC-RP#1000861 |
Alto | Nexus 5X, Android One | 15 agosto 2016 |
| CVE-2016-6676 | A-30874066 QC-RP#1000853 |
Alto | Nexus 5X, Android One | 15 agosto 2016 |
| CVE-2016-5342 | A-30878283 QC-RP#1032174 |
Alto | Android One | 15 agosto 2016 |
Vulnerabilità di elevazione di privilegi nel sottosistema di prestazioni del kernel
Una vulnerabilità di elevazione dei privilegi nel sottosistema di prestazioni del kernel potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come Alto perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2015-8955 | A-29508816 Kernel upstream |
Alto | Nexus 5X, Nexus 6P, Pixel C, Android One | Interno Google |
Vulnerabilità di divulgazione di informazioni nel sottosistema ION del kernel
Una vulnerabilità di divulgazione di informazioni nel sottosistema ION del kernel potrebbe consentire a un'applicazione locale dannosa di accedere ai dati al di fuori dei suoi livelli di autorizzazione. Questo problema è classificato come Alto perché potrebbe essere utilizzato per accedere a dati sensibili senza l'autorizzazione esplicita dell'utente.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2015-8950 | A-29795245 QC-RP#1041735 |
Alto | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P | 12 maggio 2016 |
Vulnerabilità di divulgazione di informazioni nel driver GPU NVIDIA
Una vulnerabilità di divulgazione di informazioni nel driver della GPU NVIDIA potrebbe consentire a un'applicazione locale dannosa di accedere ai dati al di fuori dei suoi livelli di autorizzazione. Questo problema è classificato come Alto perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-6677 | A-30259955* N-CVE-2016-6677 |
Alto | Nexus 9 | 19 luglio 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerabilità di elevazione dei privilegi nel driver di caratteri Qualcomm
Una vulnerabilità di elevazione dei privilegi nel driver di caratteri Qualcomm potrebbe consentire a un'applicazione locale dannosa di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come moderato perché richiede innanzitutto la compromissione di un processo privilegiato e il codice vulnerabile non è attualmente accessibile.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2015-0572 | A-29156684 QC-RP#848489 |
Moderata | Nexus 5X, Nexus 6P | 28 maggio 2016 |
Vulnerabilità di divulgazione di informazioni nel driver audio Qualcomm
Una vulnerabilità di divulgazione di informazioni nel driver audio Qualcomm potrebbe consentire a un'applicazione locale dannosa di accedere ai dati al di fuori dei suoi livelli di autorizzazione. Questo problema è classificato come moderato perché richiede innanzitutto la compromissione di un procedura privilegiata.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-3860 | A-29323142 QC-RP#1038127 |
Moderata | Nexus 5X, Nexus 6P, Android One | 13 giugno 2016 |
Vulnerabilità di divulgazione di informazioni nel driver USBNet di Motorola
Una vulnerabilità di divulgazione di informazioni nel driver USBNet di Motorola potrebbe consentire a un'applicazione locale dannosa di accedere ai dati al di fuori dei suoi livelli di autorizzazione. Questo problema è classificato come moderato perché richiede innanzitutto la compromissione di un procedura privilegiata.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-6678 | A-29914434* | Moderata | Nexus 6 | 30 giugno 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerabilità di divulgazione di informazioni nei componenti Qualcomm
Una vulnerabilità di divulgazione di informazioni nei componenti Qualcomm, tra cui il driver audio, il driver IPA e il driver Wi-Fi, potrebbe consentire a un'applicazione locale dannosa di accedere ai dati al di fuori dei suoi livelli di autorizzazione. Questo problema è classificato come moderato perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-6679 | A-29915601 QC-RP#1000913 [2] |
Moderata | Nexus 5X, Android One | 30 giugno 2016 |
| CVE-2016-3902 | A-29953313* QC-RP#1044072 |
Moderata | Nexus 5X, Nexus 6P, | 2 luglio 2016 |
| CVE-2016-6680 | A-29982678* QC-RP#1048052 |
Moderata | Nexus 5X, Android One | 3 luglio 2016 |
| CVE-2016-6681 | A-30152182 QC-RP#1049521 |
Moderata | Nexus 5X, Nexus 6P, Android One | 14 luglio 2016 |
| CVE-2016-6682 | A-30152501 QC-RP#1049615 |
