Bulletin sur la sécurité d'Android : janvier 2017

Publié le 3 janvier 2017 | Mis à jour le 2 février 2017

Le bulletin de sécurité Android contient des informations sur les failles de sécurité affectant les appareils Android. En plus de ce bulletin, nous avons publié une mise à jour de sécurité pour les appareils Google via une mise à jour Over The Air (OTA). Les images du micrologiciel des appareils Google ont également été publiées sur le site des développeurs Google. Les niveaux de correctif de sécurité du 5 janvier 2017 ou version ultérieure résolvent tous ces problèmes. Consultez le calendrier de mise à jour des Pixel et Nexus pour savoir comment vérifier le niveau du correctif de sécurité d'un appareil.

Les partenaires ont été informés des problèmes décrits dans le bulletin le 5 décembre 2016 ou avant. Des correctifs de code source pour ces problèmes ont été publiés dans le dépôt du projet Android Open Source (AOSP) et sont disponibles en lien depuis ce bulletin. Ce bulletin inclut également des liens vers des correctifs en dehors d'AOSP.

Le plus grave de ces problèmes est une faille de sécurité critique qui pourrait permettre l'exécution de code à distance sur un appareil affecté via plusieurs méthodes, telles que la messagerie, la navigation sur le Web et les MMS lors du traitement de fichiers multimédias. L'évaluation de la gravité est basée sur l'impact potentiel de l'exploitation de la faille sur un appareil concerné, en supposant que les mesures d'atténuation de la plate-forme et du service soient désactivées à des fins de développement ou qu'elles soient contournées.

Nous n'avons reçu aucun signalement d'exploitation ou d'utilisation abusive active de ces problèmes récemment signalés par les clients. Consultez la section Mitigations des services Android et Google pour en savoir plus sur les protections de la plate-forme de sécurité Android et les protections de services telles que SafetyNet, qui améliorent la sécurité de la plate-forme Android.

Nous encourageons tous les clients à accepter ces mises à jour sur leurs appareils.

Annonces

  • Ce bulletin contient deux chaînes de niveau de correctif de sécurité afin de permettre aux partenaires Android de corriger plus rapidement un sous-ensemble de failles similaires sur tous les appareils Android. Pour en savoir plus, consultez les questions fréquentes et réponses :
    • 2017-01-01: chaîne partielle du niveau du correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2017-01-01 (et à toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
    • 2017-01-05: chaîne complète du niveau du correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2017-01-01 et 2017-01-05 (et à toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
  • Les appareils Google compatibles recevront une seule mise à jour OTA avec le niveau de correctif de sécurité du 5 janvier 2017.

Récapitulatif des failles de sécurité

Les tableaux ci-dessous contiennent une liste de failles de sécurité, l'ID CVE (Common Vulnerability and Exposures), la gravité évaluée et si les appareils Google sont concernés ou non. L'évaluation de la gravité est basée sur l'impact potentiel de l'exploitation de la faille sur un appareil concerné, en supposant que les mesures d'atténuation de la plate-forme et du service soient désactivées à des fins de développement ou qu'elles soient contournées.

Mitigations des services Android et Google

Voici un résumé des mesures d'atténuation fournies par la plate-forme de sécurité Android et les protections de service, telles que SafetyNet. Ces fonctionnalités réduisent la probabilité que des failles de sécurité puissent être exploitées avec succès sur Android.

  • L'exploitation de nombreux problèmes sur Android est rendue plus difficile par les améliorations apportées aux versions plus récentes de la plate-forme Android. Nous encourageons tous les utilisateurs à passer à la dernière version d'Android dans la mesure du possible.
  • L'équipe Android Security surveille activement les utilisations abusives à l'aide de Verify Apps et SafetyNet, qui sont conçus pour avertir les utilisateurs des applications potentiellement dangereuses. Vérifier les applications est activé par défaut sur les appareils équipés des services mobiles Google. Il est particulièrement important pour les utilisateurs qui installent des applications en dehors de Google Play. Les outils de rootage d'appareils sont interdits sur Google Play, mais Vérifier les applications avertit les utilisateurs lorsqu'ils tentent d'installer une application de rootage détectée, quelle que soit son origine. De plus, Verify Apps tente d'identifier et de bloquer l'installation d'applications malveillantes connues qui exploitent une faille d'escalade de privilèges. Si une telle application a déjà été installée, Vérifier les applications en informe l'utilisateur et tente de la supprimer.
  • Le cas échéant, les applications Google Hangouts et Messenger ne transfèrent pas automatiquement les contenus multimédias à des processus tels que Mediaserver.

