Sicherheitsbulletin für Android – Januar 2017

Veröffentlicht am 3. Januar 2017 | Aktualisiert am 2. Februar 2017

Das Android-Sicherheitsbulletin enthält Details zu Sicherheitslücken, die Android-Geräte betreffen. Neben dem Bulletin haben wir ein Sicherheitsupdate für Google-Geräte als Over-the-air-Update (OTA-Update) veröffentlicht. Die Firmware-Images für Google-Geräte wurden auch auf der Google-Entwicklerwebsite veröffentlicht. Mit den Sicherheits-Patch-Levels vom 5. Januar 2017 oder höher werden alle diese Probleme behoben. Im Updatezeitplan für Google Pixel und Nexus erfahren Sie, wie Sie den Sicherheitspatch-Level eines Geräts prüfen.

Partner wurden am 5. Dezember 2016 oder früher über die in diesem Bulletin beschriebenen Probleme informiert. Quellcode-Patches für diese Probleme wurden im Repository des Android Open Source Project (AOSP) veröffentlicht und über dieses Bulletin verlinkt. Dieses Bulletin enthält auch Links zu Patches außerhalb von AOSP.

Das schwerwiegendste dieser Probleme ist eine kritische Sicherheitslücke, die die Ausführung von Remote-Code auf einem betroffenen Gerät über mehrere Methoden wie E-Mail, Web-Browsing und MMS bei der Verarbeitung von Mediendateien ermöglichen könnte. Die Bewertung des Schweregrads basiert auf der Auswirkung, die die Ausnutzung der Sicherheitslücke auf ein betroffenes Gerät haben könnte, vorausgesetzt, die Plattform- und Dienstmitigationen sind zu Entwicklungszwecken deaktiviert oder werden erfolgreich umgangen.

Uns liegen keine Berichte über eine aktive Ausnutzung oder einen Missbrauch dieser neu gemeldeten Probleme durch Kunden vor. Im Abschnitt Abhilfemaßnahmen für Android- und Google-Dienste finden Sie Details zu den Sicherheitsmechanismen der Android-Plattform und zu Dienstmechanismen wie SafetyNet, die die Sicherheit der Android-Plattform verbessern.

Wir empfehlen allen Kunden, diese Updates auf ihren Geräten zu akzeptieren.

Ankündigungen

  • Dieses Bulletin enthält zwei Strings für die Sicherheitspatchebene, damit Android-Partner eine Reihe von Sicherheitslücken, die auf allen Android-Geräten ähnlich sind, schneller schließen können. Weitere Informationen finden Sie unter Häufig gestellte Fragen und Antworten:
    • 2017-01-01: Teilstring für das Sicherheitspatch-Level. Dieser String für die Sicherheits-Patchebene gibt an, dass alle Probleme im Zusammenhang mit dem 01.01.2017 (und allen vorherigen Strings für die Sicherheits-Patchebene) behoben wurden.
    • 2017-01-05: Vollständiger String für den Stand der Sicherheitsupdates. Dieser String für die Sicherheits-Patchebene gibt an, dass alle Probleme im Zusammenhang mit dem 01.01.2017 und dem 05.01.2017 (und alle vorherigen Strings für die Sicherheits-Patchebene) behoben wurden.
  • Unterstützte Google-Geräte erhalten ein einziges OTA-Update mit dem Sicherheitspatch vom 5. Januar 2017.

Zusammenfassung der Sicherheitslücke

In den folgenden Tabellen finden Sie eine Liste von Sicherheitslücken, die CVE-ID (Common Vulnerabilities and Exposures), die beurteilte Schwere und ob Google-Geräte betroffen sind. Die Schweregradbewertung basiert auf der Auswirkung, die die Ausnutzung der Sicherheitslücke auf ein betroffenes Gerät haben könnte, vorausgesetzt, die Plattform- und Dienstmitigationen sind zu Entwicklungszwecken deaktiviert oder werden erfolgreich umgangen.

Es wurden keine Benachrichtigungen zu Android- und Google-Diensten gesendet.

Hier finden Sie eine Zusammenfassung der Schutzmaßnahmen, die von der Android-Sicherheitsplattform und Dienstschutzmaßnahmen wie SafetyNet bereitgestellt werden. Diese Funktionen verringern die Wahrscheinlichkeit, dass Sicherheitslücken auf Android-Geräten erfolgreich ausgenutzt werden können.

