Android Güvenlik Bülteni - Kasım 2016

Koleksiyonlar ile düzeninizi koruyun İçeriği tercihlerinize göre kaydedin ve kategorilere ayırın.

Yayınlanma tarihi: 7 Kasım 2016 | Güncellenme tarihi: 21 Aralık 2016

Android Güvenlik Bülteni, Android cihazları etkileyen güvenlik açıklarının ayrıntılarını içerir. Bültenle birlikte, kablosuz (OTA) güncelleme aracılığıyla Google cihazlarına bir güvenlik güncellemesi yayınladık. Google cihaz donanım yazılımı görüntüleri de Google geliştirici sitesinde yayınlandı. 6 Kasım 2016 veya sonraki güvenlik yaması düzeyleri bu sorunların tümünü giderir. Bir cihazın güvenlik yaması düzeyini nasıl kontrol edeceğinizi öğrenmek için Pixel ve Nexus güncelleme programına bakın.

İş ortakları, bültenimizde açıklanan sorunlar hakkında 20 Ekim 2016'da veya daha önce bilgilendirilmiştir. Uygun durumlarda, bu sorunlara yönelik kaynak kod yamaları Android Açık Kaynak Projesi (AOSP) deposunda yayınlanmıştır. Bu bülten, AOSP dışındaki yamalar için bağlantılar da içerir.

Bu sorunların en ciddisi, medya dosyaları işlenirken e-posta, web tarayıcısı ve MMS gibi birden fazla yöntemle etkilenen cihazda uzaktan kod çalıştırmayı etkinleştirebilecek kritik bir güvenlik açığıdır. Önem değerlendirmesi, platform ve hizmet azaltmalarının geliştirme amacıyla devre dışı bırakıldığı veya başarılı bir şekilde atlandığı varsayılarak, güvenlik açığından yararlanmanın etkilenen bir cihaz üzerinde oluşturabileceği etkiye dayanır.

Yeni bildirilen bu sorunların müşteriler tarafından aktif olarak istismar edildiğine dair bir bildirim almadık. Android güvenlik platformu korumaları ve Android platformunun güvenliğini artıran SafetyNet gibi hizmet korumaları hakkında ayrıntılı bilgi için Android ve Google hizmet çözümleri bölümüne bakın.

Tüm müşterilerimizi, cihazlarındaki bu güncellemeleri kabul etmeye teşvik ediyoruz.

Duyurular

• Pixel ve Pixel XL cihazların kullanıma sunulmasıyla birlikte, Google tarafından desteklenen tüm cihazlar için "Nexus cihazlar" yerine "Google cihazlar" terimi kullanılmaya başlandı.
• Bu bülten, Android iş ortaklarına tüm Android cihazlarda benzer olan bir güvenlik açığı alt kümesini daha hızlı düzeltme esnekliği sunmak için üç güvenlik yaması düzeyine sahiptir. Daha fazla bilgi için Sık sorulan sorular ve yanıtları bölümüne göz atın:
  • 2016-11-01: Kısmi güvenlik yaması seviyesi. Bu güvenlik yaması düzeyi, 01.11.2016 ile ilişkili tüm sorunların (ve önceki tüm güvenlik yaması düzeylerinin) giderildiğini gösterir.
  • 2016-11-05: Tam güvenlik yaması seviyesi. Bu güvenlik güncelleme düzeyi, 01.11.2016 ve 05.11.2016 (ve önceki tüm güvenlik güncelleme düzeyleri) ile ilişkili tüm sorunların giderildiğini gösterir.
  • Ek güvenlik yaması seviyeleri

    Ek güvenlik yaması düzeyleri, yaması düzeyi tanımlandıktan sonra herkese açık olarak açıklanan sorunlara yönelik düzeltmeler içeren cihazları tanımlamak için sağlanır. Yakın zamanda açıklanan bu güvenlik açıklarının giderilmesi, 01.12.2016 güvenlik yaması düzeyine kadar gerekli değildir.

    • 2016-11-06: Bu güvenlik yaması düzeyi, cihazda 2016-11-05 ile ilgili tüm sorunların giderildiğini ve 19 Ekim 2016'da herkese açık olarak açıklanan CVE-2016-5195'in ele alındığını gösterir.
• Desteklenen Google cihazları, 05 Kasım 2016 güvenlik yaması düzeyini içeren tek bir kablosuz güncelleme alır.

Android ve Google hizmetlerine yönelik çözümler

Bu, Android güvenlik platformu ve SafetyNet gibi hizmet korumaları tarafından sağlanan azaltıcı önlemlerin özetidir. Bu özellikler, Android'de güvenlik açıklarının başarılı bir şekilde kötüye kullanılması olasılığını azaltır.

• Android platformunun yeni sürümlerindeki iyileştirmeler, Android'deki birçok sorunun kötüye kullanımını zorlaştırmaktadır. Tüm kullanıcıların mümkün olduğunda Android'in en son sürümüne güncelleme yapmalarını öneririz.
• Android Güvenlik Ekibi, kullanıcıları potansiyel olarak zararlı uygulamalar hakkında uyarmak için tasarlanmış Uygulamaları Doğrulama ve SafetyNet ile kötüye kullanım olup olmadığını etkin bir şekilde izler. Uygulama Doğrulama, Google Mobil Hizmetleri'nin yüklü olduğu cihazlarda varsayılan olarak etkindir ve özellikle Google Play dışından uygulama yükleyen kullanıcılar için önemlidir. Cihaz köklendirme araçları Google Play'de yasaktır ancak Uygulama Doğrulama, tespit edilen bir köklendirme uygulamasını yüklemeye çalışan kullanıcıları uyarır. Ayrıca Uygulama Doğrulama, ayrıcalık yükseltme güvenlik açıklarından yararlanan bilinen zararlı uygulamaları tespit edip yüklemesini engellemeye çalışır. Bu tür bir uygulama zaten yüklüyse Uygulama Doğrulama, kullanıcıyı bilgilendirir ve tespit edilen uygulamayı kaldırmaya çalışır.
• Google Hangouts ve Messenger uygulamaları, uygun olduğu durumlarda medyayı Mediaserver gibi işlemlere otomatik olarak iletmez.