Remerciements

Nous tenons à remercier ces chercheurs pour leur contribution:

Nous tenons également à remercier les chercheurs suivants pour leur contribution à ce bulletin:

  • Baozeng Ding, Chengming Yang, Peng Xiao, Ning You, Yang Dong, Chao Yang, Yi Zhang et Yang Song du groupe de sécurité mobile d'Alibaba
  • Peter Pi (@heisecode) de Trend Micro
  • Zubin Mithra de Google

Niveau du correctif de sécurité 01/01/2017 : détails de la faille

Dans les sections ci-dessous, nous fournissons des informations sur chacune des failles de sécurité qui s'appliquent au niveau de correctif 2017-01-01. Vous trouverez une description du problème, une justification de la gravité et un tableau contenant l'ID de la faille CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsque disponible, nous associerons la modification publique qui a résolu le problème à l'ID du bug, comme dans la liste des modifications AOSP. Lorsque plusieurs modifications concernent un même bug, des références supplémentaires sont associées à des numéros qui suivent l'ID du bug.

Vulnérabilité d'exécution de code à distance dans c-ares

Une faille d'exécution de code à distance dans c-ares peut permettre à un pirate informatique utilisant une requête spécialement conçue d'exécuter du code arbitraire dans le contexte d'un processus non privilégié. Ce problème est classé comme "Élevé" en raison de la possibilité d'exécution de code à distance dans une application qui utilise cette bibliothèque.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2016-5180 A-32205736 Élevée Tous 7.0 29 septembre 2016

Vulnérabilité d'exécution de code à distance dans Framesequence

Une faille d'exécution de code à distance dans la bibliothèque Framesequence peut permettre à un pirate informatique utilisant un fichier spécialement conçu d'exécuter du code arbitraire dans le contexte d'un processus non privilégié. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans une application qui utilise la bibliothèque Framesequence.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2017-0382 A-32338390 Élevée Tous 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 21 oct. 2016

Faille d'élévation de privilège dans les API du framework

Une faille d'escalade de privilèges dans les API du framework peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour obtenir un accès local à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2017-0383 A-31677614 Élevée Tous 7.0, 7.1.1 Sep 21, 2016

Vulnérabilité d'élévation des privilèges dans Audioserver

Une faille d'escalade de privilèges dans Audioserver peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour obtenir un accès local à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2017-0384 A-32095626 Élevée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 11 octobre 2016
CVE-2017-0385 A-32585400 Élevée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 11 octobre 2016

Vulnérabilité d'élévation des privilèges dans libnl

Une faille d'escalade de privilèges dans la bibliothèque libnl pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour obtenir un accès local à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2017-0386 A-32255299 Élevée Tous 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Oct 18, 2016

Faille d'élévation de privilège dans Mediaserver

Une faille d'escalade de privilèges dans Mediaserver peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour obtenir un accès local à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2017-0387 A-32660278 Élevée Tous 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Nov 4, 2016

Vulnérabilité de divulgation d'informations dans le fournisseur de stockage externe

Une faille de divulgation d'informations dans le fournisseur de stockage externe peut permettre à un utilisateur secondaire local de lire les données d'une carte SD de stockage externe insérée par l'utilisateur principal. Ce problème est classé comme étant de niveau élevé, car il pourrait être utilisé pour accéder aux données sans autorisation.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2017-0388 A-32523490 Élevée Tous 6.0, 6.0.1, 7.0, 7.1.1 Réservé à Google

Vulnérabilité de déni de service dans le réseau principal

Une faille de déni de service dans le réseau principal peut permettre à un pirate informatique distant d'utiliser un paquet réseau spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme critique en raison de la possibilité d'un déni de service à distance.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2017-0389 A-31850211 [2] [3] Élevée Tous 6.0, 6.0.1, 7.0, 7.1.1 20 juillet 2016

