Bulletin sur la sécurité d'Android : décembre 2016

Publié le 5 décembre 2016 | Mis à jour le 21 décembre 2016

Le bulletin de sécurité Android contient des informations sur les failles de sécurité affectant les appareils Android. En plus de ce bulletin, nous avons publié une mise à jour de sécurité pour les appareils Google via une mise à jour Over The Air (OTA). Les images du micrologiciel des appareils Google ont également été publiées sur le site des développeurs Google. Les niveaux de correctif de sécurité du 5 décembre 2016 ou version ultérieure résolvent tous ces problèmes. Consultez le calendrier de mise à jour des Pixel et Nexus pour savoir comment vérifier le niveau du correctif de sécurité d'un appareil.

Les partenaires ont été informés des problèmes décrits dans le bulletin le 7 novembre 2016 ou avant. Des correctifs de code source pour ces problèmes ont été publiés dans le dépôt du projet Android Open Source (AOSP) et sont disponibles en lien depuis ce bulletin. Ce bulletin inclut également des liens vers des correctifs en dehors d'AOSP.

Les plus graves de ces problèmes sont les failles de sécurité critiques dans le code spécifique à l'appareil, qui pourraient permettre l'exécution de code arbitraire dans le contexte du noyau, ce qui pourrait entraîner une compromission permanente locale de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil. L'évaluation de la gravité est basée sur l'impact potentiel de l'exploitation de la faille sur un appareil concerné, en supposant que les mesures d'atténuation de la plate-forme et du service soient désactivées à des fins de développement ou qu'elles soient contournées.

Nous n'avons reçu aucun signalement d'exploitation ou d'utilisation abusive active de ces problèmes récemment signalés par les clients. Consultez la section Mitigations des services Android et Google pour en savoir plus sur les protections de la plate-forme de sécurité Android et les protections de services telles que SafetyNet, qui améliorent la sécurité de la plate-forme Android.

Nous encourageons tous les clients à accepter ces mises à jour sur leurs appareils.

Annonces

  • Ce bulletin contient deux chaînes de niveau de correctif de sécurité afin de permettre aux partenaires Android de corriger plus rapidement un sous-ensemble de failles similaires sur tous les appareils Android. Pour en savoir plus, consultez les questions fréquentes et réponses :
    • 2016-12-01: chaîne partielle du niveau du correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2016-12-01 (et à toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
    • 2016-12-05: chaîne complète du niveau du correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2016-12-01 et 2016-12-05 (et à toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
  • Les appareils Google compatibles recevront une seule mise à jour OTA avec le niveau de correctif de sécurité du 5 décembre 2016.

Mesures d'atténuation des services Android et Google

Voici un résumé des mesures d'atténuation fournies par la plate-forme de sécurité Android et les protections de service, telles que SafetyNet. Ces fonctionnalités réduisent la probabilité que des failles de sécurité puissent être exploitées avec succès sur Android.

  • Les améliorations apportées aux versions plus récentes de la plate-forme Android rendent l'exploitation de nombreux problèmes sur Android plus difficile. Nous encourageons tous les utilisateurs à passer à la dernière version d'Android dans la mesure du possible.
  • L'équipe Android Security surveille activement les utilisations abusives à l'aide de Verify Apps et SafetyNet, qui sont conçus pour avertir les utilisateurs des applications potentiellement dangereuses. Vérifier les applications est activé par défaut sur les appareils équipés des services mobiles Google. Il est particulièrement important pour les utilisateurs qui installent des applications en dehors de Google Play. Les outils de rootage d'appareils sont interdits sur Google Play, mais Vérifier les applications avertit les utilisateurs lorsqu'ils tentent d'installer une application de rootage détectée, quelle que soit son origine. De plus, Verify Apps tente d'identifier et de bloquer l'installation d'applications malveillantes connues qui exploitent une faille d'escalade de privilèges. Si une telle application a déjà été installée, Vérifier les applications en informe l'utilisateur et tente de la supprimer.
  • Le cas échéant, les applications Google Hangouts et Messenger ne transfèrent pas automatiquement les contenus multimédias à des processus tels que Mediaserver.