Teşekkür ederiz

Katkılarından dolayı aşağıdaki araştırmacılara teşekkür ederiz:

• Google Chrome Güvenlik Ekibi'nden Abhishek Arya, Oliver Chang ve Martin Barbella: CVE-2016-6722
• Google'dan Andrei Kapishnikov ve Miriam Gershenson: CVE-2016-6703
• Ao Wang (@ArayzSegment) ve PKAV, Silence Information Technology'den Zinuo Han: CVE-2016-6700, CVE-2016-6702
• Tencent Güvenlik Platformu Bölümü'nden Askyshang: CVE-2016-6713
• Android Güvenlik Ekibi'nden Billy Lau: CVE-2016-6737
• Pire Üniversitesi'nden Constantinos Patsakis ve Efthimios Alepis: CVE-2016-6715
• Alibaba mobil güvenlik ekibinden dragonltx: CVE-2016-6714
• Project Zero'dan Gal Beniamini: CVE-2016-6707, CVE-2016-6717
• Gengjia Chen (@chengjia4574) ve Qihoo 360 Technology Co. Ltd'nin IceSword Lab'den pjf: CVE-2016-6725, CVE-2016-6738, CVE-2016-6740, CVE-2016-6741, CVE-2016-6742, CVE-2016-6744, CVE-2016-6745, CVE-2016-3906
• Qihoo 360 Technology Co. Ltd Alpha Ekibi'nden Guang Gong (龚广) (@oldfresher): CVE-2016-6754
• Jianqiang Zhao (@jianqiangzhao) ve Qihoo 360 Technology Co. Ltd'nin IceSword Lab'den pjf: CVE-2016-6739, CVE-2016-3904, CVE-2016-3907, CVE-2016-6698
• Tencent'in Keen Lab (@keen_lab) ekibinden Marco Grassi (@marcograss): CVE-2016-6828
• Project Zero'nun Mark Markası: CVE-2016-6706
• Google'dan Mark Renouf: CVE-2016-6724
• Michał Bednarski (github.com/michalbednarski): CVE-2016-6710
• Android Security'den Min Chong: CVE-2016-6743
• Trend Micro'dan Peter Pi (@heisecode): CVE-2016-6721
• Qidan He (何淇丹) (@flanker_hqd) ve Gengming Liu (刘耕铭) (@dmxcsnsbh) of KeenLab, Tencent: CVE-2016-6705
• Google'dan Robin Lee: CVE-2016-6708
• Scott Bauer (@ScottyBauer1): CVE-2016-6751
• Kaspersky Lab'den Sergey Bobrov (@Black2Fan): CVE-2016-6716
• Trend Micro Mobil Tehdit Araştırma Ekibi'nden Seven Shen (@lingtongshen): CVE-2016-6748, CVE-2016-6749, CVE-2016-6750, CVE-2016-6753
• Victor van der Veen, Herbert Bos, Kaveh Razavi ve Cristiano Giuffrida (Vrije Universiteit Amsterdam) ile Yanick Fratantonio, Martina Lindorfer ve Giovanni Vigna (University of California, Santa Barbara): CVE-2016-6728
• Alibaba Inc.'den Weichao Sun (@sunblate): CVE-2016-6712, CVE-2016-6699, CVE-2016-6711
• Wenke Dou (vancouverdou@gmail.com), Chiachih Wu (@chiachih_wu) ve C0RE Ekibi'nden Xuxian Jiang: CVE-2016-6720
• Trend Micro Inc.'den Wish Wu (吴潍浠) (@wish_wu): CVE-2016-6704
• Nightwatch Cybersecurity'den Yakov Shafranovich: CVE-2016-6723
• Yuan-Tsung Lo, Yao Jun, Tong Lin, Chiachih Wu (@chiachih_wu) ve C0RE Ekibi'nden Xuxian Jiang: CVE-2016-6730, CVE-2016-6732, CVE-2016-6734, CVE-2016-6736
• Yuan-Tsung Lo, Yao Jun, Xiaodong Wang, Chiachih Wu (@chiachih_wu) ve C0RE Ekibi'nden Xuxian Jiang: CVE-2016-6731, CVE-2016-6733, CVE-2016-6735, CVE-2016-6746

Bu bültendeki çeşitli sorunlara katkıda bulunduğu için Android Güvenlik Ekibi'nden Zach Riggle'ye de teşekkür ederiz.

01.11.2016 güvenlik yaması düzeyi: Güvenlik açığı ayrıntıları

Aşağıdaki bölümlerde, 01.11.2016 yaması düzeyi için geçerli olan güvenlik açıklarının her biri hakkında ayrıntılı bilgi verilmektedir. Sorunun açıklaması, önem düzeyi gerekçesi ve CVE, ilişkili referanslar, önem düzeyi, güncellenmiş Google cihazları, güncellenmiş AOSP sürümleri (geçerli olduğunda) ve bildirilme tarihi içeren bir tablo bulunur. Mümkün olduğunda, sorunu gideren herkese açık değişikliği AOSP değişiklik listesi gibi bir hata kimliğine bağlarız. Tek bir hatayla ilgili birden fazla değişiklik olduğunda, ek referanslar hata kimliğinin ardından gelen sayılara bağlanır.