Vulnérabilité de déni de service dans Mediaserver

Une faille de déni de service dans Mediaserver peut permettre à un pirate informatique distant d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme "Élevé" en raison de la possibilité d'une attaque par déni de service à distance.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2017-0390 A-31647370 Élevée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 19 septembre 2016
CVE-2017-0391 A-32322258 Élevée Tous 6.0, 6.0.1, 7.0, 7.1.1 20 oct. 2016
CVE-2017-0392 A-32577290 Élevée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 29 octobre 2016
CVE-2017-0393 A-30436808 Élevée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Réservé à Google

Vulnérabilité de déni de service dans la téléphonie

Une faille de déni de service dans la téléphonie peut permettre à un pirate informatique à distance de provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme grave en raison de la possibilité d'attaque par déni de service à distance.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2017-0394 A-31752213 Élevée Tous 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 23 septembre 2016

Vulnérabilité d'élévation des droits dans Contacts

Une faille d'escalade de privilèges dans Contacts peut permettre à une application malveillante locale de créer des informations de contact de manière silencieuse. Ce problème est classé comme modéré, car il s'agit d'un contournement local des exigences d'interaction utilisateur (accès à une fonctionnalité qui nécessite normalement l'initiation ou l'autorisation de l'utilisateur).

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2017-0395 A-32219099 Modérée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Oct 15, 2016

Faille de divulgation d'informations dans Mediaserver

Une faille de divulgation d'informations dans Mediaserver peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2017-0381 A-31607432 Modérée Tous 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 18 septembre 2016
CVE-2017-0396 A-31781965 Modérée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Sep 27, 2016
CVE-2017-0397 A-32377688 Modérée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 21 oct. 2016

Faille de divulgation d'informations dans Audioserver

Une faille de divulgation d'informations dans Audioserver peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2017-0398 A-32438594 Modérée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25 octobre 2016
CVE-2017-0398 A-32635664 Modérée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25 octobre 2016
CVE-2017-0398 A-32624850 Modérée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25 octobre 2016
CVE-2017-0399 A-32247948 [2] Modérée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Oct 18, 2016
CVE-2017-0400 A-32584034 [2] Modérée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25 octobre 2016
CVE-2017-0401 A-32448258 Modérée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 26 octobre 2016
CVE-2017-0402 A-32436341 [2] Modérée Tous 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25 octobre 2016

Niveau du correctif de sécurité 2017-01-05 : détails de la faille

Dans les sections ci-dessous, nous fournissons des informations sur chacune des failles de sécurité qui s'appliquent au niveau de correctif 05/01/2017. Vous trouverez une description du problème, une justification de la gravité et un tableau contenant l'ID de la faille CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsque disponible, nous associerons la modification publique qui a résolu le problème à l'ID du bug, comme dans la liste des modifications AOSP. Lorsque plusieurs modifications concernent un même bug, des références supplémentaires sont associées à des numéros qui suivent l'ID du bug.

Vulnérabilité d'élévation de privilège dans le sous-système de mémoire du kernel

Une faille d'élévation des privilèges dans le sous-système de mémoire du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2015-3288 A-32460277
Noyau en amont		 Critical (Critique) Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel C, Nexus Player, Pixel et Pixel XL 9 juillet 2015

Faille d'élévation des droits dans le bootloader Qualcomm

Une faille d'élévation des privilèges dans le bootloader Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8422 A-31471220
QC-CR#979426		 Critical (Critique) Nexus 6, Nexus 6P, Pixel, Pixel XL 22 juillet 2016
CVE-2016-8423 A-31399736
QC-CR#1000546		 Critical (Critique) Nexus 6P, Pixel, Pixel XL 24 août 2016

Vulnérabilité d'élévation des droits dans le système de fichiers du kernel

Une faille d'élévation des privilèges dans le système de fichiers du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2015-5706 A-32289301
Noyau en amont		 Critical (Critique) Aucun* 1er août 2016

* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.