Moderata | Nexus 5X, Nexus 6P, Android One | 14 luglio 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerabilità di divulgazione di informazioni nei componenti del kernel
Una vulnerabilità di divulgazione di informazioni nei componenti del kernel, tra cui Binder, Sync, Bluetooth e il driver audio, potrebbe consentire a un'applicazione locale dannosa di accedere ai dati al di fuori dei suoi livelli di autorizzazione. Questo problema è classificato come moderato perché richiede innanzitutto la compromissione di un processo con privilegi.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-6683 | A-30143283* | Moderata | Tutti i Nexus | 13 luglio 2016 |
| CVE-2016-6684 | A-30148243* | Moderata | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Android One | 13 luglio 2016 |
| CVE-2015-8956 | A-30149612* | Moderata | Nexus 5, Nexus 6P, Android One | 14 luglio 2016 |
| CVE-2016-6685 | A-30402628* | Moderata | Nexus 6P | 25 luglio 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerabilità di divulgazione di informazioni nel profiler NVIDIA
Una vulnerabilità di divulgazione di informazioni nel profiler NVIDIA potrebbe consentire a un'applicazione locale dannosa di accedere ai dati al di fuori dei suoi livelli di autorizzazione. Questo problema è classificato come moderato perché richiede innanzitutto la compromissione di un procedura privilegiata.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-6686 | A-30163101* N-CVE-2016-6686 |
Moderata | Nexus 9 | 15 luglio 2016 |
| CVE-2016-6687 | A-30162222* N-CVE-2016-6687 |
Moderata | Nexus 9 | 15 luglio 2016 |
| CVE-2016-6688 | A-30593080* N-CVE-2016-6688 |
Moderata | Nexus 9 | 2 agosto 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerabilità di divulgazione di informazioni nel kernel
Una vulnerabilità di divulgazione di informazioni in Binder potrebbe consentire a un'applicazione locale dannosa di accedere ai dati al di fuori dei suoi livelli di autorizzazione. Questo problema è classificato come moderato perché richiede innanzitutto la compromissione di un processo privilegiato.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-6689 | A-30768347* | Moderata | Tutti i Nexus | 9 agosto 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerabilità di Denial of Service nel sottosistema di rete del kernel
Una vulnerabilità di tipo denial of service nel sottosistema di rete del kernel potrebbe consentire a un malintenzionato di bloccare l'accesso alle connessioni TCP e causare un denial of service remoto temporaneo. Questo problema è classificato come moderato perché i servizi cellulari sono ancora disponibili e il dispositivo è ancora utilizzabile.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-5696 | A-30809774 Kernel Upstream |
Moderata | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 12 luglio 2016 |
Vulnerabilità Denial of Service nel driver audio del kernel
Una vulnerabilità di denial of service nel kernel potrebbe consentire a un'applicazione localmente dannosa di causare il riavvio di un dispositivo. Questo problema è classificato come Basso perché si tratta di un denial of service temporaneo.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-6690 | A-28838221* | Bassa | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus Player | 18 maggio 2016 |
* La patch per questo problema non è disponibile pubblicamente. L'aggiornamento è contenuto nei driver binari più recenti per i dispositivi Nexus disponibili sul sito Google Developer.
Vulnerabilità nei componenti Qualcomm
La tabella seguente contiene un elenco di vulnerabilità di sicurezza che interessano i componenti Qualcomm.
| CVE | Riferimenti | Gravità | Dispositivi Nexus aggiornati | Data segnalazione |
|---|---|---|---|---|
| CVE-2016-6691 | QC-RP#978452 | Alto | Nessuno | Luglio 2016 |
| CVE-2016-6692 | QC-RP#1004933 | Alto | Nessuno | Agosto 2016 |
| CVE-2016-6693 | QC-RP#1027585 | Alto | Nessuno | Agosto 2016 |
| CVE-2016-6694 | QC-RP#1033525 | Alto | Nessuno | Agosto 2016 |
| CVE-2016-6695 | QC-RP#1033540 | Alto | Nessuno | Agosto 2016 |
| CVE-2016-6696 | QC-RP#1041130 | Alto | Nessuno | Agosto 2016 |
| CVE-2016-5344 | QC-RP#993650 | Moderata | Nessuno | Agosto 2016 |
| CVE-2016-5343 | QC-RP#1010081 | Moderata | Nessuno | Agosto 2016 |
Domande frequenti e risposte
Questa sezione risponde alle domande frequenti che potrebbero sorgere dopo aver letto questo bollettino.