Mediaserver'da uzaktan kod yürütme güvenlik açığı

Mediaserver'daki uzaktan kod yürütme güvenlik açığı, bir saldırganın özel olarak hazırlanmış bir dosyayı kullanarak medya dosyası ve veri işleme sırasında bellek bozulmasına neden olmasını sağlayabilir. Bu sorun, Mediaserver işlemi bağlamında uzaktan kod çalıştırma olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6699	A-31373622	Kritik (Critical)	Tümü	7,0	27 Temmuz 2016

libzipfile'de ayrıcalık yükseltme güvenlik açığı

libzipfile'deki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın ayrıcalıklı bir süreç bağlamında istediği kodu yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6700	A-30916186	Kritik (Critical)	Yok*	4.4.4, 5.0.2, 5.1.1	17 Ağustos 2016

* Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş olan desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Skia'da uzaktan kod yürütme güvenlik açığı

libskia'daki uzaktan kod yürütme güvenlik açığı, özel olarak hazırlanmış bir dosya kullanan bir saldırganın medya dosyası ve veri işleme sırasında bellek bozulmasına neden olmasına olanak tanıyabilir. Bu sorun, galeri işlemi bağlamında uzaktan kod çalıştırma olasılığı nedeniyle Yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6701	A-30190637	Yüksek	Tümü	7,0	Yalnızca Google

libjpeg'de uzaktan kod yürütme güvenlik açığı

libjpeg'teki uzaktan kod yürütme güvenlik açığı, özel olarak hazırlanmış bir dosyayı kullanan bir saldırganın ayrıcalıksız bir işlem bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, libjpeg kullanan bir uygulamada uzaktan kod yürütme olasılığı nedeniyle Yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6702	A-30259087	Yüksek	Yok*	4.4.4, 5.0.2, 5.1.1	19 Temmuz 2016

* Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş olan desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Android çalışma zamanında uzaktan kod yürütme güvenlik açığı

Android çalışma zamanı kitaplığındaki bir uzaktan kod yürütme güvenlik açığı, saldırganların özel olarak hazırlanmış bir yükü kullanarak ayrıcalıksız bir işlem bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, Android çalışma zamanını kullanan bir uygulamada uzaktan kod çalıştırma olasılığı nedeniyle Yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6703	A-30765246	Yüksek	Yok*	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	Yalnızca Google

* Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş olan desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Mediaserver'da ayrıcalık yükseltme güvenlik açığı

Mediaserver'da ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın ayrıcalıklı bir süreç bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, normalde üçüncü taraf uygulamaları tarafından erişilemeyen yüksek ayrıcalıklara yerel erişim elde etmek için kullanılabileceğinden yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6704	A-30229821 [2] [3]	Yüksek	Tümü	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	19 Temmuz 2016
CVE-2016-6705	A-30907212 [2]	Yüksek	Tümü	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	16 Ağustos 2016
CVE-2016-6706	A-31385713	Yüksek	Tümü	7,0	8 Eylül 2016

Sistem sunucusunda ayrıcalık yükseltme güvenlik açığı

Sistem sunucusunda ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın ayrıcalıklı bir süreç bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, normalde üçüncü taraf uygulamaları tarafından erişilemeyen yüksek ayrıcalıklara yerel erişim elde etmek için kullanılabileceğinden yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6707	A-31350622	Yüksek	Tümü	6.0, 6.0.1, 7.0	7 Eylül 2016

Sistem kullanıcı arayüzünde ayrıcalık yükseltme güvenlik açığı

Sistem kullanıcı arayüzünde ayrıcalık yükseltilmesi, kötü amaçlı yerel bir kullanıcının Çoklu Pencere modunda bir iş profilinin güvenlik istemini atlamasına olanak tanıyabilir. Bu sorun, geliştirici veya güvenlik ayarı değişiklikleri için kullanıcı etkileşimi koşullarının yerel olarak atlanması olduğu için yüksek olarak değerlendirilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6708	A-30693465	Yüksek	Tümü	7,0	Yalnızca Google

Conscrypt'te bilgi ifşa etme güvenlik açığı

Bir uygulama eski bir şifreleme API'si kullanıyorsa Conscrypt'teki bilgi açıklama güvenlik açığı, saldırganın hassas bilgilere erişmesine olanak tanıyabilir. Bu sorun, izinsiz olarak verilere erişmek için kullanılabileceğinden yüksek olarak değerlendirilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6709	A-31081987	Yüksek	Tümü	6.0, 6.0.1, 7.0	9 Ekim 2015

İndirme yöneticisinde bilgi ifşa güvenlik açığı

İndirme yöneticisindeki bilgi ifşa etme güvenlik açığı, yerel kötü amaçlı bir uygulamanın uygulama verilerini diğer uygulamalardan ayıran işletim sistemi korumalarını atlamasına olanak tanıyabilir. Bu sorun, uygulamanın erişemediği verilere erişmek için kullanılabileceğinden yüksek olarak değerlendirilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6710	A-30537115 [2]	Yüksek	Tümü	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	30 Temmuz 2016

Bluetooth'ta hizmet reddi güvenlik açığı

Bluetooth'taki hizmet kesintisi güvenlik açığı, yakındaki bir saldırganın etkilenen cihaza Bluetooth erişimini engellemesine olanak tanıyabilir. Bu sorun, uzaktan hizmet reddi olasılığı nedeniyle yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2014-9908	A-28672558	Yüksek	Yok*	4.4.4, 5.0.2, 5.1.1	5 Mayıs 2014

* Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş olan desteklenen Google cihazları bu güvenlik açığından etkilenmez.