Remerciements

Nous tenons à remercier ces chercheurs pour leur contribution:

  • Baozeng Ding, Chengming Yang, Peng Xiao, Ning You, Yang Dong, Chao Yang, Yi Zhang et Yang Song du groupe de sécurité mobile d'Alibaba: CVE-2016-6783, CVE-2016-6784 et CVE-2016-6785
  • Chi Zhang, Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) et Xuxian Jiang de l'équipe C0RE: CVE-2016-6789, CVE-2016-6790
  • Christian Seel: CVE-2016-6769
  • David Benjamin et Kenny Root de Google: CVE-2016-6767
  • Di Shen (@returnsme) de KeenLab (@keen_lab), Tencent: CVE-2016-6776, CVE-2016-6787
  • En He (@heeeeen4x) de l'équipe MS509: CVE-2016-6763
  • Gengjia Chen (@chengjia4574), pjf du laboratoire IceSword, Qihoo 360 Technology Co., Ltd.: CVE-2016-6779, CVE-2016-6778, CVE-2016-8401, CVE-2016-8402, CVE-2016-8403, CVE-2016-8409, CVE-2016-8408, CVE-2016-8404
  • Jianqiang Zhao (@jianqiangzhao) et pjf du laboratoire IceSword, Qihoo 360 Technology Co. Ltd: CVE-2016-6788, CVE-2016-6781, CVE-2016-6782, CVE-2016-8396
  • Lubo Zhang, Tong Lin, Yuan-Tsung Lo, Chiachih Wu (@chiachih_wu) et Xuxian Jiang de l'équipe C0RE: CVE-2016-6791, CVE-2016-8391, CVE-2016-8392
  • Mark Brand de Project Zero: CVE-2016-6772
  • Michał Bednarski : CVE-2016-6770, CVE-2016-6774
  • Mingjian Zhou (@Mingjian_Zhou), Chi Zhang, Chiachih Wu (@chiachih_wu) et Xuxian Jiang de l'équipe C0RE: CVE-2016-6761, CVE-2016-6759 et CVE-2016-8400
  • Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) et Xuxian Jiang de l'équipe C0RE: CVE-2016-6760
  • Mingjian Zhou (@Mingjian_Zhou), Hanxiang Wen, Chiachih Wu (@chiachih_wu) et Xuxian Jiang de l'équipe C0RE: CVE-2016-6759
  • Nathan Crandall (@natecray) de l'équipe de sécurité des produits Tesla Motors: CVE-2016-6915, CVE-2016-6916, CVE-2016-6917
  • Nightwatch Cybersecurity Research (@nightwatchcyber): CVE-2016-5341
  • Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮), Lenx Wei (韦韬) de Baidu X-Lab : CVE-2016-6755, CVE-2016-6756
  • Peter Pi (@heisecode) de Trend Micro: CVE-2016-8397, CVE-2016-8405, CVE-2016-8406, CVE-2016-8407
  • Qidan He (何淇丹) (@flanker_hqd) de KeenLab, Tencent (腾讯科恩实验室): CVE-2016-8399, CVE-2016-8395
  • Qidan He (何淇丹) (@flanker_hqd) et Marco Grassi (@marcograss) de KeenLab, Tencent (腾讯科恩实验室): CVE-2016-6768
  • Richard Shupak: CVE-2016-5341
  • Sagi Kedemi, IBM X-Force Research: CVE-2016-8393, CVE-2016-8394
  • Seven Shen (@lingtongshen) de l'équipe de recherche sur les menaces mobiles de Trend Micro Inc.: CVE-2016-6757
  • Weichao Sun (@sunblate) d'Alibaba Inc.: CVE-2016-6773
  • Wenke Dou, Chi Zhang, Chiachih Wu (@chiachih_wu) et Xuxian Jiang de l'équipe C0RE: CVE-2016-6765
  • Wish Wu (@wish_wu) (吴潍浠) de l'équipe Mobile Threat Response de Trend Micro: CVE-2016-6704
  • Yuan-Tsung Lo, Tong Lin, Chiachih Wu (@chiachih_wu) et Xuxian Jiang de l'équipe C0RE: CVE-2016-6786, CVE-2016-6780, CVE-2016-6775
  • Yuan-Tsung Lo, Xiaodong Wang, Chiachih Wu (@chiachih_wu) et Xuxian Jiang de l'équipe C0RE: CVE-2016-6777
  • Yuxiang Li, du département de la plate-forme de sécurité de Tencent: CVE-2016-6771
  • Zhe Jin (金哲) du Chengdu Security Response Center, Qihoo 360 Technology Co. Ltd. CVE-2016-6764, CVE-2016-6766
  • Zinuo Han du centre de réponse à la sécurité de Chengdu de Qihoo 360 Technology Co. Ltd.: CVE-2016-6762

Merci également à MengLuo Gou (@idhyt3r) de Bottle Tech, à Yong Wang (王勇) (@ThomasKing2014) et à Zubin Mithra de Google pour leur contribution à ce bulletin de sécurité.

