Boletim de segurança do Android – novembro de 2016

Publicado em 07 de novembro de 2016 | Atualizado em 21 de dezembro de 2016

O Boletim de Segurança do Android contém detalhes das vulnerabilidades de segurança que afetam os dispositivos Android. Juntamente com o boletim, lançamos uma atualização de segurança para os dispositivos do Google por meio de uma atualização over-the-air (OTA). As imagens de firmware do dispositivo Google também foram lançadas no site do Google Developer . Os níveis de patch de segurança de 06 de novembro de 2016 ou posterior abordam todos esses problemas. Consulte a programação de atualização do Pixel e do Nexus para saber como verificar o nível de patch de segurança de um dispositivo.

Os parceiros foram notificados sobre os problemas descritos no boletim em 20 de outubro de 2016 ou antes. Quando aplicável, os patches de código-fonte para esses problemas foram lançados no repositório do Android Open Source Project (AOSP). Este boletim também inclui links para patches fora do AOSP.

O mais grave desses problemas é uma vulnerabilidade de segurança crítica que pode permitir a execução remota de código em um dispositivo afetado por meio de vários métodos, como email, navegação na Web e MMS ao processar arquivos de mídia. A avaliação de gravidade é baseada no efeito que a exploração da vulnerabilidade possivelmente teria em um dispositivo afetado, supondo que as atenuações da plataforma e do serviço estejam desabilitadas para fins de desenvolvimento ou se forem ignoradas com êxito.

Não tivemos relatos de exploração ativa de clientes ou abuso desses problemas relatados recentemente. Consulte a seção de mitigações de serviço do Android e do Google para obter detalhes sobre as proteções da plataforma de segurança Android e as proteções de serviço, como SafetyNet , que melhoram a segurança da plataforma Android.

Incentivamos todos os clientes a aceitar essas atualizações em seus dispositivos.

Anúncios

  • Com a introdução dos dispositivos Pixel e Pixel XL, o termo para todos os dispositivos compatíveis com o Google é "dispositivos Google" em vez de "dispositivos Nexus".
  • Este boletim tem três níveis de patch de segurança para fornecer aos parceiros Android a flexibilidade de corrigir mais rapidamente um subconjunto de vulnerabilidades semelhantes em todos os dispositivos Android. Consulte Perguntas e respostas comuns para obter informações adicionais:
    • 2016-11-01 : Nível de patch de segurança parcial. Este nível de patch de segurança indica que todos os problemas associados a 2016-11-01 (e todos os níveis de patch de segurança anteriores) foram resolvidos.
    • 2016-11-05 : Nível de patch de segurança completo. Este nível de patch de segurança indica que todos os problemas associados a 2016-11-01 e 2016-11-05 (e todos os níveis de patch de segurança anteriores) foram resolvidos.
    • Níveis de patch de segurança suplementares

      Níveis de patch de segurança complementares são fornecidos para identificar dispositivos que contêm correções para problemas que foram divulgados publicamente após a definição do nível de patch. A resolução dessas vulnerabilidades divulgadas recentemente não é necessária até o nível do patch de segurança 2016-12-01.

      • 2016-11-06 : Este nível de patch de segurança indica que o dispositivo abordou todos os problemas associados a 2016-11-05 e CVE-2016-5195, divulgados publicamente em 19 de outubro de 2016.
  • Os dispositivos compatíveis do Google receberão uma única atualização OTA com o nível de patch de segurança de 05 de novembro de 2016.

Mitigações de serviços Android e Google

Este é um resumo das mitigações fornecidas pela plataforma de segurança Android e proteções de serviço, como SafetyNet. Esses recursos reduzem a probabilidade de vulnerabilidades de segurança serem exploradas com sucesso no Android.

  • A exploração de muitos problemas no Android é dificultada pelos aprimoramentos nas versões mais recentes da plataforma Android. Incentivamos todos os usuários a atualizar para a versão mais recente do Android sempre que possível.
  • A equipe de segurança do Android monitora ativamente o abuso com o Verify Apps e o SafetyNet , que são projetados para alertar os usuários sobre aplicativos potencialmente prejudiciais . Verificar aplicativos está ativado por padrão em dispositivos com Google Mobile Services e é especialmente importante para usuários que instalam aplicativos de fora do Google Play. As ferramentas de root do dispositivo são proibidas no Google Play, mas o Verify Apps avisa os usuários quando eles tentam instalar um aplicativo de root detectado, não importa de onde ele venha. Além disso, o Verify Apps tenta identificar e bloquear a instalação de aplicativos maliciosos conhecidos que exploram uma vulnerabilidade de escalonamento de privilégios. Se tal aplicativo já tiver sido instalado, o Verify Apps notificará o usuário e tentará remover o aplicativo detectado.
  • Conforme apropriado, os aplicativos Google Hangouts e Messenger não passam mídia automaticamente para processos como o Mediaserver.