  • Die Ausnutzung vieler Probleme auf Android wird durch Verbesserungen in neueren Versionen der Android-Plattform erschwert. Wir empfehlen allen Nutzern, nach Möglichkeit auf die neueste Android-Version zu aktualisieren.
  • Das Android-Sicherheitsteam überwacht mit Verify Apps und SafetyNet aktiv den Missbrauch, um Nutzer vor potenziell schädlichen Apps zu warnen. „Apps überprüfen“ ist auf Geräten mit Google Mobile Services standardmäßig aktiviert und ist besonders wichtig für Nutzer, die Apps außerhalb von Google Play installieren. Rooting-Tools für Geräte sind bei Google Play nicht zulässig. Verify Apps warnt Nutzer jedoch, wenn sie versuchen, eine erkannte Rooting-App zu installieren – unabhängig davon, woher sie stammt. Außerdem versucht „Apps überprüfen“, die Installation bekannter schädlicher Anwendungen zu erkennen und zu blockieren, die eine Sicherheitslücke bei der Berechtigungserweiterung ausnutzen. Wenn eine solche Anwendung bereits installiert ist, wird der Nutzer von „Apps überprüfen“ benachrichtigt und die erkannte Anwendung wird entfernt.
  • Die Google Hangouts- und Messenger-Apps geben Medien nicht automatisch an Prozesse wie den Mediaserver weiter.

Danksagungen

Wir möchten uns bei den folgenden Forschern für ihre Beiträge bedanken:

Wir möchten uns auch bei den folgenden Forschern für ihren Beitrag zu diesem Bulletin bedanken:

  • Baozeng Ding, Chengming Yang, Peng Xiao, Ning You, Yang Dong, Chao Yang, Yi Zhang und Yang Song von der Alibaba Mobile Security Group
  • Peter Pi (@heisecode) von Trend Micro
  • Zubin Mithra von Google

Sicherheitspatch-Level vom 01.01.2017 – Details zur Sicherheitslücke

In den folgenden Abschnitten finden Sie Details zu den einzelnen Sicherheitslücken, die für das Patchlevel vom 01.01.2017 gelten. Es gibt eine Beschreibung des Problems, eine Begründung für den Schweregrad und eine Tabelle mit dem CVE, den zugehörigen Referenzen, dem Schweregrad, aktualisierten Google-Geräten, aktualisierten AOSP-Versionen (falls zutreffend) und dem Meldedatum. Sofern verfügbar, verlinken wir die öffentliche Änderung, mit der das Problem behoben wurde, mit der Fehler-ID, z. B. in der AOSP-Änderungsliste. Wenn sich mehrere Änderungen auf einen einzelnen Fehler beziehen, sind zusätzliche Verweise mit Zahlen verknüpft, die auf die Fehler-ID folgen.

Sicherheitslücke bei der Remote-Codeausführung in c-ares

Eine Sicherheitslücke zur Remote-Codeausführung in c-ares kann es einem Angreifer ermöglichen, mit einer speziell erstellten Anfrage beliebigen Code im Kontext eines nicht privilegierten Prozesses auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da eine Remote-Codeausführung in einer Anwendung möglich ist, die diese Bibliothek verwendet.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2016-5180 A-32205736 Hoch Alle 7 29. September 2016

Sicherheitslücke bei der Codeausführung per Fernzugriff in Framesequence

Eine Sicherheitslücke bei der Remote-Codeausführung in der Framesequence-Bibliothek könnte es einem Angreifer ermöglichen, mit einer speziell erstellten Datei beliebigen Code im Kontext eines nicht privilegierten Prozesses auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da eine Remote-Codeausführung in einer Anwendung möglich ist, die die Framesequence-Bibliothek verwendet.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2017-0382 A-32338390 Hoch Alle 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 21. Oktober 2016

Sicherheitslücke durch Erhöhung der Berechtigungen in Framework-APIs

Eine Sicherheitslücke zur Erhöhung von Berechtigungen in den Framework-APIs kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext eines privilegierten Prozesses auszuführen. Dieses Problem hat die Bewertung „Hoch“, da es dazu verwendet werden könnte, lokalen Zugriff auf erweiterte Funktionen zu erhalten, auf die normalerweise keine Drittanbieteranwendung zugreifen kann.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2017-0383 A-31677614 Hoch Alle 7.0, 7.1.1 21. September 2016

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im Audioserver

Eine Sicherheitslücke zur Erhöhung von Berechtigungen in Audioserver kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext eines privilegierten Prozesses auszuführen. Dieses Problem hat die Bewertung „Hoch“, da es dazu verwendet werden könnte, lokalen Zugriff auf erweiterte Funktionen zu erhalten, auf die normalerweise keine Drittanbieteranwendung zugreifen kann.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2017-0384 A-32095626 Hoch Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 11. Oktober 2016
CVE-2017-0385 A-32585400 Hoch Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 11. Oktober 2016

Sicherheitslücke in libnl, die eine Rechteausweitung ermöglicht

Eine Sicherheitslücke zur Erhöhung von Berechtigungen in der libnl-Bibliothek kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext eines privilegierten Prozesses auszuführen. Dieses Problem hat die Bewertung „Hoch“, da es dazu verwendet werden könnte, lokalen Zugriff auf erweiterte Funktionen zu erhalten, auf die normalerweise keine Drittanbieteranwendung zugreifen kann.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2017-0386 A-32255299 Hoch Alle 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 18. Oktober 2016