Niveau du correctif de sécurité 01/12/2016 : détails de la faille

Dans les sections ci-dessous, nous fournissons des informations sur chacune des failles de sécurité qui s'appliquent au niveau de correctif 2016-12-01. Vous trouverez une description du problème, une justification de la gravité et un tableau contenant l'ID de la faille CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsque disponible, nous associerons la modification publique qui a résolu le problème à l'ID du bug, comme dans la liste des modifications AOSP. Lorsque plusieurs modifications concernent un même bug, des références supplémentaires sont associées à des numéros qui suivent l'ID du bug.

Vulnérabilité d'exécution de code à distance dans CURL/LIBCURL

Le tableau contient des failles de sécurité affectant les bibliothèques CURL et LIBCURL. Le problème le plus grave pourrait permettre à un pirate informatique de l'intercepteur utilisant un certificat falsifié d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme "Élevé", car l'attaquant a besoin d'un certificat falsifié.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2016-5419 A-31271247 Élevée Tous 7.0 3 août 2016
CVE-2016-5420 A-31271247 Élevée Tous 7.0 3 août 2016
CVE-2016-5421 A-31271247 Élevée Tous 7.0 3 août 2016

Faille d'élévation des droits dans libziparchive

Une faille d'élévation de privilège dans la bibliothèque libziparchive pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme critique, car il pourrait être utilisé pour accéder localement à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2016-6762 A-31251826 [2] Élevée Tous 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 28 août 2016

Faille de déni de service dans la téléphonie

Une faille de déni de service dans Telephony peut permettre à une application malveillante locale d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme critique en raison de la possibilité d'un déni de service permanent local.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2016-6763 A-31530456 Élevée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 12 septembre 2016

Faille de déni de service dans Mediaserver

Une faille de déni de service dans Mediaserver peut permettre à un pirate informatique d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme "Élevé" en raison de la possibilité d'une attaque par déni de service à distance.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2016-6766 A-31318219 Élevée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 5 septembre 2016
CVE-2016-6765 A-31449945 Élevée Tous 4.4.4, 5.0.2, 5.1.1, 7.0 13 septembre 2016
CVE-2016-6764 A-31681434 Élevée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Sep 22, 2016
CVE-2016-6767 A-31833604 Élevée Aucun* 4.4.4 Réservé à Google

* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.

Vulnérabilité d'exécution de code à distance dans la bibliothèque Framesequence

Une faille d'exécution de code à distance dans la bibliothèque Framesequence peut permettre à un pirate informatique utilisant un fichier spécialement conçu d'exécuter du code arbitraire dans le contexte d'un processus non privilégié. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans une application qui utilise la bibliothèque Framesequence.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2016-6768 A-31631842 Élevée Tous 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 19 septembre 2016

Vulnérabilité d'élévation des droits dans Smart Lock

Une faille d'élévation des privilèges dans Smart Lock peut permettre à un utilisateur local malveillant d'accéder aux paramètres Smart Lock sans code. Ce problème est classé comme modéré, car il nécessite d'abord un accès physique à un appareil déverrouillé où Smart Lock était le dernier volet de paramètres consulté par l'utilisateur.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2016-6769 A-29055171 Modérée Aucun* 5.0.2, 5.1.1, 6.0, 6.0.1 27 mai 2016

* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.

