Biuletyn zabezpieczeń Androida — luty 2017 r.

Opublikowano 06 lutego 2017 | Zaktualizowano 8 lutego 2017 r.

Biuletyn Android Security Bulletin zawiera szczegółowe informacje na temat luk w zabezpieczeniach urządzeń z systemem Android. Wraz z biuletynem udostępniliśmy aktualizację zabezpieczeń urządzeń Google za pośrednictwem aktualizacji bezprzewodowej (OTA). Obrazy oprogramowania układowego urządzeń Google zostały również udostępnione w witrynie Google Developer . Wszystkie te problemy rozwiązują poziomy poprawek zabezpieczeń z 5 lutego 2017 r. lub nowsze. Zapoznaj się z harmonogramem aktualizacji Pixela i Nexusa, aby dowiedzieć się, jak sprawdzić poziom aktualizacji zabezpieczeń urządzenia.

Partnerzy zostali powiadomieni o problemach opisanych w biuletynie 3 stycznia 2017 r. lub wcześniej. Poprawki do kodu źródłowego dla tych problemów zostały udostępnione w repozytorium Android Open Source Project (AOSP) i połączone z tym biuletynem. Biuletyn ten zawiera również łącza do poprawek spoza AOSP.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach, która podczas przetwarzania plików multimedialnych może umożliwić zdalne wykonanie kodu na zaatakowanym urządzeniu za pomocą wielu metod, takich jak poczta e-mail, przeglądanie stron internetowych i MMS. Ocena dotkliwości opiera się na możliwym wpływie wykorzystania luki na urządzenie, którego dotyczy, przy założeniu, że platforma i usługi ograniczania zagrożeń są wyłączone w celach programistycznych lub pomyślnie ominięte.

Nie mieliśmy żadnych doniesień o aktywnym wykorzystywaniu lub nadużywaniu przez klientów tych nowo zgłoszonych problemów. Szczegółowe informacje na temat zabezpieczeń platformy Android i zabezpieczeń usług, takich jak SafetyNet , które poprawiają bezpieczeństwo platformy Android, można znaleźć w sekcji Ograniczenia ryzyka w usługach Android i Google .

Zachęcamy wszystkich klientów do zaakceptowania tych aktualizacji na swoich urządzeniach.

Ogłoszenia

  • Ten biuletyn zawiera dwa łańcuchy poziomów poprawek zabezpieczeń, aby zapewnić partnerom systemu Android elastyczność umożliwiającą szybsze naprawianie podzbioru luk, które są podobne na wszystkich urządzeniach z systemem Android. Zobacz Często zadawane pytania i odpowiedzi, aby uzyskać dodatkowe informacje:
    • 2017-02-01 : Częściowy ciąg poziomu poprawek zabezpieczeń. Ten ciąg poziomu poprawki zabezpieczeń wskazuje, że rozwiązano wszystkie problemy związane z 01.02.2017 (i wszystkimi poprzednimi ciągami poziomu poprawek zabezpieczeń).
    • 2017-02-05 : Kompletny ciąg poziomu poprawek zabezpieczeń. Ten ciąg poziomu poprawek zabezpieczeń wskazuje, że rozwiązano wszystkie problemy związane z 2017-02-01 i 2017-02-05 (oraz wszystkie poprzednie ciągi poziomów poprawek zabezpieczeń).
  • Obsługiwane urządzenia Google otrzymają pojedynczą aktualizację OTA z poziomem poprawki zabezpieczeń z 5 lutego 2017 r.

Ograniczenia w usługach Android i Google

To jest podsumowanie środków łagodzących zapewnianych przez platformę zabezpieczeń Androida i zabezpieczenia usług, takie jak SafetyNet. Te możliwości zmniejszają prawdopodobieństwo pomyślnego wykorzystania luk w zabezpieczeniach w systemie Android.