Reconhecimentos

Gostaríamos de agradecer a esses pesquisadores por suas contribuições:

  • Abhishek Arya, Oliver Chang e Martin Barbella da equipe de segurança do Google Chrome: CVE-2016-6722
  • Andrei Kapishnikov e Miriam Gershenson do Google: CVE-2016-6703
  • Ao Wang ( @ArayzSegment ) e Zinuo Han da PKAV , Silence Information Technology: CVE-2016-6700, CVE-2016-6702
  • Askyshang do Departamento de Plataforma de Segurança, Tencent: CVE-2016-6713
  • Billy Lau da segurança do Android: CVE-2016-6737
  • Constantinos Patsakis e Efthimios Alepis da Universidade de Pireu: CVE-2016-6715
  • dragonltx da equipe de segurança móvel do Alibaba: CVE-2016-6714
  • Gal Beniamini do Projeto Zero: CVE-2016-6707, CVE-2016-6717
  • Gengjia Chen ( @chengjia4574 ) e pjf do IceSword Lab, Qihoo 360 Technology Co. Ltd .: CVE-2016-6725, CVE-2016-6738, CVE-2016-6740, CVE-2016-6741, CVE-2016-6742, CVE-2016-6744, CVE-2016-6745, CVE-2016-3906
  • Guang Gong (龚广) ( @oldfresher ) da Alpha Team, Qihoo 360 Technology Co. Ltd .: CVE-2016-6754
  • Jianqiang Zhao ( @jianqiangzhao ) e pjf do IceSword Lab, Qihoo 360 Technology Co. Ltd .: CVE-2016-6739, CVE-2016-3904, CVE-2016-3907, CVE-2016-6698
  • Marco Grassi ( @marcograss ) do Keen Lab of Tencent ( @keen_lab ): CVE-2016-6828
  • Marca Marca do Projeto Zero: CVE-2016-6706
  • Mark Renouf do Google: CVE-2016-6724
  • Michał Bednarski ( github.com/michalbednarski ): CVE-2016-6710
  • Min Chong de segurança do Android: CVE-2016-6743
  • Peter Pi ( @heisecode ) da Trend Micro: CVE-2016-6721
  • Qidan He (何淇丹) ( @flanker_hqd ) e Gengming Liu (刘耕铭) ( @dmxcsnsbh ) do KeenLab, Tencent: CVE-2016-6705
  • Robin Lee do Google: CVE-2016-6708
  • Scott Bauer ( @ScottyBauer1 ): CVE-2016-6751
  • Sergey Bobrov ( @Black2Fan ) da Kaspersky Lab: CVE-2016-6716
  • Seven Shen ( @lingtongshen ) da equipe de pesquisa de ameaças móveis da Trend Micro: CVE-2016-6748, CVE-2016-6749, CVE-2016-6750, CVE-2016-6753
  • Victor van der Veen, Herbert Bos, Kaveh Razavi e Cristiano Giuffrida da Vrije Universiteit Amsterdam e Yanick Fratantonio, Martina Lindorfer e Giovanni Vigna da University of California, Santa Barbara: CVE-2016-6728
  • Weichao Sun ( @sunblate ) da Alibaba Inc: CVE-2016-6712, CVE-2016-6699, CVE-2016-6711
  • Wenke Dou ( vancouverdou@gmail.com ), Chiachih Wu ( @chiachih_wu ) e Xuxian Jiang da equipe C0RE : CVE-2016-6720
  • Wish Wu (吴潍浠) ( @wish_wu ) da Trend Micro Inc.: CVE-2016-6704
  • Yakov Shafranovich da Nightwatch Cybersecurity : CVE-2016-6723
  • Yuan-Tsung Lo , Yao Jun , Tong Lin , Chiachih Wu ( @chiachih_wu ) e Xuxian Jiang da equipe C0RE : CVE-2016-6730, CVE-2016-6732, CVE-2016-6734, CVE-2016-6736
  • Yuan-Tsung Lo , Yao Jun , Xiaodong Wang , Chiachih Wu ( @chiachih_wu ) e Xuxian Jiang da equipe C0RE : CVE-2016-6731, CVE-2016-6733, CVE-2016-6735, CVE-2016-6746

Agradecimentos adicionais a Zach Riggle, da Android Security, por suas contribuições para vários problemas neste boletim.

2016-11-01 nível de patch de segurança — detalhes da vulnerabilidade

Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança que se aplicam ao nível de patch 2016-11-01. Há uma descrição do problema, uma justificativa de gravidade e uma tabela com o CVE, referências associadas, gravidade, dispositivos do Google atualizados, versões atualizadas do AOSP (quando aplicável) e data relatada. Quando disponível, vincularemos a alteração pública que abordou o problema ao ID do bug, como a lista de alterações do AOSP. Quando várias alterações estão relacionadas a um único bug, referências adicionais são vinculadas a números após o ID do bug.