Vulnérabilité d'escalade de privilèges dans les API du framework

Une faille d'escalade de privilèges dans l'API Framework peut permettre à une application malveillante locale d'accéder aux fonctions système au-delà de son niveau d'accès. Ce problème est classé comme modéré, car il s'agit d'un contournement local des restrictions sur un processus contraint.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2016-6770 A-30202228 Modérée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Jul 16, 2016

Faille d'élévation des droits dans Telephony

Une faille d'élévation des privilèges dans Telephony peut permettre à une application malveillante locale d'accéder aux fonctions système au-delà de son niveau d'accès. Ce problème est classé comme modéré, car il s'agit d'un contournement local des restrictions sur un processus contraint.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2016-6771 A-31566390 Modérée Tous 6.0, 6.0.1, 7.0 17 septembre 2016

Vulnérabilité d'élévation des droits dans le Wi-Fi

Une faille d'escalade de privilèges dans le Wi-Fi peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2016-6772 A-31856351 [2] Modérée Tous 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 30 septembre 2016

Faille de divulgation d'informations dans Mediaserver

Une faille de divulgation d'informations dans Mediaserver peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2016-6773 A-30481714 [2] Modérée Tous 6.0, 6.0.1, 7.0 27 juillet 2016

Faille de divulgation d'informations dans Package Manager

Une faille de divulgation d'informations dans le Gestionnaire de paquets peut permettre à une application malveillante locale de contourner les protections du système d'exploitation qui isolent les données de l'application des autres applications. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2016-6774 A-31251489 Modérée Tous 7.0 29 août 2016

Niveau du correctif de sécurité 2016-12-05 : détails de la faille

Dans les sections ci-dessous, nous fournissons des informations sur chacune des failles de sécurité qui s'appliquent au niveau de correctif 2016-12-05. Vous trouverez une description du problème, une justification de la gravité et un tableau contenant l'ID de la faille CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsque disponible, nous associerons la modification publique qui a résolu le problème à l'ID du bug, comme dans la liste des modifications AOSP. Lorsque plusieurs modifications concernent un même bug, des références supplémentaires sont associées à des numéros qui suivent l'ID du bug.

Vulnérabilité d'élévation de privilège dans le sous-système de mémoire du kernel

Une faille d'élévation des privilèges dans le sous-système de mémoire du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-4794 A-31596597
Kernel [2]		 Critical (Critique) Pixel C, Pixel, Pixel XL 17 avril 2016
CVE-2016-5195 A-32141528
Kernel en amont [2]		 Critical (Critique) Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel et Pixel XL 12 oct. 2016

Vulnérabilité d'escalade de privilèges dans le pilote de GPU NVIDIA

Une faille d'escalade de privilèges dans le pilote de GPU NVIDIA peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-6775 A-31222873*
N-CVE-2016-6775		 Critical (Critique) Nexus 9 25 août 2016
CVE-2016-6776 A-31680980*
N-CVE-2016-6776		 Critical (Critique) Nexus 9 Sep 22, 2016
CVE-2016-6777 A-31910462*
N-CVE-2016-6777		 Critical (Critique) Nexus 9 3 oct. 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Vulnérabilité d'élévation des privilèges dans le noyau

Une faille d'escalade de privilèges dans le noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2015-8966 A-31435731
Noyau en amont		 Critical (Critique) Aucun* 10 septembre 2016

* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.

Vulnérabilité d'élévation de privilège dans le pilote vidéo NVIDIA

Une faille d'escalade de privilèges dans le pilote vidéo NVIDIA pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-6915 A-31471161*
N-CVE-2016-6915		 Critical (Critique) Nexus 9 13 septembre 2016
CVE-2016-6916 A-32072350*
N-CVE-2016-6916		 Critical (Critique) Nexus 9, Pixel C 13 septembre 2016
CVE-2016-6917 A-32072253*
N-CVE-2016-6917		 Critical (Critique) Nexus 9 13 septembre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Vulnérabilité d'escalade de privilèges dans le pilote ION du kernel

Une faille d'escalade de privilèges dans le pilote ION du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-9120 A-31568617
Noyau en amont		 Critical (Critique) Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel C et Nexus Player 16 septembre 2016

Failles dans les composants Qualcomm

Les failles suivantes affectent les composants Qualcomm et sont décrites plus en détail dans le bulletin de sécurité Qualcomm AMSS de novembre 2015.

CVE Références Gravité* Appareils Google mis à jour Date de signalement
CVE-2016-8411 A-31805216** Critical (Critique) Nexus 6, Nexus 6P, Android One Interne Qualcomm

* Le niveau de gravité de ces failles a été déterminé par le fournisseur.

** Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Vulnérabilité d'élévation des droits dans le système de fichiers du kernel

Une faille d'escalade de privilèges dans le système de fichiers du noyau peut permettre à une application malveillante locale de contourner les protections du système d'exploitation qui isolent les données de l'application des autres applications. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour obtenir un accès local à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2014-4014 A-31252187
Noyau en amont		 Élevée Nexus 6, Nexus Player 10 juin 2014

Vulnérabilité d'élévation des privilèges dans le noyau

Une faille d'escalade de privilèges dans le noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme grave, car il nécessite d'abord l'exploitation d'une autre faille.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2015-8967 A-31703084
Noyau en amont		 Élevée Nexus 5X, Nexus 6P, Nexus 9, Pixel C, Pixel et Pixel XL 8 janvier 2015

Vulnérabilité d'élévation des droits dans le pilote du codec audio HTC

Une faille d'escalade de privilèges dans le pilote du codec audio HTC pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-6778 A-31384646* Élevée Nexus 9 25 février 2016
CVE-2016-6779 A-31386004* Élevée Nexus 9 25 février 2016
CVE-2016-6780 A-31251496* Élevée Nexus 9 30 août 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Vulnérabilité d'élévation de privilège dans le pilote MediaTek

Une faille d'escalade de privilèges dans le pilote MediaTek peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-6492 A-28175122
MT-ALPS02696413		 Élevée Aucun* 11 avril 2016
CVE-2016-6781 A-31095175
MT-ALPS02943455		 Élevée Aucun* 22 août 2016
CVE-2016-6782 A-31224389
MT-ALPS02943506		 Élevée Aucun* 24 août 2016
CVE-2016-6783 A-31350044
MT-ALPS02943437		 Élevée Aucun* Sep 6, 2016
CVE-2016-6784 A-31350755
MT-ALPS02961424		 Élevée Aucun* Sep 6, 2016
CVE-2016-6785 A-31748056
MT-ALPS02961400		 Élevée Aucun* 25 septembre 2016

* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.

Faille d'élévation des droits dans les codecs multimédias Qualcomm

Une faille d'escalade de privilèges dans les codecs multimédias Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme critique, car il pourrait être utilisé pour accéder localement à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-6761 A-29421682*
QC-CR#1055792		 Élevée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel et Pixel XL 16 juin 2016
CVE-2016-6760 A-29617572*
QC-CR#1055783		 Élevée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel et Pixel XL 23 juin 2016
CVE-2016-6759 A-29982686*
QC-CR#1055766		 Élevée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel et Pixel XL Jul 4, 2016
CVE-2016-6758 A-30148882*
QC-CR#1071731		 Élevée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel et Pixel XL 13 juillet 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Vulnérabilité d'élévation des droits dans le pilote de la caméra Qualcomm

Une faille d'élévation des privilèges dans le pilote de la caméra Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-6755 A-30740545
QC-CR#1065916		 Élevée Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel et Pixel XL 3 août 2016

Vulnérabilité d'élévation de privilège dans le sous-système de performances du noyau

Une faille d'élévation des privilèges dans le sous-système de performances du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-6786 A-30955111 Noyau en amont Élevée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel et Pixel XL 18 août 2016
CVE-2016-6787 A-31095224 Kernel en amont Élevée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel et Pixel XL 22 août 2016

Vulnérabilité d'élévation de privilège dans le pilote I2C MediaTek

Une faille d'escalade de privilèges dans le pilote I2C MediaTek peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-6788 A-31224428
MT-ALPS02943467		 Élevée Aucun* 24 août 2016

* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.

Vulnérabilité d'élévation des droits dans la bibliothèque libomx de NVIDIA

Une faille d'élévation des privilèges dans la bibliothèque libomx (libnvomx) de NVIDIA pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme critique, car il pourrait être utilisé pour accéder localement à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-6789 A-31251973*
N-CVE-2016-6789		 Élevée Pixel C 29 août 2016
CVE-2016-6790 A-31251628*
N-CVE-2016-6790		 Élevée Pixel C 28 août 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Vulnérabilité d'élévation de privilège dans le pilote audio Qualcomm

Une faille d'élévation des privilèges dans le pilote audio Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-6791 A-31252384
QC-CR#1071809		 Élevée Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel et Pixel XL 31 août 2016
CVE-2016-8391 A-31253255
QC-CR#1072166		 Élevée Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel et Pixel XL 31 août 2016
CVE-2016-8392 A-31385862
QC-CR#1073136		 Élevée Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel et Pixel XL 8 septembre 2016