  • Wykorzystanie wielu problemów w systemie Android jest utrudnione przez ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników do aktualizacji do najnowszej wersji Androida tam, gdzie to możliwe.
  • Zespół Android Security aktywnie monitoruje nadużycia za pomocą funkcji Verify Apps i SafetyNet , które mają ostrzegać użytkowników o potencjalnie szkodliwych aplikacjach . Weryfikacja aplikacji jest domyślnie włączona na urządzeniach z usługami Google Mobile Services i jest szczególnie ważna dla użytkowników instalujących aplikacje spoza Google Play. Narzędzia do rootowania urządzeń są zabronione w Google Play, ale Weryfikacja aplikacji ostrzega użytkowników, gdy próbują zainstalować wykrytą aplikację do rootowania — bez względu na to, skąd pochodzi. Ponadto Verify Apps próbuje zidentyfikować i zablokować instalację znanych złośliwych aplikacji, które wykorzystują lukę w eskalacji uprawnień. Jeśli taka aplikacja została już zainstalowana, Verify Apps powiadomi użytkownika i podejmie próbę usunięcia wykrytej aplikacji.
  • W stosownych przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak Mediaserver.

Podziękowanie

Chcielibyśmy podziękować tym badaczom za ich wkład:

Chcielibyśmy również podziękować następującym osobom za ich wkład w ten biuletyn:

  • Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮) i Lenx Wei (韦韬) z Baidu X-Lab (百度安全实验室)

2017-02-01 Poziom poprawki zabezpieczeń — Szczegóły dotyczące luki w zabezpieczeniach

W poniższych sekcjach podajemy szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawki 2017-02-01. Znajduje się tam opis problemu, uzasadnienie ważności oraz tabela z CVE, powiązanymi odniesieniami, dotkliwością, zaktualizowanymi urządzeniami Google, zaktualizowanymi wersjami AOSP (jeśli dotyczy) i datą zgłoszenia. Gdy będzie to możliwe, połączymy publiczną zmianę, która dotyczyła problemu, z identyfikatorem błędu, takim jak lista zmian AOSP. Gdy wiele zmian dotyczy pojedynczego błędu, dodatkowe odnośniki są powiązane z liczbami następującymi po identyfikatorze błędu.

Luka umożliwiająca zdalne wykonanie kodu w Surfaceflinger

Luka w zabezpieczeniach programu Surfaceflinger umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej użycie specjalnie spreparowanego pliku do uszkodzenia pamięci podczas przetwarzania plików multimedialnych i danych. Ten problem jest oceniany jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście procesu Surfaceflinger.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0405 A-31960359 Krytyczny Wszystko 7,0, 7.1.1 4 paź 2016

Luka umożliwiająca zdalne wykonanie kodu w Mediaserver

Luka w zabezpieczeniach serwera Mediaserver umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej użycie specjalnie spreparowanego pliku do uszkodzenia pamięci podczas przetwarzania plików multimedialnych i danych. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście procesu Mediaserver.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0406 A-32915871 [ 2 ] Krytyczny Wszystko 6.0, 6.0.1, 7.0, 7.1.1 14 listopada 2016 r.
CVE-2017-0407 A-32873375 Krytyczny Wszystko 6.0, 6.0.1, 7.0, 7.1.1 12 listopada 2016

Luka umożliwiająca zdalne wykonanie kodu w libgdx

Luka w zabezpieczeniach biblioteki libgdx umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej za pomocą specjalnie spreparowanego pliku wykonanie dowolnego kodu w kontekście nieuprzywilejowanego procesu. Ten problem został oceniony jako Wysoki ze względu na możliwość zdalnego wykonania kodu w aplikacji korzystającej z tej biblioteki.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0408 A-32769670 Wysoki Wszystko 7.1.1 9 listopada 2016

Luka umożliwiająca zdalne wykonanie kodu w libstagefright

Luka w zabezpieczeniach biblioteki libstagefright umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej wykonanie dowolnego kodu w kontekście nieuprzywilejowanego procesu za pomocą specjalnie spreparowanego pliku. Ten problem został oceniony jako Wysoki ze względu na możliwość zdalnego wykonania kodu w aplikacji korzystającej z tej biblioteki.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0409 A-31999646 Wysoki Wszystko 6.0, 6.0.1, 7.0, 7.1.1 Google wewnętrzne