Vulnerabilidade de execução remota de código no Mediaserver

Uma vulnerabilidade de execução remota de código no Mediaserver pode permitir que um invasor usando um arquivo especialmente criado cause corrupção de memória durante o processamento de dados e arquivos de mídia. Esse problema é classificado como Crítico devido à possibilidade de execução remota de código no contexto do processo Mediaserver.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6699 A-31373622 Crítico Tudo 7,0 27 de julho de 2016

Vulnerabilidade de elevação de privilégio em libzipfile

Uma vulnerabilidade de elevação de privilégio no libzipfile pode permitir que um aplicativo malicioso local execute código arbitrário no contexto de um processo privilegiado. Esse problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6700 A-30916186 Crítico Nenhum* 4.4.4, 5.0.2, 5.1.1 17 de agosto de 2016

* Os dispositivos Google com suporte no Android 7.0 ou posterior que instalaram todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de execução remota de código no Skia

Uma vulnerabilidade de execução remota de código na libskia pode permitir que um invasor usando um arquivo especialmente criado cause corrupção de memória durante o processamento de dados e arquivos de mídia. Esse problema é classificado como Alto devido à possibilidade de execução remota de código no contexto do processo da galeria.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6701 A-30190637 Alto Tudo 7,0 Google interno

Vulnerabilidade de execução remota de código no libjpeg

Uma vulnerabilidade de execução remota de código no libjpeg pode permitir que um invasor usando um arquivo especialmente criado execute código arbitrário no contexto de um processo sem privilégios. Esse problema é classificado como Alto devido à possibilidade de execução remota de código em um aplicativo que usa libjpeg.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6702 A-30259087 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1 19 de julho de 2016

* Os dispositivos Google com suporte no Android 7.0 ou posterior que instalaram todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de execução remota de código no tempo de execução do Android

Uma vulnerabilidade de execução remota de código em uma biblioteca de tempo de execução do Android pode permitir que um invasor usando uma carga especialmente criada execute código arbitrário no contexto de um processo sem privilégios. Esse problema é classificado como Alto devido à possibilidade de execução remota de código em um aplicativo que usa o tempo de execução do Android.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6703 A-30765246 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google interno

* Os dispositivos Google com suporte no Android 7.0 ou posterior que instalaram todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de elevação de privilégio no Mediaserver

Uma vulnerabilidade de elevação de privilégio no Mediaserver pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto de um processo privilegiado. Esse problema é classificado como Alto porque pode ser usado para obter acesso local a recursos elevados, que normalmente não são acessíveis a um aplicativo de terceiros.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6704 A-30229821 [ 2 ] [ 3 ] Alto Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 19 de julho de 2016
CVE-2016-6705 A-30907212 [ 2 ] Alto Tudo 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 16 de agosto de 2016
CVE-2016-6706 A-31385713 Alto Tudo 7,0 8 de setembro de 2016

Vulnerabilidade de elevação de privilégios no System Server

Uma vulnerabilidade de elevação de privilégio no System Server pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto de um processo privilegiado. Esse problema é classificado como Alto porque pode ser usado para obter acesso local a recursos elevados, que normalmente não são acessíveis a um aplicativo de terceiros.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6707 A-31350622 Alto Tudo 6,0, 6,0.1, 7,0 7 de setembro de 2016

Vulnerabilidade de elevação de privilégio na IU do sistema

Uma elevação de privilégio na interface do usuário do sistema pode permitir que um usuário mal-intencionado local ignore o prompt de segurança de um perfil de trabalho no modo de várias janelas. Esse problema é classificado como Alto porque é um desvio local dos requisitos de interação do usuário para qualquer modificação do desenvolvedor ou da configuração de segurança.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6708 A-30693465 Alto Tudo 7,0 Google interno

Vulnerabilidade de divulgação de informações no Conscrypt

Uma vulnerabilidade de divulgação de informações no Conscrypt pode permitir que um invasor obtenha acesso a informações confidenciais se uma API de criptografia herdada for usada por um aplicativo. Esse problema é classificado como Alto porque pode ser usado para acessar dados sem permissão.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6709 A-31081987 Alto Tudo 6,0, 6,0.1, 7,0 9 de outubro de 2015

Vulnerabilidade de divulgação de informações no gerenciador de downloads

Uma vulnerabilidade de divulgação de informações no gerenciador de download pode permitir que um aplicativo mal-intencionado local ignore as proteções do sistema operacional que isolam os dados do aplicativo de outros aplicativos. Esse problema é classificado como Alto porque pode ser usado para obter acesso a dados aos quais o aplicativo não tem acesso.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6710 A-30537115 [ 2 ] Alto Tudo 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 30 de julho de 2016