Vulnérabilité d'escalade de privilèges dans le pilote de GPU NVIDIA

Une faille d'escalade de privilèges dans le pilote de GPU NVIDIA peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8424 A-31606947*
N-CVE-2016-8424		 Critical (Critique) Nexus 9 17 septembre 2016
CVE-2016-8425 A-31797770*
N-CVE-2016-8425		 Critical (Critique) Nexus 9 28 septembre 2016
CVE-2016-8426 A-31799206*
N-CVE-2016-8426		 Critical (Critique) Nexus 9 28 septembre 2016
CVE-2016-8482 A-31799863*
N-CVE-2016-8482		 Critical (Critique) Nexus 9 28 septembre 2016
CVE-2016-8427 A-31799885*
N-CVE-2016-8427		 Critical (Critique) Nexus 9 28 septembre 2016
CVE-2016-8428 A-31993456*
N-CVE-2016-8428		 Critical (Critique) Nexus 9 6 oct. 2016
CVE-2016-8429 A-32160775*
N-CVE-2016-8429		 Critical (Critique) Nexus 9 13 oct. 2016
CVE-2016-8430 A-32225180*
N-CVE-2016-8430		 Critical (Critique) Nexus 9 17 octobre 2016
CVE-2016-8431 A-32402179*
N-CVE-2016-8431		 Critical (Critique) Pixel C 25 octobre 2016
CVE-2016-8432 A-32447738*
N-CVE-2016-8432		 Critical (Critique) Pixel C 26 octobre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Vulnérabilité d'élévation de privilège dans le pilote MediaTek

Une faille d'escalade de privilèges dans le pilote MediaTek peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8433 A-31750190*
MT-ALPS02974192		 Critical (Critique) Aucun** 24 septembre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.

Vulnérabilité d'escalade de privilèges dans le pilote de GPU Qualcomm

Une faille d'élévation des privilèges dans le pilote de GPU Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8434 A-32125137
QC-CR#1081855		 Critical (Critique) Nexus 5X, Nexus 6, Nexus 6P et Android One 12 oct. 2016

Vulnérabilité d'escalade de privilèges dans le pilote de GPU NVIDIA

Une faille d'escalade de privilèges dans le pilote de GPU NVIDIA peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8435 A-32700935*
N-CVE-2016-8435		 Critical (Critique) Pixel C Nov 7, 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Vulnérabilité d'escalade de privilèges dans le pilote vidéo Qualcomm

Une faille d'élévation des privilèges dans le pilote vidéo Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8436 A-32450261
QC-CR#1007860		 Critical (Critique) Aucun* 13 oct. 2016

* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.

Failles dans les composants Qualcomm

Les failles suivantes affectent les composants Qualcomm et sont décrites plus en détail dans les bulletins de sécurité Qualcomm AMSS de novembre 2015, août 2016, septembre 2016 et octobre 2016.

CVE Références Gravité* Appareils Google mis à jour Date de signalement
CVE-2016-8438 A-31624565** Critical (Critique) Aucun*** Interne Qualcomm
CVE-2016-8442 A-31625910** Critical (Critique) Aucun*** Interne Qualcomm
CVE-2016-8443 A-32576499** Critical (Critique) Aucun*** Interne Qualcomm
CVE-2016-8437 A-31623057** Élevée Aucun*** Interne Qualcomm
CVE-2016-8439 A-31625204** Élevée Aucun*** Interne Qualcomm
CVE-2016-8440 A-31625306** Élevée Aucun*** Interne Qualcomm
CVE-2016-8441 A-31625904** Élevée Aucun*** Interne Qualcomm
CVE-2016-8398 A-31548486** Élevée Nexus 5X, Nexus 6, Nexus 6P et Android One Interne Qualcomm
CVE-2016-8459 A-32577972** Élevée Aucun*** Interne Qualcomm
CVE-2016-5080 A-31115235** Modérée Nexus 5X Interne Qualcomm

* Le niveau de gravité de ces failles a été déterminé par le fournisseur.

** Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

*** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.

Faille d'élévation des droits dans la caméra Qualcomm

Une faille d'escalade de privilèges dans l'appareil photo Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8412 A-31225246
QC-CR#1071891		 Élevée Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel et Pixel XL 26 août 2016
CVE-2016-8444 A-31243641*
QC-CR#1074310		 Élevée Nexus 5X, Nexus 6, Nexus 6P 26 août 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Faille d'élévation de privilège dans les composants MediaTek

Une faille d'escalade de privilèges dans les composants MediaTek, y compris le pilote thermique et le pilote vidéo, pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8445 A-31747590*
MT-ALPS02968983		 Élevée Aucun** 25 septembre 2016
CVE-2016-8446 A-31747749*
MT-ALPS02968909		 Élevée Aucun** 25 septembre 2016
CVE-2016-8447 A-31749463*
MT-ALPS02968886		 Élevée Aucun** 25 septembre 2016
CVE-2016-8448 A-31791148*
MT-ALPS02982181		 Élevée Aucun** 28 septembre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.