Podniesienie poziomu uprawnień w Java.Net

Podniesienie uprawnień w bibliotece Java.Net może umożliwić złośliwej zawartości sieci Web przekierowywanie użytkownika do innej witryny bez wyraźnego pozwolenia. Ten problem został oceniony jako wysoki, ponieważ jest to zdalne pominięcie wymagań dotyczących interakcji użytkownika.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2016-5552 A-31858037 Wysoki Wszystko 7,0, 7.1.1 30 wrz 2016

Podniesienie poziomu uprawnień w interfejsach API Framework

Luka umożliwiająca podniesienie uprawnień w interfejsach API platformy może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego. Ten problem jest oceniany jako wysoki, ponieważ może służyć do uzyskiwania lokalnego dostępu do podwyższonych funkcji, które zwykle nie są dostępne dla aplikacji innych firm.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0410 A-31929765 Wysoki Wszystko 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 2 paź 2016
CVE-2017-0411 A-33042690 [ 2 ] Wysoki Wszystko 7,0, 7.1.1 21 listopada 2016
CVE-2017-0412 A-33039926 [ 2 ] Wysoki Wszystko 7,0, 7.1.1 21 listopada 2016

Podwyższenie luki uprawnień w Mediaserver

Luka umożliwiająca podniesienie uprawnień w serwerze Mediaserver może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego. Ten problem jest oceniany jako wysoki, ponieważ może służyć do uzyskiwania lokalnego dostępu do podwyższonych funkcji, które zwykle nie są dostępne dla aplikacji innych firm.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0415 A-32706020 Wysoki Wszystko 6.0, 6.0.1, 7.0, 7.1.1 4 listopada 2016

Podwyższona luka uprawnień w Audioserver

Luka umożliwiająca podniesienie uprawnień w Audioserver może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście uprzywilejowanego procesu. Ten problem jest oceniany jako wysoki, ponieważ może służyć do uzyskiwania lokalnego dostępu do podwyższonych funkcji, które zwykle nie są dostępne dla aplikacji innych firm.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0416 A-32886609 [ 2 ] Wysoki Wszystko 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Google wewnętrzne
CVE-2017-0417 A-32705438 Wysoki Wszystko 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 7 listopada 2016
CVE-2017-0418 A-32703959 [ 2 ] Wysoki Wszystko 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 7 listopada 2016
CVE-2017-0419 A-32220769 Wysoki Wszystko 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 15 paź 2016

Luka umożliwiająca ujawnienie informacji w AOSP Mail

Luka umożliwiająca ujawnienie informacji w Poczcie AOSP może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji. Ten problem został oceniony jako wysoki, ponieważ może być wykorzystany do uzyskania dostępu do danych, do których aplikacja nie ma dostępu.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0420 A-32615212 Wysoki Wszystko 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 12 września 2016 r.

Luka umożliwiająca ujawnienie informacji w AOSP Messaging

Luka umożliwiająca ujawnienie informacji w AOSP Messaging może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji. Ten problem został oceniony jako wysoki, ponieważ może być wykorzystany do uzyskania dostępu do danych, do których aplikacja nie ma dostępu.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0413 A-32161610 Wysoki Wszystko 6.0, 6.0.1, 7.0, 7.1.1 13 października 2016 r.
CVE-2017-0414 A-32807795 Wysoki Wszystko 6.0, 6.0.1, 7.0, 7.1.1 10 listopada 2016

Podatność na ujawnienie informacji w Framework API

Luka umożliwiająca ujawnienie informacji w interfejsach API Framework może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji. Ten problem został oceniony jako wysoki, ponieważ może być wykorzystany do uzyskania dostępu do danych, do których aplikacja nie ma dostępu.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0421 A-32555637 Wysoki Wszystko 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Google wewnętrzne

Luka w zabezpieczeniach typu „odmowa usługi” w Bionic DNS

Luka typu „odmowa usługi” w Bionic DNS może umożliwić zdalnemu atakującemu użycie specjalnie spreparowanego pakietu sieciowego w celu zawieszenia lub ponownego uruchomienia urządzenia. Ten problem jest oceniany jako wysoki ze względu na możliwość zdalnej odmowy usługi.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0422 A-32322088 Wysoki Wszystko 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 20 paź 2016