Vulnérabilité d'élévation de privilège dans le sous-système de sécurité du noyau

Une faille d'élévation des privilèges dans le sous-système de sécurité du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2015-7872 A-31253168
Noyau en amont		 Élevée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel et Pixel XL 31 août 2016

Vulnérabilité d'élévation de privilège dans le pilote d'écran tactile Synaptics

Une faille d'élévation des privilèges dans le pilote d'écran tactile Synaptics peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8393 A-31911920* Élevée Nexus 5X, Nexus 6P, Nexus 9, Android One, Pixel et Pixel XL 8 septembre 2016
CVE-2016-8394 A-31913197* Élevée Nexus 9, Android One 8 septembre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom

Une faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2014-9909 A-31676542
B-RB#26684		 Élevée Aucun* Sep 21, 2016
CVE-2014-9910 A-31746399
B-RB#26710		 Élevée Aucun* Sep 26, 2016

* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.

Faille de divulgation d'informations dans le pilote vidéo MediaTek

Une faille de divulgation d'informations dans le pilote vidéo MediaTek peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme étant grave, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation explicite de l'utilisateur.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8396 A-31249105 Élevée Aucun* 26 août 2016

* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.

Faille de divulgation d'informations dans le pilote vidéo NVIDIA

Une faille de divulgation d'informations dans le pilote vidéo NVIDIA peut permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour accéder à des données sensibles sans l'autorisation explicite de l'utilisateur.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8397 A-31385953*
N-CVE-2016-8397		 Élevée Nexus 9 8 septembre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Faille de déni de service dans le GPS

Une faille de déni de service dans le composant GPS Qualcomm peut permettre à un pirate informatique à distance de provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme grave en raison de la possibilité d'un déni de service à distance temporaire.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-5341 A-31470303* Élevée Nexus 6, Nexus 5X, Nexus 6P, Nexus 9, Android One, Pixel et Pixel XL 21 juin 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Vulnérabilité de déni de service dans le pilote de la caméra NVIDIA

Une faille de déni de service dans le pilote de la caméra NVIDIA peut permettre à un pirate informatique de provoquer un déni de service local permanent, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil. Ce problème est classé comme "Élevé" en raison de la possibilité d'un déni de service local permanent.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8395 A-31403040*
N-CVE-2016-8395		 Élevée Pixel C 9 septembre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Vulnérabilité d'élévation des privilèges dans le sous-système de mise en réseau du noyau

Une faille d'élévation des privilèges dans le sous-système de mise en réseau du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié, et les optimisations actuelles du compilateur limitent l'accès au code vulnérable.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8399 A-31349935* Modérée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel et Pixel XL 5 septembre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Faille de divulgation d'informations dans les composants Qualcomm

Une faille de divulgation d'informations dans les composants Qualcomm, y compris le pilote de l'appareil photo et le pilote vidéo, peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-6756 A-29464815
QC-CR#1042068 [2]		 Modérée Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel et Pixel XL 17 juin 2016
CVE-2016-6757 A-30148242
QC-CR#1052821		 Modérée Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL 13 juillet 2016

Faille de divulgation d'informations dans la bibliothèque librm de NVIDIA

Une faille de divulgation d'informations dans la bibliothèque librm (libnvrm) de NVIDIA peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8400 A-31251599*
N-CVE-2016-8400		 Modérée Pixel C 29 août 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Faille de divulgation d'informations dans les composants du kernel

Une faille de divulgation d'informations dans les composants du noyau, y compris le sous-système ION, Binder, le pilote USB et le sous-système réseau, peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8401 A-31494725* Modérée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel et Pixel XL 13 septembre 2016
CVE-2016-8402 A-31495231* Modérée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel et Pixel XL 13 septembre 2016
CVE-2016-8403 A-31495348* Modérée Nexus 9 13 septembre 2016
CVE-2016-8404 A-31496950* Modérée Nexus 9 13 septembre 2016
CVE-2016-8405 A-31651010* Modérée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel et Pixel XL Sep 21, 2016
CVE-2016-8406 A-31796940* Modérée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel et Pixel XL Sep 27, 2016
CVE-2016-8407 A-31802656* Modérée Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel et Pixel XL 28 septembre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Faille de divulgation d'informations dans le pilote vidéo NVIDIA

Une faille de divulgation d'informations dans le pilote vidéo NVIDIA peut permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8408 A-31496571*
N-CVE-2016-8408		 Modérée Nexus 9 13 septembre 2016
CVE-2016-8409 A-31495687*
N-CVE-2016-8409		 Modérée Nexus 9 13 septembre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.