Vulnérabilité d'élévation de privilège dans le pilote Wi-Fi Qualcomm

Une faille d'élévation des privilèges dans le pilote Wi-Fi Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8415 A-31750554
QC-CR#1079596		 Élevée Nexus 5X, Pixel, Pixel XL Sep 26, 2016

Vulnérabilité d'escalade de privilèges dans le pilote de GPU NVIDIA

Une faille d'escalade de privilèges dans le pilote de GPU NVIDIA peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8449 A-31798848*
N-CVE-2016-8449		 Élevée Nexus 9 28 septembre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Vulnérabilité d'élévation de privilège dans le pilote audio Qualcomm

Une faille d'élévation des privilèges dans le pilote audio Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8450 A-32450563
QC-CR#880388		 Élevée Nexus 5X, Nexus 6, Nexus 6P et Android One 13 oct. 2016

Vulnérabilité d'élévation de privilège dans le pilote d'écran tactile Synaptics

Une faille d'élévation des privilèges dans le pilote d'écran tactile Synaptics peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8451 A-32178033* Élevée Aucun** 13 oct. 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.

Vulnérabilité d'élévation de privilège dans le sous-système de sécurité du noyau

Une faille d'élévation des privilèges dans le sous-système de sécurité du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-7042 A-32178986
Noyau en amont		 Élevée Pixel C 14 oct. 2016

Vulnérabilité d'élévation de privilège dans le sous-système de performances du noyau

Une faille d'élévation des privilèges dans le sous-système de performances du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2017-0403 A-32402548* Élevée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel et Pixel XL 25 octobre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Vulnérabilité d'élévation des droits dans le sous-système audio du kernel

Une faille d'élévation de privilège dans le sous-système audio du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2017-0404 A-32510733* Élevée Nexus 5X, Nexus 6P, Nexus 9, Pixel C, Nexus Player, Pixel et Pixel XL 27 octobre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Vulnérabilité d'élévation de privilège dans le pilote Wi-Fi Qualcomm

Une faille d'élévation des privilèges dans le pilote Wi-Fi Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8452 A-32506396
QC-CR#1050323		 Élevée Nexus 5X, Android One, Pixel, Pixel XL 28 octobre 2016

Vulnérabilité d'élévation des droits dans le pilote radio Qualcomm

Une faille d'escalade de privilèges dans le pilote radio Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-5345 A-32639452
QC-CR#1079713		 Élevée Android One 3 nov. 2016

Faille d'élévation des droits dans le sous-système de profilage du noyau

Une faille d'élévation des privilèges dans le sous-système de profilage du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-9754 A-32659848
Noyau en amont		 Élevée Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C et Nexus Player Nov 4, 2016

Faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom

Une faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8453 A-24739315*
B-RB#73392		 Élevée Nexus 6 Réservé à Google
CVE-2016-8454 A-32174590*
B-RB#107142		 Élevée Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player 14 oct. 2016
CVE-2016-8455 A-32219121*
B-RB#106311		 Élevée Nexus 6P Oct 15, 2016
CVE-2016-8456 A-32219255*
B-RB#105580		 Élevée Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player Oct 15, 2016
CVE-2016-8457 A-32219453*
B-RB#106116		 Élevée Nexus 6, Nexus 6P, Nexus 9 et Pixel C Oct 15, 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Vulnérabilité d'élévation de privilège dans le pilote d'écran tactile Synaptics

Une faille d'élévation des privilèges dans le pilote d'écran tactile Synaptics peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8458 A-31968442* Élevée Nexus 5X, Nexus 6P, Nexus 9, Android One, Pixel et Pixel XL Réservé à Google

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Faille de divulgation d'informations dans le pilote vidéo NVIDIA