OpenJDK'da hizmet reddi güvenlik açığı

OpenJDK'daki uzaktan hizmet reddi güvenlik açığı, saldırganların özel olarak hazırlanmış bir dosyayı kullanarak cihazın donmasına veya yeniden başlatılmasına neden olmasına olanak tanıyabilir. Bu sorun, uzaktan hizmet reddi olasılığı nedeniyle yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2015-0410	A-30703445	Yüksek	Tümü	7,0	16 Ocak 2015

Mediaserver'da hizmet reddi güvenlik açığı

Mediaserver'daki uzak hizmet reddi güvenlik açığı, saldırganların özel olarak hazırlanmış bir dosyayı kullanarak cihazın donmasına veya yeniden başlatılmasına neden olmasına olanak tanıyabilir. Bu sorun, uzaktan hizmet reddi olasılığı nedeniyle yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6711	A-30593765	Yüksek	Yok*	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	1 Ağustos 2016
CVE-2016-6712	A-30593752	Yüksek	Yok*	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	1 Ağustos 2016
CVE-2016-6713	A-30822755	Yüksek	Tümü	6.0, 6.0.1, 7.0	11 Ağustos 2016
CVE-2016-6714	A-31092462	Yüksek	Tümü	6.0, 6.0.1, 7.0	22 Ağustos 2016

* Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş olan desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Çerçeve API'lerinde ayrıcalık yükseltme güvenlik açığı

Framework API'lerinde ayrıcalık yükseltme güvenlik açığı, yerel kötü amaçlı bir uygulamanın kullanıcının izni olmadan ses kaydetmesine izin verebilir. Bu sorun, kullanıcı etkileşimi koşullarının yerel olarak atlatılması (normalde kullanıcının başlatması veya kullanıcı izni gerektiren işlevlere erişim) nedeniyle Orta düzey olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6715	A-29833954	Orta seviye	Tümü	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	28 Haziran 2016

AOSP Launcher'da ayrıcalık yükseltme güvenlik açığı

AOSP Launcher'da ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın kullanıcının izni olmadan ayrıcalıklı kısayollar oluşturmasına izin verebilir. Bu sorun, kullanıcı etkileşimi koşullarının yerel olarak atlatılması (normalde kullanıcının başlatması veya kullanıcı izni gerektiren işlevlere erişim) nedeniyle Orta olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6716	A-30778130	Orta seviye	Tümü	7,0	5 Ağustos 2016

Mediaserver'da ayrıcalık yükseltme güvenlik açığı

Mediaserver'da ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın ayrıcalıklı bir süreç bağlamında keyfi kod yürütmesine olanak tanıyabilir. Önce ayrı bir güvenlik açığının kötüye kullanılması gerektiğinden bu sorun Orta önem düzeyinde olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6717	A-31350239	Orta seviye	Tümü	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	7 Eylül 2016

Account Manager Hizmeti'nde ayrıcalık yükseltme güvenlik açığı

Hesap Yöneticisi Hizmeti'nde ayrıcalık yükseltme güvenlik açığı, yerel bir zararlı uygulamanın kullanıcı etkileşimi olmadan hassas bilgileri almasına olanak tanıyabilir. Bu sorun, kullanıcı etkileşimi koşullarının yerel olarak atlatılması (normalde kullanıcının başlatması veya kullanıcı izni gerektiren işlevlere erişim) nedeniyle Orta olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6718	A-30455516	Orta seviye	Tümü	7,0	Yalnızca Google

Bluetooth'ta ayrıcalık yükseltme güvenlik açığı

Bluetooth bileşeninde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın kullanıcı izni olmadan herhangi bir Bluetooth cihazıyla eşleşmesini sağlayabilir. Bu sorun, kullanıcı etkileşimi koşullarının yerel olarak atlatılması (normalde kullanıcının başlatması veya kullanıcı izni gerektiren işlevlere erişim) nedeniyle Orta düzey olarak değerlendirilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6719	A-29043989 [2]	Orta seviye	Tümü	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	Yalnızca Google

Mediaserver'da bilgi ifşa etme güvenlik açığı

Mediaserver'da bulunan bir bilgi ifşa etme güvenlik açığı, yerel bir kötü amaçlı uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. İzinsiz olarak hassas verilere erişmek için kullanılabileceğinden bu sorun Orta olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6720	A-29422020 [2] [3] [4]	Orta seviye	Tümü	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	15 Haziran 2016
CVE-2016-6721	A-30875060	Orta seviye	Tümü	6.0, 6.0.1, 7.0	13 Ağustos 2016
CVE-2016-6722	A-31091777	Orta seviye	Tümü	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	23 Ağustos 2016

Proxy Otomatik Yapılandırması'nda hizmet reddi güvenlik açığı

Proxy Otomatik Yapılandırması'ndaki hizmet reddi güvenlik açığı, uzaktaki bir saldırganın özel olarak hazırlanmış bir dosyayı kullanarak cihazın donmasına veya yeniden başlatılmasına neden olmasını sağlayabilir. Sık karşılaşılan bir cihaz yapılandırması gerektirmediği için bu sorun Orta önem düzeyinde olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6723	A-30100884 [2]	Orta seviye	Tümü	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	11 Temmuz 2016