Podwyższenie podatności uprawnień w Bluetooth

Luka umożliwiająca podniesienie uprawnień w technologii Bluetooth może umożliwić bezpośredniej osobie atakującej zarządzanie dostępem do dokumentów na urządzeniu. Ten problem jest oceniany jako Umiarkowany, ponieważ najpierw wymaga wykorzystania oddzielnej luki w stosie Bluetooth.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0423 A-32612586 Umiarkowany Wszystko 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 2 listopada 2016

Luka umożliwiająca ujawnienie informacji w AOSP Messaging

Luka umożliwiająca ujawnienie informacji w programie AOSP Messaging może umożliwić zdalnej osobie atakującej uzyskanie dostępu do danych poza jej poziomami uprawnień za pomocą specjalnie spreparowanego pliku. Ten problem jest oceniany jako Umiarkowany, ponieważ jest to ogólne obejście dla dogłębnej ochrony na poziomie użytkownika lub wykorzystania technologii łagodzenia skutków w procesie uprzywilejowanym.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0424 A-32322450 Umiarkowany Wszystko 6.0, 6.0.1, 7.0, 7.1.1 20 paź 2016

Luka umożliwiająca ujawnienie informacji w Audioserver

Luka umożliwiająca ujawnienie informacji w Audioserver może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem jest oceniany jako umiarkowany, ponieważ może być używany do uzyskiwania dostępu do poufnych danych bez pozwolenia.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0425 A-32720785 Umiarkowany Wszystko 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 7 listopada 2016

Luka umożliwiająca ujawnienie informacji w systemie plików

Luka umożliwiająca ujawnienie informacji w systemie plików może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem jest oceniany jako umiarkowany, ponieważ może być używany do uzyskiwania dostępu do poufnych danych bez pozwolenia.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Zaktualizowane wersje AOSP Data zgłoszenia
CVE-2017-0426 A-32799236 [ 2 ] Umiarkowany Wszystko 7,0, 7.1.1 Google wewnętrzne

2017-02-05 Poziom poprawki zabezpieczeń — Szczegóły dotyczące luki w zabezpieczeniach

W poniższych sekcjach podajemy szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek 2017-02-05. Znajduje się tam opis problemu, uzasadnienie ważności oraz tabela z CVE, powiązanymi odniesieniami, dotkliwością, zaktualizowanymi urządzeniami Google, zaktualizowanymi wersjami AOSP (jeśli dotyczy) i datą zgłoszenia. Gdy będzie to możliwe, połączymy publiczną zmianę, która dotyczyła problemu, z identyfikatorem błędu, takim jak lista zmian AOSP. Gdy wiele zmian dotyczy pojedynczego błędu, dodatkowe odnośniki są powiązane z liczbami następującymi po identyfikatorze błędu.

Luka umożliwiająca zdalne wykonanie kodu w sterowniku kryptograficznym Qualcomm

Luka umożliwiająca zdalne wykonanie kodu w sterowniku kryptograficznym Qualcomm może umożliwić osobie atakującej zdalne wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście jądra.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2016-8418 A-32652894
QC-CR#1077457
Krytyczny Nic* 10 paź 2016

* Ta luka nie dotyczy obsługiwanych urządzeń Google z systemem Android 7.0 lub nowszym, na których zainstalowano wszystkie dostępne aktualizacje.

Podwyższona luka uprawnień w systemie plików jądra

Luka umożliwiająca podniesienie uprawnień w systemie plików jądra może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako krytyczny ze względu na możliwość lokalnego trwałego włamania do urządzenia, co może wymagać przeflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2017-0427 A-31495866* Krytyczny Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 13 września 2016 r.

* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Podatność na podniesienie uprawnień w sterowniku GPU NVIDIA

Luka umożliwiająca podniesienie uprawnień w sterowniku GPU NVIDIA może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako krytyczny ze względu na możliwość lokalnego trwałego włamania do urządzenia, co może wymagać przeflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2017-0428 A-32401526*
N-CVE-2017-0428
Krytyczny Nexus 9 25 paź 2016
CVE-2017-0429 A-32636619*
N-CVE-2017-0429
Krytyczny Nexus 9 3 listopada 2016

* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Podwyższenie podatności uprawnień w podsystemie sieciowym jądra

Luka umożliwiająca podniesienie uprawnień w podsystemie sieciowym jądra może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako krytyczny ze względu na możliwość lokalnego trwałego włamania do urządzenia, co może wymagać przeflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2014-9914 A-32882659
Jądro nadrzędne
Krytyczny Nexus 6, Nexus Player 9 listopada 2016

Podniesienie poziomu uprawnień w sterowniku Broadcom Wi-Fi

Luka umożliwiająca podniesienie uprawnień w sterowniku Broadcom Wi-Fi może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako krytyczny ze względu na możliwość lokalnego trwałego włamania do urządzenia, co może wymagać przeflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2017-0430 A-32838767*
B-RB#107459
Krytyczny Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player Google wewnętrzne

* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Luki w komponentach Qualcomm

Poniższa luka dotyczy składników Qualcomm i została szczegółowo opisana w biuletynie zabezpieczeń Qualcomm AMSS z września 2016 r.

CVE Bibliografia Surowość* Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2017-0431 A-32573899** Krytyczny Nic*** Qualcomm wewnętrzny

* Ocena ważności tych luk została określona przez dostawcę.

** Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

*** Ta usterka nie dotyczy obsługiwanych urządzeń Google z systemem Android 7.0 lub nowszym, na których zainstalowano wszystkie dostępne aktualizacje.

Podwyższona luka uprawnień w sterowniku MediaTek

Luka umożliwiająca podniesienie uprawnień w sterowniku MediaTek może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2017-0432 A-28332719*
M-ALPS02708925
Wysoki Nic** 21 kwi 2016

* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

** Ta luka nie dotyczy obsługiwanych urządzeń Google z systemem Android 7.0 lub nowszym, na których zainstalowano wszystkie dostępne aktualizacje.

Podwyższona luka uprawnień w sterowniku ekranu dotykowego Synaptics

Luka umożliwiająca podniesienie uprawnień w sterowniku ekranu dotykowego Synaptics może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście chipsetu ekranu dotykowego. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2017-0433 A-31913571* Wysoki Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL 8 września 2016
CVE-2017-0434 A-33001936* Wysoki Piksel, Piksel XL 18 listopada 2016

* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Podniesienie poziomu uprawnień w sterowniku Qualcomm Secure Execution Environment Communicator

Luka umożliwiająca podniesienie uprawnień w dysku Qualcomm Secure Execution Environment Communicator może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2016-8480 A-31804432
QC-CR#1086186 [ 2 ]
Wysoki Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 28 września 2016

Podwyższona luka uprawnień w sterowniku dźwięku Qualcomm

Luka umożliwiająca podniesienie uprawnień w sterowniku dźwięku Qualcomm może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2016-8481 A-31906415*
QC-CR#1078000
Wysoki Nexus 5X, Nexus 6P, Pixel, Pixel XL 1 paź 2016
CVE-2017-0435 A-31906657*
QC-CR#1078000
Wysoki Nexus 5X, Nexus 6P, Pixel, Pixel XL 1 paź 2016
CVE-2017-0436 A-32624661*
QC-CR#1078000
Wysoki Nexus 5X, Nexus 6P, Pixel, Pixel XL 2 listopada 2016

* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Podwyższona luka uprawnień w sterowniku Qualcomm Wi-Fi