Une faille de divulgation d'informations dans le pilote vidéo NVIDIA peut permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour accéder à des données sensibles sans l'autorisation explicite de l'utilisateur.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8460 A-31668540*
N-CVE-2016-8460		 Élevée Nexus 9 Sep 21, 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Faille de divulgation d'informations dans le bootloader

Une faille de divulgation d'informations dans le bootloader peut permettre à un pirate informatique local d'accéder aux données en dehors de son niveau d'autorisation. Ce problème est classé comme "Élevé", car il peut être utilisé pour accéder à des données sensibles.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8461 A-32369621* Élevée Nexus 9, Pixel, Pixel XL 21 oct. 2016
CVE-2016-8462 A-32510383* Élevée Pixel, Pixel XL 27 octobre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Faille de déni de service dans le système de fichiers FUSE de Qualcomm

Une faille de déni de service dans le système de fichiers FUSE de Qualcomm peut permettre à un pirate informatique distant d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme critique en raison de la possibilité d'un déni de service à distance.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8463 A-30786860
QC-CR#586855		 Élevée Aucun* 3 janvier 2014

* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.

Faille de déni de service dans le bootloader

Une faille de déni de service dans le bootloader peut permettre à un pirate informatique de provoquer un déni de service permanent local, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil. Ce problème est classé comme critique en raison de la possibilité d'un déni de service permanent local.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8467 A-30308784* Élevée Nexus 6, Nexus 6P 29 juin 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom

Une faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié et est atténué par les configurations de plate-forme actuelles.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8464 A-29000183*
B-RB#106314		 Modérée Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player 26 mai 2016
CVE-2016-8466 A-31822524*
B-RB#105268		 Modérée Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player 28 septembre 2016
CVE-2016-8465 A-32474971*
B-RB#106053		 Modérée Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player 27 octobre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Faille d'élévation des droits dans Binder

Une faille d'escalade de privilèges dans Binder peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié et est atténué par les configurations actuelles de la plate-forme.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8468 A-32394425* Modérée Pixel C, Pixel, Pixel XL Réservé à Google

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Faille de divulgation d'informations dans le pilote de l'appareil photo NVIDIA

Une faille de divulgation d'informations dans le pilote de l'appareil photo peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8469 A-31351206*
N-CVE-2016-8469		 Modérée Nexus 9 7 septembre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Faille de divulgation d'informations dans le pilote MediaTek

Une faille de divulgation d'informations dans le pilote MediaTek peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8470 A-31528889*
MT-ALPS02961395		 Modérée Aucun** Sep 15, 2016
CVE-2016-8471 A-31528890*
MT-ALPS02961380		 Modérée Aucun** Sep 15, 2016
CVE-2016-8472 A-31531758*
MT-ALPS02961384		 Modérée Aucun** Sep 15, 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.

Faille de divulgation d'informations dans le pilote STMicroelectronics

Une faille de divulgation d'informations dans le pilote STMicroelectronics peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8473 A-31795790* Modérée Nexus 5X, Nexus 6P 28 septembre 2016
CVE-2016-8474 A-31799972* Modérée Nexus 5X, Nexus 6P 28 septembre 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Vulnérabilité de divulgation d'informations dans le post-processeur audio Qualcomm

Une faille de divulgation d'informations dans le post-processeur audio Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation.

CVE Références Niveau Appareils Google mis à jour Versions AOSP mises à jour Date de signalement
CVE-2017-0399 A-32588756 [2] Modérée Tous 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Oct 18, 2016
CVE-2017-0400 A-32438598 [2] Modérée Tous 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25 octobre 2016
CVE-2017-0401 A-32588016 Modérée Tous 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 26 octobre 2016
CVE-2017-0402 A-32588352 [2] Modérée Tous 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25 octobre 2016

Faille de divulgation d'informations dans le pilote d'entrée HTC

Une faille de divulgation d'informations dans le pilote d'entrée HTC peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2016-8475 A-32591129* Modérée Pixel, Pixel XL 30 oct. 2016

* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.

Faille de déni de service dans le système de fichiers du noyau

Une faille de déni de service dans le système de fichiers du noyau peut permettre à une application malveillante locale de provoquer un blocage ou un redémarrage de l'appareil. Ce problème est classé comme modéré, car il s'agit d'un déni de service temporaire qui nécessite une réinitialisation d'usine pour être résolu.