Vulnerabilidade de negação de serviço no Bluetooth

Uma vulnerabilidade de negação de serviço no Bluetooth pode permitir que um invasor próximo bloqueie o acesso do Bluetooth a um dispositivo afetado. Esse problema é classificado como Alto devido à possibilidade de negação de serviço remota.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2014-9908 A-28672558 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1 5 de maio de 2014

* Os dispositivos Google com suporte no Android 7.0 ou posterior que instalaram todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de negação de serviço no OpenJDK

Uma vulnerabilidade de negação de serviço remota no OpenJDK pode permitir que um invasor use um arquivo especialmente criado para causar um travamento ou reinicialização do dispositivo. Esse problema é classificado como Alto devido à possibilidade de negação de serviço remota.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2015-0410 A-30703445 Alto Tudo 7,0 16 de janeiro de 2015

Vulnerabilidade de negação de serviço no Mediaserver

Uma vulnerabilidade de negação de serviço remota no Mediaserver pode permitir que um invasor use um arquivo especialmente criado para causar um travamento ou reinicialização do dispositivo. Esse problema é classificado como Alto devido à possibilidade de negação de serviço remota.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6711 A-30593765 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 1º de agosto de 2016
CVE-2016-6712 A-30593752 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 1º de agosto de 2016
CVE-2016-6713 A-30822755 Alto Tudo 6,0, 6,0.1, 7,0 11 de agosto de 2016
CVE-2016-6714 A-31092462 Alto Tudo 6,0, 6,0.1, 7,0 22 de agosto de 2016

* Os dispositivos Google com suporte no Android 7.0 ou posterior que instalaram todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de elevação de privilégio nas APIs do Framework

Uma vulnerabilidade de elevação de privilégio nas APIs do Framework pode permitir que um aplicativo mal-intencionado local grave áudio sem a permissão do usuário. Esse problema é classificado como Moderado porque é um desvio local dos requisitos de interação do usuário (acesso à funcionalidade que normalmente exigiria iniciação do usuário ou permissão do usuário).

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6715 A-29833954 Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 28 de junho de 2016

Vulnerabilidade de elevação de privilégios no AOSP Launcher

Uma vulnerabilidade de elevação de privilégio no AOSP Launcher pode permitir que um aplicativo mal-intencionado local crie atalhos com privilégios elevados sem o consentimento do usuário. Esse problema é classificado como Moderado porque é um desvio local dos requisitos de interação do usuário (acesso à funcionalidade que normalmente exigiria iniciação do usuário ou permissão do usuário).

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6716 A-30778130 Moderado Tudo 7,0 5 de agosto de 2016

Vulnerabilidade de elevação de privilégio no Mediaserver

Uma vulnerabilidade de elevação de privilégio no Mediaserver pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto de um processo privilegiado. Esse problema é classificado como Moderado porque primeiro requer a exploração de uma vulnerabilidade separada.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6717 A-31350239 Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 7 de setembro de 2016

Vulnerabilidade de elevação de privilégios no Serviço do Account Manager

Uma vulnerabilidade de elevação de privilégio no Account Manager Service pode permitir que um aplicativo mal-intencionado local recupere informações confidenciais sem interação do usuário. Esse problema é classificado como Moderado porque é um desvio local dos requisitos de interação do usuário (acesso à funcionalidade que normalmente exigiria iniciação ou permissão do usuário).

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6718 A-30455516 Moderado Tudo 7,0 Google interno

Vulnerabilidade de elevação de privilégio no Bluetooth

Uma vulnerabilidade de elevação de privilégio no componente Bluetooth pode permitir que um aplicativo mal-intencionado local seja emparelhado com qualquer dispositivo Bluetooth sem o consentimento do usuário. Esse problema é classificado como Moderado porque é um desvio local dos requisitos de interação do usuário (acesso à funcionalidade que normalmente exigiria iniciação do usuário ou permissão do usuário).

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6719 A-29043989 [ 2 ] Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Google interno

Vulnerabilidade de divulgação de informações no Mediaserver

Uma vulnerabilidade de divulgação de informações no Mediaserver pode permitir que um aplicativo malicioso local acesse dados fora de seus níveis de permissão. Esse problema é classificado como moderado porque pode ser usado para acessar dados confidenciais sem permissão.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6720 A-29422020 [ 2 ] [ 3 ] [ 4 ] Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 15 de junho de 2016
CVE-2016-6721 A-30875060 Moderado Tudo 6,0, 6,0.1, 7,0 13 de agosto de 2016
CVE-2016-6722 A-31091777 Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 23 de agosto de 2016

Vulnerabilidade de negação de serviço no Proxy Auto Config

Uma vulnerabilidade de negação de serviço no Proxy Auto Config pode permitir que um invasor remoto use um arquivo especialmente criado para causar um travamento ou reinicialização do dispositivo. Esse problema é classificado como moderado porque requer uma configuração de dispositivo incomum.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6723 A-30100884 [ 2 ] Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 11 de julho de 2016