Luka umożliwiająca podniesienie uprawnień w sterowniku Qualcomm Wi-Fi może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2017-0437 A-32402310
QC-CR#1092497
Wysoki Nexus 5X, Pixel, Pixel XL 25 paź 2016
CVE-2017-0438 A-32402604
QC-CR#1092497
Wysoki Nexus 5X, Pixel, Pixel XL 25 paź 2016
CVE-2017-0439 A-32450647
QC-CR#1092059
Wysoki Nexus 5X, Pixel, Pixel XL 25 paź 2016
CVE-2016-8419 A-32454494
QC-CR#1087209
Wysoki Nexus 5X, Pixel, Pixel XL 26 października 2016
CVE-2016-8420 A-32451171
QC-CR#1087807
Wysoki Nexus 5X, Pixel, Pixel XL 26 października 2016
CVE-2016-8421 A-32451104
QC-CR#1087797
Wysoki Nexus 5X, Pixel, Pixel XL 26 października 2016
CVE-2017-0440 A-33252788
QC-CR#1095770
Wysoki Nexus 5X, Pixel, Pixel XL 11 listopada 2016
CVE-2017-0441 A-32872662
QC-CR#1095009
Wysoki Nexus 5X, Pixel, Pixel XL 11 listopada 2016
CVE-2017-0442 A-32871330
QC-CR#1092497
Wysoki Nexus 5X, Pixel, Pixel XL 13 listopada 2016
CVE-2017-0443 A-32877494
QC-CR#1092497
Wysoki Nexus 5X, Pixel, Pixel XL 13 listopada 2016
CVE-2016-8476 A-32879283
QC-CR#1091940
Wysoki Nexus 5X, Pixel, Pixel XL 14 listopada 2016 r.

Podwyższona luka uprawnień w sterowniku dźwięku Realtek

Luka umożliwiająca podniesienie uprawnień w sterowniku dźwięku Realtek może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2017-0444 A-32705232* Wysoki Nexus 9 7 listopada 2016

* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Podwyższona luka uprawnień w sterowniku ekranu dotykowego HTC

Luka umożliwiająca podniesienie uprawnień w sterowniku ekranu dotykowego HTC może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2017-0445 A-32769717* Wysoki Piksel, Piksel XL 9 listopada 2016
CVE-2017-0446 A-32917445* Wysoki Piksel, Piksel XL 15 listopada 2016
CVE-2017-0447 A-32919560* Wysoki Piksel, Piksel XL 15 listopada 2016

* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Luka umożliwiająca ujawnienie informacji w sterowniku wideo NVIDIA

Luka umożliwiająca ujawnienie informacji w sterowniku wideo NVIDIA może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem został oceniony jako wysoki, ponieważ może być używany do uzyskiwania dostępu do poufnych danych bez wyraźnej zgody użytkownika.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2017-0448 A-32721029*
N-CVE-2017-0448
Wysoki Nexus 9 7 listopada 2016

* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Podniesienie poziomu uprawnień w sterowniku Broadcom Wi-Fi

Luka umożliwiająca podniesienie uprawnień w sterowniku Broadcom Wi-Fi może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako Umiarkowany, ponieważ najpierw wymaga złamania uprzywilejowanego procesu i jest łagodzony przez obecne konfiguracje platform.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2017-0449 A-31707909*
B-RB#32094
Umiarkowany Nexus 6, Nexus 6P 23 września 2016

* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Podwyższona luka uprawnień w Audioserver

Luka umożliwiająca podniesienie uprawnień w Audioserver może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście uprzywilejowanego procesu. Ten problem jest oceniany jako umiarkowany, ponieważ jest łagodzony przez obecne konfiguracje platform.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2017-0450 A-32917432* Umiarkowany Nexus 9 15 listopada 2016

* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Podwyższona luka uprawnień w systemie plików jądra

Luka umożliwiająca podniesienie uprawnień w systemie plików jądra może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń, które uniemożliwiają eskalację uprawnień. Ten problem jest oceniany jako Umiarkowany, ponieważ jest to ogólne obejście w przypadku dogłębnej ochrony na poziomie użytkownika lub technologii ograniczania zagrożeń.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2016-10044 A-31711619* Umiarkowany Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL Google wewnętrzne

* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Luka umożliwiająca ujawnienie informacji w programie Qualcomm Secure Execution Environment Communicator

Luka umożliwiająca ujawnienie informacji w programie Qualcomm Secure Execution Environment Communicator może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem jest oceniany jako Umiarkowany, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2016-8414 A-31704078
QC-CR#1076407
Umiarkowany Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL 23 września 2016

Luka umożliwiająca ujawnienie informacji w sterowniku dźwięku Qualcomm

Luka umożliwiająca ujawnienie informacji w sterowniku dźwięku Qualcomm może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem jest oceniany jako Umiarkowany, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.