1. Come faccio a stabilire se il mio dispositivo è aggiornato per risolvere questi problemi?
I livelli patch di sicurezza dal 1° ottobre 2016 o versioni successive risolvono tutti i problemi associati al livello della stringa della patch di sicurezza del 1° ottobre 2016. I livelli di patch di sicurezza del 05-10-2016 o successivi risolvono tutti i problemi associati al livello della stringa della patch di sicurezza del 05-10-2016. Per istruzioni su come controllare il livello della patch di sicurezza, consulta il Centro assistenza. I produttori di dispositivi che includono questi aggiornamenti devono impostare il livello della stringa della patch su: [ro.build.version.security_patch]:[2016-10-01] o [ro.build.version.security_patch]:[2016-10-05].
2. Perché questo bollettino contiene due stringhe di livello patch di sicurezza?
Questo bollettino contiene due stringhe di livello patch di sicurezza per consentire ai partner di Android di risolvere più rapidamente un sottoinsieme di vulnerabilità simili su tutti i dispositivi Android. I partner Android sono invitati a risolvere tutti i problemi elencati in questo bollettino e a utilizzare la stringa del livello della patch di sicurezza più recente.
I dispositivi che utilizzano il livello della patch di sicurezza del 5 ottobre 2016 o versioni successive devono includere tutte le patch applicabili in questo bollettino (e nei precedenti) sulla sicurezza.
I dispositivi che utilizzano il livello della patch di sicurezza del 1° ottobre 2016 devono includere tutti i problemi associati a quel livello, nonché le correzioni per tutti i problemi segnalati nei bollettini sulla sicurezza precedenti.
3. Come faccio a determinare quali dispositivi Nexus sono interessati da ogni problema?
Nelle sezioni dei dettagli delle vulnerabilità di sicurezza del 01-10-2016 e del 05-10-2016, ogni tabella contiene una colonna Dispositivi Nexus aggiornati che copre l'intervallo di dispositivi Nexus interessati aggiornati per ciascun problema. Questa colonna offre alcune opzioni:
- Tutti i dispositivi Nexus: se un problema riguarda tutti i dispositivi Nexus, nella colonna Dispositivi Nexus aggiornati della tabella sarà presente "Tutti i Nexus". "Tutti i Nexus" racchiude i seguenti dispositivi supportati: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player e Pixel C.
- Alcuni dispositivi Nexus: se un problema non riguarda tutti i dispositivi Nexus, quelli interessati sono elencati nella colonna Dispositivi Nexus aggiornati.
- Nessun dispositivo Nexus: se nessun dispositivo Nexus con Android 7.0 è interessato dal problema, nella colonna Dispositivi Nexus aggiornati della tabella sarà presente il valore "Nessun dispositivo".
4. A cosa si riferiscono le voci nella colonna dei riferimenti?
Le voci nella colonna Riferimenti della tabella con i dettagli delle vulnerabilità possono contenere un prefisso che identifica l'organizzazione a cui appartiene il valore di riferimento. Questi prefissi sono mappati come segue:
| Prefisso | Riferimenti |
|---|---|
| A- | ID bug Android |
| QC- | Numero di riferimento Qualcomm |
| M- | Numero di riferimento MediaTek |
| N- | Numero di riferimento NVIDIA |
| B- | Numero di riferimento Broadcom |
Revisioni
- 3 ottobre 2016: bollettino pubblicato.
- 4 ottobre 2016: bollettino rivisto per includere i link AOSP e aggiornare le attribuzioni per CVE-2016-3920, CVE-2016-6693, CVE-2016-6694, CVE-2016-6695 e CVE-2016-6696.