Vulnerabilidade de negação de serviço no Input Manager Service

Uma vulnerabilidade de negação de serviço no Input Manager Service pode permitir que um aplicativo mal-intencionado local faça com que o dispositivo seja reinicializado continuamente. Esse problema é classificado como Moderado porque é uma negação de serviço temporária que requer uma redefinição de fábrica para ser corrigida.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6724 A-30568284 Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Google interno

2016-11-05 nível de patch de segurança — detalhes da vulnerabilidade

Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança que se aplicam ao nível de patch 2016-11-05. Há uma descrição do problema, uma justificativa de gravidade e uma tabela com o CVE, referências associadas, gravidade, dispositivos do Google atualizados, versões atualizadas do AOSP (quando aplicável) e data relatada. Quando disponível, vincularemos a alteração pública que abordou o problema ao ID do bug, como a lista de alterações do AOSP. Quando várias alterações estão relacionadas a um único bug, referências adicionais são vinculadas a números após o ID do bug.

Vulnerabilidade de execução remota de código no driver de criptografia da Qualcomm

Uma vulnerabilidade de execução remota de código no driver de criptografia da Qualcomm pode permitir que um invasor remoto execute código arbitrário no contexto do kernel. Esse problema é classificado como Crítico devido à possibilidade de execução remota de código no contexto do kernel.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-6725 A-30515053
QC-CR#1050970
Crítico Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 25 de julho de 2016

Vulnerabilidade de elevação de privilégios no sistema de arquivos do kernel

Uma vulnerabilidade de elevação de privilégio no sistema de arquivos do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Esse problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2015-8961 A-30952474
Kernel upstream
Crítico Pixel, Pixel XL 18 de outubro de 2015
CVE-2016-7911 A-30946378
Kernel upstream
Crítico Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 01 de julho de 2016
CVE-2016-7910 A-30942273
Kernel upstream
Crítico Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 29 de julho de 2016

Vulnerabilidade de elevação de privilégio no driver SCSI do kernel

Uma vulnerabilidade de elevação de privilégio no driver SCSI do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Esse problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2015-8962 A-30951599
Kernel upstream
Crítico Pixel, Pixel XL 30 de outubro de 2015

Vulnerabilidade de elevação de privilégio no driver de mídia do kernel

Uma vulnerabilidade de elevação de privilégio no driver de mídia do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Esse problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-7913 A-30946097
Kernel upstream
Crítico Nexus 6P, Android One, Nexus Player, Pixel, Pixel XL 28 de janeiro de 2016

Vulnerabilidade de elevação de privilégio no driver USB do kernel

Uma vulnerabilidade de elevação de privilégio no driver USB do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Esse problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-7912 A-30950866
Kernel upstream
Crítico Pixel C, Pixel, Pixel XL 14 de abril de 2016

Vulnerabilidade de elevação de privilégio no subsistema ION do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema ION do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Esse problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-6728 A-30400942* Crítico Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 25 de julho de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos do Google disponíveis no site do Google Developer .

Vulnerabilidade de elevação de privilégios no bootloader da Qualcomm

Uma vulnerabilidade de elevação de privilégio no carregador de inicialização da Qualcomm pode permitir que um aplicativo malicioso local execute código arbitrário no contexto do kernel. Esse problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-6729 A-30977990*
QC-CR#977684
Crítico Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 25 de julho de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos do Google disponíveis no site do Google Developer .

Vulnerabilidade de elevação de privilégio no driver da GPU NVIDIA

Uma vulnerabilidade de elevação de privilégio no driver da GPU NVIDIA pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Esse problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-6730 A-30904789*
N-CVE-2016-6730
Crítico Pixel C 16 de agosto de 2016
CVE-2016-6731 A-30906023*
N-CVE-2016-6731
Crítico Pixel C 16 de agosto de 2016
CVE-2016-6732 A-30906599*
N-CVE-2016-6732
Crítico Pixel C 16 de agosto de 2016
CVE-2016-6733 A-30906694*
N-CVE-2016-6733
Crítico Pixel C 16 de agosto de 2016
CVE-2016-6734 A-30907120*
N-CVE-2016-6734
Crítico Pixel C 16 de agosto de 2016
CVE-2016-6735 A-30907701*
N-CVE-2016-6735
Crítico Pixel C 16 de agosto de 2016
CVE-2016-6736 A-30953284*
N-CVE-2016-6736
Crítico Pixel C 18 de agosto de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos do Google disponíveis no site do Google Developer .

Vulnerabilidade de elevação de privilégios no subsistema de rede do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema de rede do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Esse problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-6828 A-31183296
Kernel upstream
Crítico Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 18 de agosto de 2016

Vulnerabilidade de elevação de privilégios no subsistema de som do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema de som do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Esse problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-2184 A-30952477
Kernel upstream
Crítico Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 31 de março de 2016

Vulnerabilidade de elevação de privilégio no subsistema ION do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema ION do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Esse problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-6737 A-30928456* Crítico Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel C, Nexus Player, Pixel, Pixel XL Google interno

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos do Google disponíveis no site do Google Developer .