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im Mediaserver

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Mediaserver kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext eines privilegierten Prozesses auszuführen. Dieses Problem hat die Bewertung „Hoch“, da es dazu verwendet werden könnte, lokalen Zugriff auf erweiterte Funktionen zu erhalten, auf die normalerweise keine Drittanbieteranwendung zugreifen kann.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2017-0387 A-32660278 Hoch Alle 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 4. November 2016

Sicherheitslücke beim externen Speicheranbieter, die zur Offenlegung von Informationen führt

Eine Sicherheitslücke beim externen Speicheranbieter könnte es einem lokalen sekundären Nutzer ermöglichen, Daten von einer SD-Karte für externen Speicher zu lesen, die vom Hauptnutzer eingelegt wurde. Dieses Problem hat die Bewertung „Hoch“, da es dazu verwendet werden könnte, ohne Berechtigung auf Daten zuzugreifen.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2017-0388 A-32523490 Hoch Alle 6.0, 6.0.1, 7.0, 7.1.1 Google intern

Denial-of-Service-Sicherheitslücke im Kernnetzwerk

Eine Denial-of-Service-Sicherheitslücke im Kernnetzwerk kann es einem Remote-Angreifer ermöglichen, mit einem speziell erstellten Netzwerkpaket einen Geräte-Absturz oder -Neustart zu verursachen. Dieses Problem wird aufgrund der Möglichkeit eines Remote-Denial-of-Service-Angriffs als „Hoch“ eingestuft.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2017-0389 A-31850211 [2] [3] Hoch Alle 6.0, 6.0.1, 7.0, 7.1.1 20. Juli 2016

Denial-of-Service-Sicherheitslücke im Mediaserver

Eine Denial-of-Service-Sicherheitslücke im Mediaserver kann es einem Remote-Angreifer ermöglichen, mit einer speziell erstellten Datei einen Geräte-Absturz oder -Neustart zu verursachen. Dieses Problem wird aufgrund der Möglichkeit eines Remote-Denial-of-Service-Angriffs als „Hoch“ eingestuft.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2017-0390 A-31647370 Hoch Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 19. September 2016
CVE-2017-0391 A-32322258 Hoch Alle 6.0, 6.0.1, 7.0, 7.1.1 20. Oktober 2016
CVE-2017-0392 A-32577290 Hoch Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 29. Oktober 2016
CVE-2017-0393 A-30436808 Hoch Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Google intern

Denial-of-Service-Sicherheitslücke in der Telefonie

Eine Denial-of-Service-Sicherheitslücke in der Telefonie kann es einem Remote-Angreifer ermöglichen, ein Gerät zum Absturz zu bringen oder neu zu starten. Dieses Problem wird aufgrund der Möglichkeit eines Remote-Denial-of-Service-Angriffs als „Hoch“ eingestuft.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2017-0394 A-31752213 Hoch Alle 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 23. September 2016

Sicherheitslücke in Google Kontakte, die eine Rechteausweitung ermöglicht

Eine Sicherheitslücke in der App „Kontakte“ zur Erhöhung von Berechtigungen könnte es einer schädlichen lokalen Anwendung ermöglichen, Kontaktdaten im Hintergrund zu erstellen. Dieses Problem wird als mäßig eingestuft, da es sich um eine lokale Umgehung der Anforderungen an die Nutzerinteraktion handelt (Zugriff auf Funktionen, die normalerweise entweder vom Nutzer initiiert oder vom Nutzer genehmigt werden müssen).

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2017-0395 A-32219099 Moderat Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 15. Oktober 2016

Sicherheitslücke beim Offenlegen von Informationen im Mediaserver

Eine Sicherheitslücke im Mediaserver kann es einer schädlichen lokalen Anwendung ermöglichen, auf Daten außerhalb ihrer Berechtigungsebenen zuzugreifen. Dieses Problem wird als mäßig eingestuft, da es dazu verwendet werden könnte, ohne Erlaubnis auf sensible Daten zuzugreifen.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2017-0381 A-31607432 Moderat Alle 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 18. September 2016
CVE-2017-0396 A-31781965 Moderat Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 27. September 2016
CVE-2017-0397 A-32377688 Moderat Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 21. Oktober 2016

Sicherheitslücke beim Offenlegen von Informationen im Audioserver

Eine Sicherheitslücke in Audioserver, die zur Offenlegung von Informationen führt, könnte es einer schädlichen lokalen Anwendung ermöglichen, auf Daten außerhalb ihrer Berechtigungsebenen zuzugreifen. Dieses Problem wird als mäßig eingestuft, da es dazu verwendet werden könnte, ohne Erlaubnis auf sensible Daten zuzugreifen.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2017-0398 A-32438594 Moderat Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25. Oktober 2016
CVE-2017-0398 A-32635664 Moderat Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25. Oktober 2016
CVE-2017-0398 A-32624850 Moderat Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25. Oktober 2016
CVE-2017-0399 A-32247948 [2] Moderat Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 18. Oktober 2016
CVE-2017-0400 A-32584034 [2] Moderat Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25. Oktober 2016
CVE-2017-0401 A-32448258 Moderat Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 26. Oktober 2016
CVE-2017-0402 A-32436341 [2] Moderat Alle 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25. Oktober 2016