Faille de divulgation d'informations dans le pilote audio Qualcomm

Une faille de divulgation d'informations dans le pilote audio Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8410 A-31498403
QC-CR#987010		 Modérée Nexus 5X, Nexus 6, Nexus 6P et Android One Réservé à Google

Questions fréquentes et réponses

Cette section répond aux questions fréquentes qui peuvent se poser après la lecture de ce bulletin.

1. Comment savoir si mon appareil a été mis à jour pour résoudre ces problèmes ?

Pour savoir comment vérifier le niveau du correctif de sécurité d'un appareil, consultez les instructions sur le calendrier de mise à jour des Pixel et Nexus.

  • Les niveaux de correctif de sécurité du 01/12/2016 ou version ultérieure corrigent tous les problèmes associés au niveau de correctif de sécurité du 01/12/2016.
  • Les niveaux de correctif de sécurité du 05/12/2016 ou version ultérieure corrigent tous les problèmes associés au niveau de correctif de sécurité du 05/12/2016 et à tous les niveaux de correctif précédents.

Les fabricants d'appareils qui incluent ces mises à jour doivent définir le niveau de la chaîne de correctif sur:

  • [ro.build.version.security_patch]:[2016-12-01]
  • [ro.build.version.security_patch]:[2016-12-05]

2. Pourquoi ce bulletin comporte-t-il deux niveaux de correctifs de sécurité ?

Ce bulletin comporte deux niveaux de correctifs de sécurité afin que les partenaires Android aient la possibilité de corriger plus rapidement un sous-ensemble de failles similaires sur tous les appareils Android. Nous encourageons les partenaires Android à corriger tous les problèmes de ce bulletin et à utiliser le dernier niveau de correctif de sécurité.

  • Les appareils qui utilisent le niveau du correctif de sécurité du 1er décembre 2016 doivent inclure tous les problèmes associés à ce niveau de correctif de sécurité, ainsi que les correctifs de tous les problèmes signalés dans les bulletins de sécurité précédents.
  • Les appareils qui utilisent le niveau de correctif de sécurité du 5 décembre 2016 ou version ultérieure doivent inclure tous les correctifs applicables dans ce bulletin de sécurité (et les précédents).

Les partenaires sont invités à regrouper les correctifs de tous les problèmes qu'ils résolvent dans une seule mise à jour.

3. Comment déterminer les appareils Google concernés par chaque problème ?

Dans les sections d'informations sur les failles de sécurité 2016-12-01 et 2016-12-05, chaque tableau comporte une colonne Appareils Google mis à jour qui couvre la gamme d'appareils Google concernés par chaque problème. Cette colonne propose plusieurs options:

  • Tous les appareils Google: si un problème affecte tous les appareils et les appareils Pixel, la colonne Appareils Google mis à jour indique "Tous". "Tout" encapsule les appareils compatibles suivants: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel et Pixel XL.
  • Certains appareils Google: si un problème n'affecte pas tous les appareils Google, les appareils Google concernés sont listés dans la colonne Appareils Google mis à jour.
  • Aucun appareil Google: si aucun appareil Google équipé d'Android 7.0 n'est concerné par le problème, la colonne Appareils Google mis à jour indique "Aucun".

4. À quoi correspondent les entrées de la colonne "Références" ?

Les entrées de la colonne Références du tableau des détails des failles peuvent contenir un préfixe identifiant l'organisation à laquelle la valeur de référence appartient. Ces préfixes sont mappés comme suit:

Préfixe Référence
A- ID du bug Android
QC- Numéro de référence Qualcomm
M- Numéro de référence MediaTek
N- Numéro de référence NVIDIA
B- Numéro de référence Broadcom

Révisions

  • 5 décembre 2016: publication du bulletin.
  • 7 décembre 2016: le bulletin a été révisé pour inclure des liens vers AOSP et mettre à jour l'attribution pour CVE-2016-6915, CVE-2016-6916 et CVE-2016-6917.
  • 21 décembre 2016: correction des fautes de frappe dans la description de la faille CVE-2016-8411 et dans les questions fréquentes et réponses.