Vulnerabilidades em componentes da Qualcomm

A tabela abaixo contém vulnerabilidades de segurança que afetam os componentes da Qualcomm e são descritas com mais detalhes no boletim de segurança Qualcomm AMSS de junho de 2016 e no Alerta de segurança 80-NV606-17.

CVE Referências Gravidade* Dispositivos Google atualizados Data do relatório
CVE-2016-6727 A-31092400** Crítico Android um Qualcomm interno
CVE-2016-6726 A-30775830** Alto Nexus 6, Android Um Qualcomm interno

* A classificação de gravidade para essas vulnerabilidades foi determinada pelo fornecedor.

** O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos do Google disponíveis no site do Google Developer .

Vulnerabilidade de execução remota de código no Expat

A tabela abaixo contém vulnerabilidades de segurança que afetam a biblioteca Expat. O mais grave desses problemas é uma vulnerabilidade de elevação de privilégio no analisador XML Expat, que pode permitir que um invasor usando um arquivo especialmente criado execute código arbitrário em um processo sem privilégios. Esse problema é classificado como Alto devido à possibilidade de execução de código arbitrário em um aplicativo que usa Expat.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-0718 A-28698301 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 10 de maio de 2016
CVE-2012-6702 A-29149404 Moderado Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 06 de março de 2016
CVE-2016-5300 A-29149404 Moderado Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 04 de junho de 2016
CVE-2015-1283 A-27818751 Baixo Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 24 de julho de 2015

* Os dispositivos Google com suporte no Android 7.0 ou posterior que instalaram todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de execução remota de código no Webview

Uma vulnerabilidade de execução remota de código no Webview pode permitir que um invasor remoto execute código arbitrário quando o usuário estiver navegando para um site. Esse problema é classificado como Alto devido à possibilidade de execução remota de código em um processo sem privilégios.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2016-6754 A-31217937 Alto Nenhum* 5.0.2, 5.1.1, 6.0, 6.0.1 23 de agosto de 2016

* Os dispositivos Google com suporte no Android 7.0 ou posterior que instalaram todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de execução remota de código no Freetype

Uma vulnerabilidade de execução remota de código no Freetype pode permitir que um aplicativo mal-intencionado local carregue uma fonte especialmente criada para causar corrupção de memória em um processo sem privilégios. Esse problema é classificado como Alto devido à possibilidade de execução remota de código em aplicativos que usam Freetype.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data do relatório
CVE-2014-9675 A-24296662 [ 2 ] Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google interno

* Os dispositivos Google com suporte no Android 7.0 ou posterior que instalaram todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de elevação de privilégios no subsistema de desempenho do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema de desempenho do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro requer o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2015-8963 A-30952077
Kernel upstream
Alto Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 15 de dezembro de 2015

Vulnerabilidade de elevação de privilégio no subsistema de auditoria de chamada de sistema do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema de auditoria de chamadas de sistema do kernel pode permitir que um aplicativo mal-intencionado local interrompa a auditoria de chamadas de sistema no kernel. Esse problema é classificado como Alto porque é um desvio geral para uma defesa em nível de kernel em profundidade ou tecnologia de mitigação de exploração.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-6136 A-30956807
Kernel upstream
Alto Android One, Pixel C, Nexus Player 1º de julho de 2016

Vulnerabilidade de elevação de privilégio no driver do mecanismo de criptografia da Qualcomm

Uma vulnerabilidade de elevação de privilégio no driver do mecanismo de criptografia da Qualcomm pode permitir que um aplicativo malicioso local execute código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro requer o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-6738 A-30034511
QC-CR#1050538
Alto Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 7 de julho de 2016

Elevação da vulnerabilidade de privilégio no driver da câmera Qualcomm

Uma vulnerabilidade de elevação de privilégio no driver da câmera Qualcomm pode permitir que um aplicativo malicioso local execute código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro requer o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-6739 A-30074605*
QC-CR#1049826
Alto Nexus 5X, Nexus 6P, Pixel, Pixel XL 11 de julho de 2016
CVE-2016-6740 A-30143904
QC-CR#1056307
Alto Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 12 de julho de 2016
CVE-2016-6741 A-30559423
QC-CR#1060554
Alto Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 28 de julho de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos do Google disponíveis no site do Google Developer .