Sicherheitspatch-Level vom 05.01.2017 – Details zur Sicherheitslücke

In den folgenden Abschnitten finden Sie Details zu den einzelnen Sicherheitslücken, die für das Patch-Level vom 05.01.2017 gelten. Es gibt eine Beschreibung des Problems, eine Begründung für den Schweregrad und eine Tabelle mit dem CVE, den zugehörigen Referenzen, dem Schweregrad, aktualisierten Google-Geräten, aktualisierten AOSP-Versionen (falls zutreffend) und dem Meldedatum. Sofern verfügbar, verlinken wir die öffentliche Änderung, mit der das Problem behoben wurde, mit der Fehler-ID, z. B. in der AOSP-Änderungsliste. Wenn sich mehrere Änderungen auf einen einzelnen Fehler beziehen, sind zusätzliche Verweise mit Zahlen verknüpft, die auf die Fehler-ID folgen.

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im Kernel-Speicher-Subsystem

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Kernel-Speichersubsystem kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da es zu einer dauerhaften lokalen Manipulation des Geräts kommen kann, was zur Reparatur des Geräts möglicherweise ein Neuflashen des Betriebssystems erfordert.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2015-3288 A-32460277
Upstream-Kernel		 Kritisch Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 9. Juli 2015

Sicherheitslücke vom Typ „Rechteausweitung“ im Qualcomm-Bootloader

Eine Sicherheitslücke zur Erhöhung der Berechtigungen im Qualcomm-Bootloader kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da es zu einer dauerhaften lokalen Manipulation des Geräts kommen kann, was zur Reparatur des Geräts möglicherweise ein Neuflashen des Betriebssystems erfordert.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8422 A-31471220
QC-CR#979426		 Kritisch Nexus 6, Nexus 6P, Pixel, Pixel XL 22. Juli 2016
CVE-2016-8423 A-31399736
QC-CR#1000546		 Kritisch Nexus 6P, Pixel, Pixel XL 24. August 2016

Sicherheitslücke vom Typ „Rechteausweitung“ im Kerneldateisystem

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Kernel-Dateisystem kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da es zu einer dauerhaften lokalen Manipulation des Geräts kommen kann, was zur Reparatur des Geräts möglicherweise ein Neuflashen des Betriebssystems erfordert.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2015-5706 A-32289301
Upstream-Kernel		 Kritisch Keine* 1. August 2016

* Unterstützte Google-Geräte mit Android 7.0 oder höher, auf denen alle verfügbaren Updates installiert sind, sind von dieser Sicherheitslücke nicht betroffen.

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im NVIDIA-GPU-Treiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im NVIDIA-GPU-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da es zu einer dauerhaften lokalen Manipulation des Geräts kommen kann, was zur Reparatur des Geräts möglicherweise ein Neuflashen des Betriebssystems erfordert.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8424 A-31606947*
N-CVE-2016-8424		 Kritisch Nexus 9 17. September 2016
CVE-2016-8425 A-31797770*
N-CVE-2016-8425		 Kritisch Nexus 9 28. September 2016
CVE-2016-8426 A-31799206*
N-CVE-2016-8426		 Kritisch Nexus 9 28. September 2016
CVE-2016-8482 A-31799863*
N-CVE-2016-8482		 Kritisch Nexus 9 28. September 2016
CVE-2016-8427 A-31799885*
N-CVE-2016-8427		 Kritisch Nexus 9 28. September 2016
CVE-2016-8428 A-31993456*
N-CVE-2016-8428		 Kritisch Nexus 9 6. Oktober 2016
CVE-2016-8429 A-32160775*
N-CVE-2016-8429		 Kritisch Nexus 9 13. Oktober 2016
CVE-2016-8430 A-32225180*
N-CVE-2016-8430		 Kritisch Nexus 9 17. Oktober 2016
CVE-2016-8431 A-32402179*
N-CVE-2016-8431		 Kritisch Pixel C 25. Oktober 2016
CVE-2016-8432 A-32447738*
N-CVE-2016-8432		 Kritisch Pixel C 26. Oktober 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke vom Typ „Rechteausweitung“ im MediaTek-Treiber

Eine Sicherheitslücke zur Berechtigungseskalierung im MediaTek-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da es zu einer dauerhaften lokalen Manipulation des Geräts kommen kann, was zur Reparatur des Geräts möglicherweise ein Neuflashen des Betriebssystems erfordert.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8433 A-31750190*
MT-ALPS02974192		 Kritisch Keine** 24. September 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

** Unterstützte Google-Geräte mit Android 7.0 oder höher, auf denen alle verfügbaren Updates installiert sind, sind von dieser Sicherheitslücke nicht betroffen.