CVE Références Niveau Appareils Google mis à jour Date de signalement
CVE-2014-9420 A-32477499
Noyau en amont		 Modérée Pixel C 25 décembre 2014

Questions fréquentes et réponses

Cette section répond aux questions fréquentes qui peuvent se poser après la lecture de ce bulletin.

1. Comment savoir si mon appareil a été mis à jour pour résoudre ces problèmes ?

Pour savoir comment vérifier le niveau du correctif de sécurité d'un appareil, consultez les instructions sur le calendrier de mise à jour des Pixel et Nexus.

  • Les niveaux de correctif de sécurité du 01/01/2017 ou version ultérieure corrigent tous les problèmes associés au niveau de correctif de sécurité du 01/01/2017.
  • Les niveaux de correctifs de sécurité du 05/01/2017 ou version ultérieure corrigent tous les problèmes associés au niveau de correctif de sécurité du 05/01/2017 et à tous les niveaux de correctifs précédents.

Les fabricants d'appareils qui incluent ces mises à jour doivent définir le niveau de la chaîne de correctif sur:

  • [ro.build.version.security_patch]:[2017-01-01]
  • [ro.build.version.security_patch]:[2017-01-05]

2. Pourquoi ce bulletin comporte-t-il deux niveaux de correctifs de sécurité ?

Ce bulletin comporte deux niveaux de correctifs de sécurité afin que les partenaires Android aient la possibilité de corriger plus rapidement un sous-ensemble de failles similaires sur tous les appareils Android. Nous encourageons les partenaires Android à corriger tous les problèmes de ce bulletin et à utiliser le dernier niveau de correctif de sécurité.

  • Les appareils qui utilisent le niveau de correctif de sécurité du 1er janvier 2017 doivent inclure tous les problèmes associés à ce niveau de correctif de sécurité, ainsi que les correctifs de tous les problèmes signalés dans les bulletins de sécurité précédents.
  • Les appareils qui utilisent le niveau de correctif de sécurité du 5 janvier 2017 ou version ultérieure doivent inclure tous les correctifs applicables dans ce bulletin de sécurité (et les précédents).

Les partenaires sont invités à regrouper les correctifs de tous les problèmes qu'ils résolvent dans une seule mise à jour.

3. Comment déterminer les appareils Google concernés par chaque problème ?

Dans les sections sur les détails des failles de sécurité 01/01/2017 et 05/01/2017, chaque tableau comporte une colonne Appareils Google mis à jour qui couvre la plage d'appareils Google concernés par chaque problème. Cette colonne propose plusieurs options:

  • Tous les appareils Google: si un problème affecte tous les appareils et les appareils Pixel, la colonne Appareils Google mis à jour indique "Tous". "Tous" encapsule les appareils compatibles suivants: Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel et Pixel XL.
  • Certains appareils Google: si un problème n'affecte pas tous les appareils Google, les appareils Google concernés sont listés dans la colonne Appareils Google mis à jour.
  • Aucun appareil Google: si aucun appareil Google équipé de la dernière version disponible d'Android n'est concerné par le problème, la colonne Appareils Google mis à jour indique "Aucun".

4. À quoi correspondent les entrées de la colonne "Références" ?

Les entrées de la colonne Références du tableau des détails des failles peuvent contenir un préfixe identifiant l'organisation à laquelle la valeur de référence appartient. Ces préfixes sont mappés comme suit:

Préfixe Référence
A- ID du bug Android
QC- Numéro de référence Qualcomm
M- Numéro de référence MediaTek
N- Numéro de référence NVIDIA
B- Numéro de référence Broadcom

Révisions

  • 3 janvier 2017: publication du bulletin.
  • 4 janvier 2017: le bulletin a été modifié pour inclure des liens vers AOSP.
  • 5 janvier 2017: clarification du numéro de version AOSP de 7.1 à 7.1.1.
  • 12 janvier 2017: suppression de la doublure de l'entrée CVE-2016-8467.
  • 24 janvier 2017: mise à jour de la description et de la sévérité de la vulnérabilité CVE-2017-0381.
  • 2 février 2017: mise à jour de la faille CVE-2017-0389 avec un lien de correctif supplémentaire.