Vulnerabilidade de elevação de privilégio no driver de barramento da Qualcomm

Uma vulnerabilidade de elevação de privilégio no driver de barramento da Qualcomm pode permitir que um aplicativo malicioso local execute código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro requer o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-3904 A-30311977
QC-CR#1050455
Alto Nexus 5X, Nexus 6P, Pixel, Pixel XL 22 de julho de 2016

Elevação de vulnerabilidade de privilégio no driver de tela sensível ao toque Synaptics

Uma vulnerabilidade de elevação de privilégio no driver de tela sensível ao toque Synaptics pode permitir que um aplicativo malicioso local execute código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro requer o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-6742 A-30799828* Alto Nexus 5X, Android One 9 de agosto de 2016
CVE-2016-6744 A-30970485* Alto Nexus 5X 19 de agosto de 2016
CVE-2016-6745 A-31252388* Alto Nexus 5X, Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL 1º de setembro de 2016
CVE-2016-6743 A-30937462* Alto Nexus 9, Android One Google interno

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos do Google disponíveis no site do Google Developer .

Vulnerabilidade de divulgação de informações em componentes do kernel

Uma vulnerabilidade de divulgação de informações em componentes do kernel, incluindo o driver de dispositivo de interface humana, sistema de arquivos e driver de teletipo, pode permitir que um aplicativo mal-intencionado local acesse dados fora de seus níveis de permissão. Esse problema é classificado como Alto porque pode ser usado para acessar dados confidenciais sem permissão explícita do usuário.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2015-8964 A-30951112
Kernel upstream
Alto Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 27 de novembro de 2015
CVE-2016-7915 A-30951261
Kernel upstream
Alto Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 19 de janeiro de 2016
CVE-2016-7914 A-30513364
Kernel upstream
Alto Pixel C, Pixel, Pixel XL 06 de abril de 2016
CVE-2016-7916 A-30951939
Kernel upstream
Alto Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 05 de maio de 2016

Vulnerabilidade de divulgação de informações no driver da GPU NVIDIA

Uma vulnerabilidade de divulgação de informações no driver da GPU NVIDIA pode permitir que um aplicativo malicioso local acesse dados fora de seus níveis de permissão. Esse problema é classificado como Alto porque pode ser usado para acessar dados confidenciais sem permissão explícita do usuário.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-6746 A-30955105*
N-CVE-2016-6746
Alto Pixel C 18 de agosto de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos do Google disponíveis no site do Google Developer .

Vulnerabilidade de negação de serviço no Mediaserver

Uma vulnerabilidade de negação de serviço no Mediaserver pode permitir que um invasor use um arquivo especialmente criado para causar um travamento ou reinicialização do dispositivo. Esse problema é classificado como Alto devido à possibilidade de negação de serviço remota.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-6747 A-31244612*
N-CVE-2016-6747
Alto Nexus 9 Google interno

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos do Google disponíveis no site do Google Developer .

Vulnerabilidade de divulgação de informações em componentes do kernel

Uma vulnerabilidade de divulgação de informações em componentes do kernel, incluindo o subsistema de agrupamento de processos e o subsistema de rede, pode permitir que um aplicativo mal-intencionado local acesse dados fora de seus níveis de permissão. Esse problema é classificado como Moderado porque primeiro requer o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-7917 A-30947055
Kernel upstream
Moderado Pixel C, Pixel, Pixel XL 02 de fevereiro de 2016
CVE-2016-6753 A-30149174* Moderado Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player, Pixel, Pixel XL 13 de julho de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos do Google disponíveis no site do Google Developer .

Vulnerabilidade de divulgação de informações em componentes da Qualcomm

Uma vulnerabilidade de divulgação de informações em componentes da Qualcomm, incluindo driver de GPU, driver de energia, driver SMSM Point-to-Point e driver de som, pode permitir que um aplicativo malicioso local acesse dados fora de seus níveis de permissão. Esse problema é classificado como Moderado porque primeiro requer o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data do relatório
CVE-2016-6748 A-30076504
QC-CR#987018
Moderado Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 12 de julho de 2016
CVE-2016-6749 A-30228438
QC-CR#1052818
Moderado Nexus 5X, Nexus 6P, Pixel, Pixel XL 12 de julho de 2016
CVE-2016-6750 A-30312054
QC-CR#1052825
Moderado Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 21 de julho de 2016
CVE-2016-3906 A-30445973
QC-CR#1054344
Moderado Nexus 5X, Nexus 6P 27 de julho de 2016
CVE-2016-3907 A-30593266
QC-CR#1054352
Moderado Nexus 5X, Nexus 6P, Pixel, Pixel XL 2 de agosto de 2016
CVE-2016-6698 A-30741851
QC-CR#1058826
Moderado Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL 2 de agosto de 2016
CVE-2016-6751 A-30902162*
QC-CR#1062271
Moderado Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 15 de agosto de 2016
CVE-2016-6752 A-31498159
QC-CR#987051
Moderado Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Google interno

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos do Google disponíveis no site do Google Developer .