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im Qualcomm-GPU-Treiber

Eine Sicherheitslücke zur Erhöhung der Berechtigungen im Qualcomm-GPU-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da es zu einer dauerhaften lokalen Manipulation des Geräts kommen kann, was zur Reparatur des Geräts möglicherweise ein Neuflashen des Betriebssystems erfordert.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8434 A-32125137
QC-CR#1081855		 Kritisch Nexus 5X, Nexus 6, Nexus 6P, Android One 12. Oktober 2016

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im NVIDIA-GPU-Treiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im NVIDIA-GPU-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da es zu einer dauerhaften lokalen Manipulation des Geräts kommen kann, was zur Reparatur des Geräts möglicherweise ein Neuflashen des Betriebssystems erfordert.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8435 A-32700935*
N-CVE-2016-8435		 Kritisch Pixel C 7. November 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im Qualcomm-Videotreiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Videotreiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da es zu einer dauerhaften lokalen Manipulation des Geräts kommen kann, was zur Reparatur des Geräts möglicherweise ein Neuflashen des Betriebssystems erfordert.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8436 A-32450261
QC-CR#1007860		 Kritisch Keine* 13. Oktober 2016

* Unterstützte Google-Geräte mit Android 7.0 oder höher, auf denen alle verfügbaren Updates installiert sind, sind von dieser Sicherheitslücke nicht betroffen.

Sicherheitslücken in Qualcomm-Komponenten

Die folgenden Sicherheitslücken betreffen Qualcomm-Komponenten und werden in den Sicherheitsbulletins von Qualcomm AMSS November 2015, August 2016, September 2016 und Oktober 2016 ausführlicher beschrieben.

CVE Referenzen Schweregrad* Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8438 A-31624565** Kritisch Keine*** Qualcomm intern
CVE-2016-8442 A-31625910** Kritisch Keine*** Qualcomm intern
CVE-2016-8443 A-32576499** Kritisch Keine*** Qualcomm intern
CVE-2016-8437 A-31623057** Hoch Keine*** Qualcomm intern
CVE-2016-8439 A-31625204** Hoch Keine*** Qualcomm intern
CVE-2016-8440 A-31625306** Hoch Keine*** Qualcomm intern
CVE-2016-8441 A-31625904** Hoch Keine*** Qualcomm intern
CVE-2016-8398 A-31548486** Hoch Nexus 5X, Nexus 6, Nexus 6P, Android One Qualcomm intern
CVE-2016-8459 A-32577972** Hoch Keine*** Qualcomm intern
CVE-2016-5080 A-31115235** Moderat Nexus 5X Qualcomm intern

* Die Bewertung des Schweregrads dieser Sicherheitslücken wurde vom Anbieter festgelegt.

** Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

*** Unterstützte Google-Geräte mit Android 7.0 oder höher, auf denen alle verfügbaren Updates installiert sind, sind von dieser Sicherheitslücke nicht betroffen.

Sicherheitslücke vom Typ „Rechteausweitung“ in der Qualcomm-Kamera

Eine Sicherheitslücke zur Erhöhung von Berechtigungen in der Qualcomm-Kamera kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8412 A-31225246
QC-CR#1071891		 Hoch Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 26. August 2016
CVE-2016-8444 A-31243641*
QC-CR#1074310		 Hoch Nexus 5X, Nexus 6, Nexus 6P 26. August 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke vom Typ „Rechteausweitung“ in MediaTek-Komponenten

Eine Sicherheitslücke zur Erhöhung von Berechtigungen in MediaTek-Komponenten, einschließlich des thermischen und des Videotreibers, kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8445 A-31747590*
MT-ALPS02968983		 Hoch Keine** 25. September 2016
CVE-2016-8446 A-31747749*
MT-ALPS02968909		 Hoch Keine** 25. September 2016
CVE-2016-8447 A-31749463*
MT-ALPS02968886		 Hoch Keine** 25. September 2016
CVE-2016-8448 A-31791148*
MT-ALPS02982181		 Hoch Keine** 28. September 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

** Unterstützte Google-Geräte mit Android 7.0 oder höher, auf denen alle verfügbaren Updates installiert sind, sind von dieser Sicherheitslücke nicht betroffen.