CVE Bibliografia Surowość Zaktualizowane urządzenia Google Data zgłoszenia
CVE-2017-0451 A-31796345
QC-CR#1073129 [ 2 ]
Umiarkowany Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL 27 września 2016 r.

Często zadawane pytania i odpowiedzi

W tej sekcji znajdują się odpowiedzi na często zadawane pytania, które mogą pojawić się po przeczytaniu niniejszego biuletynu.

1. Jak sprawdzić, czy moje urządzenie zostało zaktualizowane w celu rozwiązania tych problemów?

Aby dowiedzieć się, jak sprawdzić poziom aktualizacji zabezpieczeń urządzenia, przeczytaj instrukcje dotyczące harmonogramu aktualizacji Pixela i Nexusa .

  • Poziomy poprawek zabezpieczeń 2017-02-01 lub nowsze rozwiązują wszystkie problemy związane z poziomem poprawki zabezpieczeń 2017-02-01.
  • Poziomy poprawek zabezpieczeń 2017-02-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem poprawek zabezpieczeń 2017-02-05 i wszystkimi poprzednimi poziomami poprawek.

Producenci urządzeń, którzy uwzględniają te aktualizacje, powinni ustawić poziom ciągu poprawek na:

  • [ro.build.version.security_patch]:[2017-02-01]
  • [ro.build.version.security_patch]:[2017-02-05]

2. Dlaczego ten biuletyn zawiera dwa poziomy poprawek zabezpieczeń?

Ten biuletyn zawiera dwa poziomy poprawek zabezpieczeń, dzięki czemu partnerzy systemu Android mogą szybciej naprawiać podzbiór luk, które są podobne na wszystkich urządzeniach z systemem Android. Zachęcamy partnerów Androida do rozwiązywania wszystkich problemów w tym biuletynie i korzystania z najnowszego poziomu poprawek zabezpieczeń.

  • Urządzenia korzystające z poziomu poprawek zabezpieczeń z dnia 1 lutego 2017 r. muszą zawierać wszystkie problemy związane z tym poziomem poprawek zabezpieczeń, a także poprawki dotyczące wszystkich problemów zgłoszonych w poprzednich biuletynach zabezpieczeń.
  • Urządzenia korzystające z poziomu poprawek zabezpieczeń z 5 lutego 2017 r. lub nowszego muszą zawierać wszystkie odpowiednie poprawki w tym (i poprzednich) biuletynach zabezpieczeń.

Zachęcamy partnerów do łączenia poprawek wszystkich rozwiązywanych problemów w jednej aktualizacji.

3. Jak określić, których urządzeń Google dotyczy każdy problem?

W sekcjach szczegółów luki w zabezpieczeniach 2017-02-01 i 2017-02-05 każda tabela zawiera kolumnę Zaktualizowane urządzenia Google, która obejmuje zakres urządzeń Google, których dotyczy problem, zaktualizowanych dla każdego problemu. Ta kolumna ma kilka opcji:

  • Wszystkie urządzenia Google : jeśli problem dotyczy wszystkich urządzeń i urządzeń Pixel, w tabeli w kolumnie Zaktualizowane urządzenia Google pojawi się „Wszystkie”. „Wszystkie” obejmuje następujące obsługiwane urządzenia : Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel i Pixel XL.
  • Niektóre urządzenia Google : jeśli problem nie dotyczy wszystkich urządzeń Google, urządzenia Google, których dotyczy problem, są wymienione w kolumnie Zaktualizowane urządzenia Google .
  • Brak urządzeń Google : jeśli problem nie dotyczy żadnych urządzeń Google z Androidem 7.0, w kolumnie Zaktualizowane urządzenia Google w tabeli będzie widoczny napis „Brak”.

4. Do czego odwzorowują się wpisy w kolumnie Referencje?

Wpisy w kolumnie Referencje tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odniesienia. Te przedrostki są mapowane w następujący sposób:

Prefiks Odniesienie
A- Identyfikator błędu Androida
Kontrola jakości- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom

Rewizje

  • 06 lutego 2017: Biuletyn opublikowany.
  • 08 lutego 2017 r.: Biuletyn zaktualizowany w celu uwzględnienia łączy AOSP.