Nível de patch de segurança de 06/11/2016 — detalhes da vulnerabilidade

Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança listadas no nível do patch de segurança 2016-11-06—Resumo de vulnerabilidade acima. Há uma descrição do problema, uma justificativa de gravidade e uma tabela com o CVE, referências associadas, gravidade, dispositivos do Google atualizados, versões atualizadas do AOSP (quando aplicável) e data relatada. Quando disponível, vincularemos a alteração pública que abordou o problema ao ID do bug, como a lista de alterações do AOSP. Quando várias alterações estão relacionadas a um único bug, referências adicionais são vinculadas a números após o ID do bug.

Vulnerabilidade de elevação de privilégio no subsistema de memória do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema de memória do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Esse problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

Observação: um nível de patch de segurança de 2016-11-06 indica que esse problema, bem como todos os problemas associados a 2016-11-01 e 2016-11-05, foram resolvidos.

CVE Referências Gravidade Versões atualizadas do kernel Data do relatório
CVE-2016-5195 A-32141528
Kernel upstream [ 2 ]
Crítico 3.10, 3.18 12 de outubro de 2016

Perguntas e respostas comuns

Esta seção responde a perguntas comuns que podem ocorrer após a leitura deste boletim.

1. Como determino se meu dispositivo está atualizado para resolver esses problemas?

Para saber como verificar o nível de patch de segurança de um dispositivo, leia as instruções na programação de atualização do Pixel e do Nexus .

  • Os níveis de patch de segurança de 2016-11-01 ou posterior abordam todos os problemas associados ao nível de patch de segurança de 2016-11-01.
  • Os níveis de patch de segurança de 2016-11-05 ou posterior abordam todos os problemas associados ao nível de patch de segurança de 2016-11-05 e todos os níveis de patch anteriores.
  • Os níveis de patch de segurança de 2016-11-06 ou posterior abordam todos os problemas associados ao nível de patch de segurança de 2016-11-06 e todos os níveis de patch anteriores.

Os fabricantes de dispositivos que incluem essas atualizações devem definir a string de nível de patch para:

  • [ro.build.version.security_patch]:[2016-11-01]
  • [ro.build.version.security_patch]:[2016-11-05]
  • [ro.build.version.security_patch]:[2016-11-06].

2. Por que este boletim tem três níveis de patch de segurança?

Este boletim tem três níveis de patch de segurança para que os parceiros Android tenham a flexibilidade de corrigir um subconjunto de vulnerabilidades semelhantes em todos os dispositivos Android mais rapidamente. Os parceiros Android são incentivados a corrigir todos os problemas neste boletim e usar o nível de patch de segurança mais recente.

  • Os dispositivos que usam o nível de patch de segurança de 1º de novembro de 2016 devem incluir todos os problemas associados a esse nível de patch de segurança, bem como correções para todos os problemas relatados em boletins de segurança anteriores.
  • Os dispositivos que usam o nível de patch de segurança de 5 de novembro de 2016 ou mais recente devem incluir todos os patches aplicáveis ​​neste (e anteriores) boletins de segurança.
  • Os dispositivos que usam o nível de patch de segurança de 6 de novembro de 2016 ou mais recente devem incluir todos os patches aplicáveis ​​neste (e nos anteriores) boletins de segurança.

Os parceiros são incentivados a agrupar as correções para todos os problemas que estão abordando em uma única atualização.

3. Como determino quais dispositivos do Google são afetados por cada problema?

Nas seções de detalhes da vulnerabilidade de segurança de 2016-11-01 , 2016-11-05 e 2016-11-06 , cada tabela tem uma coluna de dispositivos do Google atualizados que abrange o intervalo de dispositivos do Google afetados atualizados para cada problema. Esta coluna tem algumas opções:

  • Todos os dispositivos Google : se um problema afetar todos os dispositivos Nexus e Pixel, a tabela terá "Todos" na coluna Dispositivos Google atualizados . "Todos" engloba os seguintes dispositivos compatíveis : Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel e Pixel XL.
  • Alguns dispositivos Google : se um problema não afetar todos os dispositivos Google, os dispositivos Google afetados são listados na coluna Dispositivos Google atualizados .
  • Nenhum dispositivo Google : se nenhum dispositivo Google executando o Android 7.0 for afetado pelo problema, a tabela terá "Nenhum" na coluna Dispositivos Google atualizados .

4. Para que mapeiam as entradas na coluna de referências?

As entradas na coluna Referências da tabela de detalhes da vulnerabilidade podem conter um prefixo que identifica a organização à qual o valor de referência pertence. Esses prefixos mapeiam da seguinte forma:

Prefixo Referência
UMA- ID do bug do Android
CQ- Número de referência da Qualcomm
M- Número de referência da MediaTek
N- Número de referência da NVIDIA
B- Número de referência da Broadcom

Revisões

  • 07 de novembro de 2016: Boletim publicado.
  • 08 de novembro: Boletim revisado para incluir links AOSP e descrição atualizada para CVE-2016-6709.
  • 17 de novembro: Boletim revisado para incluir atribuição para CVE-2016-6828.
  • 21 de dezembro: Crédito de pesquisador atualizado.