Sicherheitslücke vom Typ „Rechteausweitung“ im Qualcomm-WLAN-Treiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Wi‑Fi-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8415 A-31750554
QC-CR#1079596		 Hoch Nexus 5X, Pixel, Pixel XL 26. September 2016

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im NVIDIA-GPU-Treiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im NVIDIA-GPU-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8449 A-31798848*
N-CVE-2016-8449		 Hoch Nexus 9 28. September 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke vom Typ „Rechteausweitung“ im Qualcomm-Treiber für Audio

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Soundtreiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8450 A-32450563
QC-CR#880388		 Hoch Nexus 5X, Nexus 6, Nexus 6P, Android One 13. Oktober 2016

Sicherheitslücke im Synaptics-Touchscreen-Treiber, die eine Rechteausweitung ermöglicht

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Synaptics-Touchscreen-Treiber könnte es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8451 A-32178033* Hoch Keine** 13. Oktober 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

** Unterstützte Google-Geräte mit Android 7.0 oder höher, auf denen alle verfügbaren Updates installiert sind, sind von dieser Sicherheitslücke nicht betroffen.

Sicherheitslücke vom Typ „Rechteausweitung“ im Kernel-Sicherheitssystem

Eine Sicherheitslücke im Kernel-Sicherheitsuntersystem, die eine Erhöhung der Berechtigungen ermöglicht, könnte es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-7042 A-32178986
Upstream-Kernel		 Hoch Pixel C 14. Oktober 2016

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im Kernel-Leistungsuntersystem

Eine Sicherheitslücke vom Typ „Erhöhung der Berechtigungen“ im Kernel-Leistungsuntersystem kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2017-0403 A-32402548* Hoch Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 25. Oktober 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im Kernel-Sound-Subsystem

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Kernel-Sound-Subsystem kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2017-0404 A-32510733* Hoch Nexus 5X, Nexus 6P, Nexus 9, Pixel C, Nexus Player, Pixel, Pixel XL 27. Oktober 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke vom Typ „Rechteausweitung“ im Qualcomm-WLAN-Treiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Wi‑Fi-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8452 A-32506396
QC-CR#1050323		 Hoch Nexus 5X, Android One, Pixel, Pixel XL 28. Oktober 2016

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im Qualcomm-Funktreiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Funktreiber könnte es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-5345 A-32639452
QC-CR#1079713		 Hoch Android One 3. November 2016

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im Kernel-Profilierungs-Subsystem

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Kernel-Profilierungs-Subsystem kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-9754 A-32659848
Upstream-Kernel		 Hoch Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player 4. November 2016

Sicherheitslücke zur Rechteausweitung im Broadcom-WLAN-Treiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Broadcom-WLAN-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8453 A-24739315*
B-RB#73392		 Hoch Nexus 6 Google intern
CVE-2016-8454 A-32174590*
B-RB#107142		 Hoch Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 14. Oktober 2016
CVE-2016-8455 A-32219121*
B-RB#106311		 Hoch Nexus 6P 15. Oktober 2016
CVE-2016-8456 A-32219255*
B-RB#105580		 Hoch Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 15. Oktober 2016
CVE-2016-8457 A-32219453*
B-RB#106116		 Hoch Nexus 6, Nexus 6P, Nexus 9, Pixel C 15. Oktober 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke im Synaptics-Touchscreen-Treiber, die eine Rechteausweitung ermöglicht

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Synaptics-Touchscreen-Treiber könnte es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8458 A-31968442* Hoch Nexus 5X, Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL Google intern

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke im NVIDIA-Grafiktreiber, die zur Offenlegung von Informationen führt

Eine Sicherheitslücke im NVIDIA-Videotreiber kann es einer lokalen schädlichen Anwendung ermöglichen, auf Daten zuzugreifen, die außerhalb ihrer Berechtigungsebenen liegen. Dieses Problem wird als „Hoch“ eingestuft, da es dazu verwendet werden könnte, ohne explizite Nutzererlaubnis auf sensible Daten zuzugreifen.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8460 A-31668540*
N-CVE-2016-8460		 Hoch Nexus 9 21. September 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke im Bootloader, die zur Offenlegung von Informationen führt

Eine Sicherheitslücke im Bootloader, die zur Offenlegung von Informationen führt, könnte es einem lokalen Angreifer ermöglichen, auf Daten zuzugreifen, die außerhalb seiner Berechtigungsebene liegen. Dieses Problem hat die Bewertung „Hoch“, da es zum Zugriff auf sensible Daten verwendet werden könnte.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8461 A-32369621* Hoch Nexus 9, Pixel, Pixel XL 21. Oktober 2016
CVE-2016-8462 A-32510383* Hoch Pixel/Pixel XL 27. Oktober 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Denial-of-Service-Sicherheitslücke im Qualcomm FUSE-Dateisystem

Eine Denial-of-Service-Sicherheitslücke im Qualcomm FUSE-Dateisystem kann es einem Remote-Angreifer ermöglichen, mit einer speziell erstellten Datei einen Geräte-Absturz oder -Neustart zu verursachen. Dieses Problem wird aufgrund der Möglichkeit eines Remote-Denial-of-Service-Angriffs als „Hoch“ eingestuft.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8463 A-30786860
QC-CR#586855		 Hoch Keine* 3. Januar 2014

* Unterstützte Google-Geräte mit Android 7.0 oder höher, auf denen alle verfügbaren Updates installiert sind, sind von dieser Sicherheitslücke nicht betroffen.