Giriş Yöneticisi Hizmeti'nde hizmet reddi güvenlik açığı

Giriş Yöneticisi Hizmeti'ndeki hizmet reddi güvenlik açığı, yerel bir kötü amaçlı uygulamanın cihazın sürekli olarak yeniden başlatılmasına neden olmasına neden olabilir. Bu sorun, geçici bir hizmet reddi olduğu ve düzeltilmesi için fabrika ayarlarına sıfırlama gerektirdiği için Orta önem düzeyinde olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6724	A-30568284	Orta seviye	Tümü	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	Yalnızca Google

05.11.2016 güvenlik yaması düzeyi: Güvenlik açığı ayrıntıları

Aşağıdaki bölümlerde, 05.11.2016 yaması düzeyi için geçerli olan güvenlik açıklarının her biri hakkında ayrıntılı bilgi verilmektedir. Sorunun açıklaması, önem düzeyi gerekçesi ve CVE, ilişkili referanslar, önem düzeyi, güncellenmiş Google cihazları, güncellenmiş AOSP sürümleri (geçerli olduğunda) ve bildirilme tarihi içeren bir tablo bulunur. Mümkün olduğunda, sorunu gideren herkese açık değişikliği AOSP değişiklik listesi gibi bir hata kimliğine bağlarız. Tek bir hatayla ilgili birden fazla değişiklik olduğunda, ek referanslar hata kimliğinin ardından gelen sayılara bağlanır.

Qualcomm şifreleme sürücüsünde uzaktan kod yürütme güvenlik açığı

Qualcomm şifreleme sürücüsündeki uzaktan kod yürütme güvenlik açığı, uzaktaki bir saldırganın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, çekirdek bağlamında uzaktan kod çalıştırma olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6725	A-30515053 QC-CR#1050970	Kritik (Critical)	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	25 Temmuz 2016

Çekirdek dosya sisteminde ayrıcalık yükseltme güvenlik açığı

Çekirdek dosya sisteminde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2015-8961	A-30952474 Yukarı yönlü çekirdek	Kritik (Critical)	Pixel, Pixel XL	18 Ekim 2015
CVE-2016-7911	A-30946378 Yukarı yönlü çekirdek	Kritik (Critical)	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL	01 Temmuz 2016
CVE-2016-7910	A-30942273 Yukarı yönlü çekirdek	Kritik (Critical)	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL	29 Temmuz 2016

Çekirdek SCSI sürücüsünde ayrıcalık yükseltme güvenlik açığı

Çekirdek SCSI sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2015-8962	A-30951599 Yukarı yönlü çekirdek	Kritik (Critical)	Pixel, Pixel XL	30 Ekim 2015

Çekirdek medya sürücüsünde ayrıcalık yükseltme güvenlik açığı

Çekirdek medya sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-7913	A-30946097 Yukarı yönlü çekirdek	Kritik (Critical)	Nexus 6P, Android One, Nexus Player, Pixel, Pixel XL	28 Ocak 2016

Çekirdek USB sürücüsünde ayrıcalık yükseltme güvenlik açığı

Çekirdek USB sürücüsünde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-7912	A-30950866 Yukarı yönlü çekirdek	Kritik (Critical)	Pixel C, Pixel, Pixel XL	14 Nisan 2016

Çekirdek ION alt sisteminde ayrıcalık yükseltme güvenlik açığı

Çekirdek ION alt sisteminde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6728	A-30400942*	Kritik (Critical)	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One	25 Temmuz 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinde bulunan Google cihazlarına yönelik en son ikili sürücülerde yer alır.

Qualcomm önyükleyicisinde ayrıcalık yükseltme güvenlik açığı

Qualcomm önyükleyicisindeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6729	A-30977990* QC-CR#977684	Kritik (Critical)	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	25 Temmuz 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinde bulunan Google cihazlarına yönelik en son ikili sürücülerde yer alır.

NVIDIA GPU sürücüsünde ayrıcalık yükseltme güvenlik açığı

NVIDIA GPU sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6730	A-30904789* N-CVE-2016-6730	Kritik (Critical)	Pixel C	16 Ağustos 2016
CVE-2016-6731	A-30906023* N-CVE-2016-6731	Kritik (Critical)	Pixel C	16 Ağustos 2016
CVE-2016-6732	A-30906599* N-CVE-2016-6732	Kritik (Critical)	Pixel C	16 Ağustos 2016
CVE-2016-6733	A-30906694* N-CVE-2016-6733	Kritik (Critical)	Pixel C	16 Ağustos 2016
CVE-2016-6734	A-30907120* N-CVE-2016-6734	Kritik (Critical)	Pixel C	16 Ağustos 2016
CVE-2016-6735	A-30907701* N-CVE-2016-6735	Kritik (Critical)	Pixel C	16 Ağustos 2016
CVE-2016-6736	A-30953284* N-CVE-2016-6736	Kritik (Critical)	Pixel C	18 Ağustos 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinde bulunan Google cihazlarına yönelik en son ikili sürücülerde yer alır.

Çekirdek ağ iletişimi alt sisteminde ayrıcalık yükseltme güvenlik açığı

Çekirdek ağ alt sisteminde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6828	A-31183296 Yukarı yönlü çekirdek	Kritik (Critical)	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL	18 Ağustos 2016

Çekirdek ses alt sisteminde ayrıcalık yükseltme güvenlik açığı

Çekirdek ses alt sisteminde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-2184	A-30952477 Yukarı yönlü çekirdek	Kritik (Critical)	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL	31 Mart 2016

Çekirdek ION alt sisteminde ayrıcalık yükseltme güvenlik açığı

Çekirdek ION alt sisteminde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6737	A-30928456*	Kritik (Critical)	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel C, Nexus Player, Pixel, Pixel XL	Yalnızca Google

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinde bulunan Google cihazlarına yönelik en son ikili sürücülerde yer alır.

Qualcomm bileşenlerindeki güvenlik açıkları

Aşağıdaki tabloda, Qualcomm bileşenlerini etkileyen güvenlik açıkları yer almaktadır. Bu açıklar, Qualcomm AMSS Haziran 2016 güvenlik bülteninde ve Güvenlik Uyarısı 80-NV606-17'de daha ayrıntılı olarak açıklanmıştır.

CVE	Referanslar	Önem derecesi*	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6727	A-31092400**	Kritik (Critical)	Android One	Qualcomm'un dahili
CVE-2016-6726	A-30775830**	Yüksek	Nexus 6, Android One	Qualcomm'un dahili

* Bu güvenlik açıklarının önem derecesi tedarikçi firma tarafından belirlenmiştir.

** Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinde bulunan Google cihazlarına yönelik en son ikili sürücülerde yer alır.

Expat'ta uzaktan kod yürütme güvenlik açığı

Aşağıdaki tabloda, Expat kitaplığını etkileyen güvenlik açıkları yer almaktadır. Bu sorunlardan en ciddisi, Expat XML ayrıştırıcısında ayrıcalık yükseltme güvenlik açığı olmasıdır. Bu, saldırganın özel olarak hazırlanmış bir dosyayı kullanarak ayrıcalıksız bir işlemde rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, Expat kullanan bir uygulamada rastgele kod çalıştırma olasılığı nedeniyle Yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-0718	A-28698301	Yüksek	Yok*	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	10 Mayıs 2016
CVE-2012-6702	A-29149404	Orta seviye	Yok*	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	6 Mart 2016
CVE-2016-5300	A-29149404	Orta seviye	Yok*	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	4 Haziran 2016
CVE-2015-1283	A-27818751	Düşük	Yok*	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	24 Temmuz 2015

* Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş olan desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Webview'de uzaktan kod yürütme güvenlik açığı

Web Görünümü'ndeki uzaktan kod yürütme güvenlik açığı, uzaktaki bir saldırganın kullanıcı bir web sitesine giderken rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, ayrıcalıksız bir işlemde uzaktan kod çalıştırma olasılığı nedeniyle Yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2016-6754	A-31217937	Yüksek	Yok*	5.0.2, 5.1.1, 6.0, 6.0.1	23 Ağustos 2016

* Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş olan desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Freetype'ta uzaktan kod yürütme güvenlik açığı

Freetype'teki uzaktan kod yürütme güvenlik açığı, yerel bir kötü amaçlı uygulamanın, ayrıcalıklı olmayan bir işlemde bellek bozulmasına neden olmak için özel olarak hazırlanmış bir yazı tipi yüklemesine olanak tanıyabilir. Bu sorun, Freetype kullanan uygulamalarda uzaktan kod yürütme olasılığı nedeniyle Yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Güncellenen AOSP sürümleri	Bildirim tarihi
CVE-2014-9675	A-24296662 [2]	Yüksek	Yok*	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	Yalnızca Google

* Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş olan desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Çekirdek performansı alt sisteminde ayrıcalık yükseltme güvenlik açığı

Çekirdek performansı alt sisteminde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2015-8963	A-30952077 Yukarı yönlü çekirdek	Yüksek	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL	15 Aralık 2015

Çekirdek sistem çağrısı denetimi alt sisteminde ayrıcalık yükseltme güvenlik açığı

Çekirdek sistem çağrısı denetimi alt sisteminde ayrıcalık yükseltme güvenlik açığı, yerel bir zararlı uygulamanın çekirdekteki sistem çağrısı denetimini kesintiye uğratmasına neden olabilir. Çekirdek düzeyinde ayrıntılı savunma veya kötüye kullanım azaltma teknolojisi için genel bir baypas olduğundan bu sorun yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6136	A-30956807 Yukarı yönlü çekirdek	Yüksek	Android One, Pixel C, Nexus Player	1 Temmuz 2016

Qualcomm şifreleme motoru sürücüsünde ayrıcalık yükseltme güvenlik açığı

Qualcomm şifreleme motoru sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6738	A-30034511 QC-CR#1050538	Yüksek	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	7 Temmuz 2016

Qualcomm kamera sürücüsündeki ayrıcalık yükseltme güvenlik açığı

Qualcomm kamera sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6739	A-30074605* QC-CR#1049826	Yüksek	Nexus 5X, Nexus 6P, Pixel, Pixel XL	11 Temmuz 2016
CVE-2016-6740	A-30143904 QC-CR#1056307	Yüksek	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	12 Temmuz 2016
CVE-2016-6741	A-30559423 QC-CR#1060554	Yüksek	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	28 Temmuz 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinde bulunan Google cihazlarına yönelik en son ikili sürücülerde yer alır.

Qualcomm otobüs sürücüsünde ayrıcalık yükseltme güvenlik açığı

Qualcomm otobüs sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Öncelikle ayrıcalıklı bir işlemin güvenliğinin ihlal edilmesini gerektirdiği için bu sorun yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-3904	A-30311977 QC-CR#1050455	Yüksek	Nexus 5X, Nexus 6P, Pixel, Pixel XL	22 Temmuz 2016

Synaptics dokunmatik ekran sürücüsünde ayrıcalık yükseltme güvenlik açığı

Synaptics dokunmatik ekran sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6742	A-30799828*	Yüksek	Nexus 5X, Android One	9 Ağustos 2016
CVE-2016-6744	A-30970485*	Yüksek	Nexus 5X	19 Ağustos 2016
CVE-2016-6745	A-31252388*	Yüksek	Nexus 5X, Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL	1 Eylül 2016
CVE-2016-6743	A-30937462*	Yüksek	Nexus 9, Android One	Yalnızca Google

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinde bulunan Google cihazlarına yönelik en son ikili sürücülerde yer alır.