Denial-of-Service-Sicherheitslücke im Bootloader

Eine Denial-of-Service-Sicherheitslücke im Bootloader kann es einem Angreifer ermöglichen, eine lokale dauerhafte Dienstverweigerung zu verursachen, was zur Reparatur des Geräts möglicherweise ein Neuflashen des Betriebssystems erfordert. Dieses Problem wird aufgrund der Möglichkeit einer lokalen dauerhaften Dienstverweigerung als „Hoch“ eingestuft.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8467 A-30308784* Hoch Nexus 6, Nexus 6P 29. Juni 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke zur Rechteausweitung im Broadcom-WLAN-Treiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Broadcom-WLAN-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als mäßig eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss und es durch aktuelle Plattformkonfigurationen abgeschwächt wird.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8464 A-29000183*
B-RB#106314		 Moderat Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 26. Mai 2016
CVE-2016-8466 A-31822524*
B-RB#105268		 Moderat Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 28. September 2016
CVE-2016-8465 A-32474971*
B-RB#106053		 Moderat Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 27. Oktober 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ in Binder

Eine Sicherheitslücke zur Erhöhung von Berechtigungen in Binder könnte es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext eines privilegierten Prozesses auszuführen. Dieses Problem wird als mäßig eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss und es durch aktuelle Plattformkonfigurationen abgeschwächt wird.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8468 A-32394425* Moderat Pixel C, Pixel, Pixel XL Google intern

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke beim Offenlegen von Informationen im NVIDIA-Kameratreiber

Eine Sicherheitslücke im Kameratreiber kann es einer schädlichen lokalen Anwendung ermöglichen, auf Daten zuzugreifen, die außerhalb ihrer Berechtigungsebenen liegen. Dieses Problem wird als mittel eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8469 A-31351206*
N-CVE-2016-8469		 Moderat Nexus 9 7. September 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke zur Offenlegung von Informationen im MediaTek-Treiber

Eine Sicherheitslücke im MediaTek-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, auf Daten außerhalb ihrer Berechtigungsebenen zuzugreifen. Dieses Problem wird als mittel eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8470 A-31528889*
MT-ALPS02961395		 Moderat Keine** 15. September 2016
CVE-2016-8471 A-31528890*
MT-ALPS02961380		 Moderat Keine** 15. September 2016
CVE-2016-8472 A-31531758*
MT-ALPS02961384		 Moderat Keine** 15. September 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

** Unterstützte Google-Geräte mit Android 7.0 oder höher, auf denen alle verfügbaren Updates installiert sind, sind von dieser Sicherheitslücke nicht betroffen.

Sicherheitslücke zur Offenlegung von Informationen im STMicroelectronics-Treiber

Eine Sicherheitslücke im STMicroelectronics-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, auf Daten außerhalb ihrer Berechtigungsebenen zuzugreifen. Dieses Problem wird als mäßig eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8473 A-31795790* Moderat Nexus 5X, Nexus 6P 28. September 2016
CVE-2016-8474 A-31799972* Moderat Nexus 5X, Nexus 6P 28. September 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke beim Qualcomm-Audio-Nachbearbeitungsprozess

Eine Sicherheitslücke im Qualcomm-Audio-Postprozessor könnte es einer lokalen schädlichen Anwendung ermöglichen, auf Daten außerhalb ihrer Berechtigungsebenen zuzugreifen. Dieses Problem wird als mäßig eingestuft, da es dazu verwendet werden könnte, ohne Berechtigung auf sensible Daten zuzugreifen.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2017-0399 A-32588756 [2] Moderat Alle 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 18. Oktober 2016
CVE-2017-0400 A-32438598 [2] Moderat Alle 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25. Oktober 2016
CVE-2017-0401 A-32588016 Moderat Alle 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 26. Oktober 2016
CVE-2017-0402 A-32588352 [2] Moderat Alle 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25. Oktober 2016

Sicherheitslücke bei der Offenlegung von Informationen im HTC-Eingabetreiber

Eine Sicherheitslücke im Eingabetreiber von HTC kann es einer lokalen schädlichen Anwendung ermöglichen, auf Daten außerhalb ihrer Berechtigungsebenen zuzugreifen. Dieses Problem wird als mittel eingestuft, da zuerst ein privilegierter Prozess manipuliert werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2016-8475 A-32591129* Moderat Pixel/Pixel XL 30. Oktober 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Denial-of-Service-Sicherheitslücke im Kernel-Dateisystem

Eine Denial-of-Service-Sicherheitslücke im Kernel-Dateisystem kann es einer lokalen schädlichen Anwendung ermöglichen, ein Gerät zum Absturz zu bringen oder neu zu starten. Dieses Problem wird als mäßig eingestuft, da es sich um eine vorübergehende Dienstverweigerung handelt, die durch ein Zurücksetzen auf die Werkseinstellungen behoben werden muss.