Çekirdek bileşenlerinde bilgi paylaşımı güvenlik açığı

Kullanıcı arayüzü cihaz sürücüsü, dosya sistemi ve telegraf sürücüsü dahil olmak üzere çekirdek bileşenlerinde bulunan bir bilgi açığı, yerel kötü amaçlı bir uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, kullanıcının açık izni olmadan hassas verilere erişmek için kullanılabileceğinden yüksek olarak değerlendirilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2015-8964	A-30951112 Yukarı yönlü çekirdek	Yüksek	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL	27 Kasım 2015
CVE-2016-7915	A-30951261 Yukarı yönlü çekirdek	Yüksek	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL	19 Ocak 2016
CVE-2016-7914	A-30513364 Yukarı yönlü temel	Yüksek	Pixel C, Pixel, Pixel XL	6 Nisan 2016
CVE-2016-7916	A-30951939 Yukarı yönlü çekirdek	Yüksek	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL	5 Mayıs 2016

NVIDIA GPU sürücüsünde bilgi ifşa zayıflığı

NVIDIA GPU sürücüsündeki bilgi açığa çıkarma güvenlik açığı, yerel kötü amaçlı bir uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, kullanıcının açık izni olmadan hassas verilere erişmek için kullanılabileceğinden yüksek olarak değerlendirilir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6746	A-30955105* N-CVE-2016-6746	Yüksek	Pixel C	18 Ağustos 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinde bulunan Google cihazlarına yönelik en son ikili sürücülerde yer alır.

Mediaserver'da hizmet reddi güvenlik açığı

Mediaserver'daki hizmet reddi güvenlik açığı, saldırganların cihazın donmasına veya yeniden başlatılmasına neden olmak için özel olarak hazırlanmış bir dosya kullanmasına olanak tanıyabilir. Bu sorun, uzaktan hizmet reddi olasılığı nedeniyle yüksek olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6747	A-31244612* N-CVE-2016-6747	Yüksek	Nexus 9	Yalnızca Google

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinde bulunan Google cihazlarına yönelik en son ikili sürücülerde yer alır.

Çekirdek bileşenlerinde bilgi ifşa etme güvenlik açığı

İşlem gruplandırma alt sistemi ve ağ alt sistemi dahil olmak üzere çekirdek bileşenlerindeki bilgi açığa çıkarma güvenlik açığı, yerel bir kötü amaçlı uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, önce ayrıcalıklı bir işlemden ödün verilmesini gerektirdiği için Orta olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-7917	A-30947055 Yukarı yönlü çekirdek	Orta seviye	Pixel C, Pixel, Pixel XL	2 Şubat 2016
CVE-2016-6753	A-30149174*	Orta seviye	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player, Pixel, Pixel XL	13 Temmuz 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinde bulunan Google cihazlarına yönelik en son ikili sürücülerde yer alır.

Qualcomm bileşenlerindeki bilgi paylaşımı güvenlik açığı

GPU sürücüsü, güç sürücüsü, SMSM Noktadan Noktayı Bağlayan sürücü ve ses sürücüsü gibi Qualcomm bileşenlerinde bulunan bir bilgi açığı, yerel kötü amaçlı bir uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Öncelikle ayrıcalıklı bir işlemden ödün verilmesini gerektirdiği için bu sorun Orta olarak derecelendirilmiştir.

CVE	Referanslar	Önem derecesi	Güncellenen Google cihazlar	Bildirim tarihi
CVE-2016-6748	A-30076504 QC-CR#987018	Orta seviye	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	12 Temmuz 2016
CVE-2016-6749	A-30228438 QC-CR#1052818	Orta seviye	Nexus 5X, Nexus 6P, Pixel, Pixel XL	12 Temmuz 2016
CVE-2016-6750	A-30312054 QC-CR#1052825	Orta seviye	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	21 Temmuz 2016
CVE-2016-3906	A-30445973 QC-CR#1054344	Orta seviye	Nexus 5X, Nexus 6P	27 Temmuz 2016
CVE-2016-3907	A-30593266 QC-CR#1054352	Orta seviye	Nexus 5X, Nexus 6P, Pixel, Pixel XL	2 Ağustos 2016
CVE-2016-6698	A-30741851 QC-CR#1058826	Orta seviye	Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL	2 Ağustos 2016
CVE-2016-6751	A-30902162* QC-CR#1062271	Orta seviye	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	15 Ağustos 2016
CVE-2016-6752	A-31498159 QC-CR#987051	Orta seviye	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	Yalnızca Google

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinde bulunan Google cihazlarına yönelik en son ikili sürücülerde yer alır.

06.11.2016 güvenlik yaması düzeyi: Güvenlik açığı ayrıntıları

Aşağıdaki bölümlerde, yukarıdaki 2016-11-06 güvenlik yaması seviyesi - Güvenlik açığı özeti bölümünde listelenen güvenlik açıklarının her biri hakkında ayrıntılı bilgi verilmektedir. Sorunun açıklaması, önem düzeyi gerekçesi ve CVE, ilişkili referanslar, önem düzeyi, güncellenmiş Google cihazları, güncellenmiş AOSP sürümleri (geçerli olduğunda) ve bildirilme tarihi içeren bir tablo bulunur. Mümkün olduğunda, sorunu gideren herkese açık değişikliği AOSP değişiklik listesi gibi bir hata kimliğine bağlarız. Tek bir hatayla ilgili birden fazla değişiklik olduğunda, ek referanslar hata kimliğinin ardından gelen sayılara bağlanır.