CVE Referenzen Schweregrad Aktualisierte Google-Geräte Datum der Meldung
CVE-2014-9420 A-32477499
Upstream-Kernel		 Moderat Pixel C 25. Dezember 2014

Häufig gestellte Fragen und Antworten

In diesem Abschnitt werden häufige Fragen zu diesem Bulletin beantwortet.

1. Wie finde ich heraus, ob mein Gerät entsprechend aktualisiert wurde?

Eine Anleitung zum Prüfen des Sicherheitspatches eines Geräts finden Sie im Updatezeitplan für Google Pixel und Nexus.

  • Mit den Sicherheitspatch-Levels vom 01.01.2017 oder höher werden alle Probleme behoben, die mit dem Sicherheitspatch-Level vom 01.01.2017 zusammenhängen.
  • Mit den Sicherheits-Patch-Stufen vom 05.01.2017 oder höher werden alle Probleme behoben, die mit der Sicherheits-Patch-Stufe vom 05.01.2017 und allen vorherigen Patch-Stufen zusammenhängen.

Gerätehersteller, die diese Updates einbinden, sollten die Patch-Stringebene auf Folgendes festlegen:

  • [ro.build.version.security_patch]:[2017-01-01]
  • [ro.build.version.security_patch]:[2017-01-05]

2. Warum gibt es in diesem Bulletin zwei Sicherheits-Patch-Stufen?

Dieses Bulletin enthält zwei Sicherheitspatch-Stufen, damit Android-Partner eine Reihe von Sicherheitslücken, die auf allen Android-Geräten ähnlich sind, schneller schließen können. Android-Partner werden aufgefordert, alle in diesem Bulletin aufgeführten Probleme zu beheben und den neuesten Sicherheitspatch zu verwenden.

  • Auf Geräten mit dem Stand des Sicherheitspatches vom 1. Januar 2017 müssen alle mit diesem Sicherheitspatch-Level verbundenen Probleme behoben sein. Außerdem müssen alle in früheren Sicherheitsbulletins gemeldeten Probleme behoben sein.
  • Auf Geräten mit dem Sicherheitspatch-Level vom 5. Januar 2017 oder höher müssen alle anwendbaren Patches aus diesem und früheren Sicherheitsbulletins installiert sein.

Wir empfehlen Partnern, die Korrekturen für alle behobenen Probleme in einem einzigen Update zusammenzufassen.

3. Wie finde ich heraus, welche Google-Geräte von den einzelnen Problemen betroffen sind?

In den Abschnitten mit Details zu den Sicherheitslücken vom 01.01.2017 und 05.01.2017 enthält jede Tabelle die Spalte Aktualisierte Google-Geräte, in der die betroffenen Google-Geräte aufgeführt sind, die für jedes Problem aktualisiert wurden. Für diese Spalte gibt es einige Optionen:

  • Alle Google-Geräte: Wenn ein Problem alle Google-Geräte und Pixel-Geräte betrifft, wird in der Tabelle in der Spalte Aktualisierte Google-Geräte „Alle“ angezeigt. „Alle“ umfasst die folgenden unterstützten Geräte: Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel und Pixel XL.
  • Einige Google-Geräte: Wenn sich ein Problem nicht auf alle Google-Geräte auswirkt, werden die betroffenen Google-Geräte in der Spalte Aktualisierte Google-Geräte aufgeführt.
  • Keine Google-Geräte: Wenn das Problem keine Google-Geräte mit der neuesten verfügbaren Android-Version betrifft, wird in der Tabelle in der Spalte Aktualisierte Google-Geräte „Keine“ angezeigt.

4. Worauf beziehen sich die Einträge in der Spalte „Referenzen“?

Einträge in der Spalte Referenzen der Tabelle mit den Details zur Sicherheitslücke können ein Präfix enthalten, das die Organisation angibt, zu der der Referenzwert gehört. Diese Präfixe werden wie folgt zugeordnet:

Präfix Verweise
A- Android-Fehler-ID
QC- Qualcomm-Referenznummer
M- MediaTek-Referenznummer
N- NVIDIA-Referenznummer
B- Broadcom-Referenznummer

Überarbeitungen

  • 3. Januar 2017: Veröffentlichung des Bulletins.
  • 4. Januar 2017: Das Bulletin wurde überarbeitet und enthält jetzt AOSP-Links.
  • 5. Januar 2017: Die AOSP-Versionsnummer wurde von 7.1 auf 7.1.1 korrigiert.
  • 12. Januar 2017: Duplikateintrag für CVE-2016-8467 entfernt.
  • 24. Januar 2017: Beschreibung und Schweregrad von CVE-2017-0381 aktualisiert.
  • 2. Februar 2017: CVE-2017-0389 wurde um einen zusätzlichen Patchlink ergänzt.