Çekirdek bellek alt sisteminde ayrıcalık yükseltme güvenlik açığı

Çekirdek bellek alt sisteminde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

Not: 2016-11-06 güvenlik yaması düzeyi, bu sorunun yanı sıra 2016-11-01 ve 2016-11-05 ile ilişkili tüm sorunların giderildiğini gösterir.

CVE	Referanslar	Önem derecesi	Güncellenen çekirdek sürümleri	Bildirim tarihi
CVE-2016-5195	A-32141528 Yukarı yönlü çekirdek [2]	Kritik (Critical)	3.10, 3.18	12 Ekim 2016

Sık Sorulan Sorular ve Yanıtları

Bu bölümde, bu bülteni okuduktan sonra aklınıza gelebilecek yaygın sorular yanıtlanmaktadır.

1. Cihazımın bu sorunları giderecek şekilde güncellenip güncellenmediğini nasıl öğrenebilirim?

Bir cihazın güvenlik yaması düzeyini nasıl kontrol edeceğinizi öğrenmek için Pixel ve Nexus güncelleme programındaki talimatları okuyun.

• 01.11.2016 veya sonraki güvenlik yaması düzeyleri, 01.11.2016 güvenlik yaması düzeyiyle ilişkili tüm sorunları giderir.
• 05.11.2016 veya sonraki güvenlik yaması düzeyleri, 05.11.2016 güvenlik yaması düzeyi ve önceki tüm yamalar düzeyleriyle ilişkili tüm sorunları giderir.
• 06.11.2016 veya sonraki güvenlik yaması düzeyleri, 06.11.2016 güvenlik yaması düzeyi ve önceki tüm yamalar düzeyleriyle ilişkili tüm sorunları giderir.

Bu güncellemeleri içeren cihaz üreticileri, yama düzeyi dizesini şu şekilde ayarlamalıdır:

• [ro.build.version.security_patch]:[2016-11-01]
• [ro.build.version.security_patch]:[2016-11-05]
• [ro.build.version.security_patch]:[2016-11-06].

2. Bu bültende neden üç güvenlik yaması düzeyi var?

Bu bülten üç güvenlik yaması düzeyine sahiptir. Böylece Android iş ortakları, tüm Android cihazlarda benzer olan bir güvenlik açığı alt kümesini daha hızlı düzeltme esnekliğine sahip olur. Android iş ortaklarının bu bültendeki tüm sorunları düzeltmesi ve en son güvenlik yaması düzeyini kullanması önerilir.

• 1 Kasım 2016 güvenlik yaması düzeyini kullanan cihazlar, söz konusu güvenlik yaması düzeyiyle ilişkili tüm sorunların yanı sıra önceki güvenlik bültenlerinde bildirilen tüm sorunların düzeltmelerini içermelidir.
• 5 Kasım 2016 veya daha yeni bir güvenlik yaması düzeyini kullanan cihazlarda bu (ve önceki) güvenlik bültenlerindeki tüm geçerli yamalar bulunmalıdır.
• 6 Kasım 2016 veya daha yeni bir güvenlik yaması düzeyini kullanan cihazlar, bu (ve önceki) güvenlik bültenlerindeki tüm geçerli yamaları içermelidir.

İş ortaklarının, ele aldıkları tüm sorunların düzeltmelerini tek bir güncellemede toplamalarının önerilir.

3. Her sorundan hangi Google cihazlarının etkilendiğini nasıl öğrenebilirim?

2016-11-01, 2016-11-05 ve 2016-11-06 güvenlik açığı ayrıntıları bölümlerinde her tabloda, her sorun için güncellenen etkilenen Google cihazlarının kapsamını gösteren bir Güncellenen Google cihazları sütunu bulunur. Bu sütunda birkaç seçenek vardır:

• Tüm Google cihazlar: Bir sorun tüm Nexus ve Pixel cihazları etkiliyorsa tablonun Güncellenen Google cihazları sütununda "Tümü" ifadesi yer alır. "Tümü", aşağıdaki desteklenen cihazları kapsar: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel ve Pixel XL.
• Bazı Google cihazları: Bir sorun tüm Google cihazlarını etkilemiyorsa etkilenen Google cihazları Güncellenen Google cihazları sütununda listelenir.
• Google cihaz yok: Android 7.0 çalıştıran hiçbir Google cihazı sorundan etkilenmiyorsa tablonun Güncellenen Google cihazları sütununda "Yok" ifadesi yer alır.

4. Referanslar sütunundaki girişler neyle eşlenir?

Güvenlik açığı ayrıntıları tablosunun Referanslar sütunundaki girişler, referans değerinin ait olduğu kuruluşu tanımlayan bir ön ek içerebilir. Bu önekler aşağıdaki şekilde eşlenir:

Ön numara	Referans
A-	Android hata kimliği
QC-	Qualcomm referans numarası
M-	MediaTek referans numarası
N-	NVIDIA referans numarası
B-	Broadcom referans numarası

Düzeltmeler

• 7 Kasım 2016: Bülten yayınlandı.
• 8 Kasım: Bülten, AOSP bağlantılarını içerecek şekilde düzeltildi ve CVE-2016-6709 ile ilgili açıklama güncellendi.
• 17 Kasım: Bülten, CVE-2016-6828 ile ilişkilendirmeyi içerecek şekilde düzeltildi.
• 21 Aralık: Araştırmacı kredisi güncellendi.