Opublikowano 06 lutego 2017 | Zaktualizowano 8 lutego 2017 r.
Biuletyn Android Security Bulletin zawiera szczegółowe informacje na temat luk w zabezpieczeniach urządzeń z systemem Android. Wraz z biuletynem udostępniliśmy aktualizację zabezpieczeń urządzeń Google za pośrednictwem aktualizacji bezprzewodowej (OTA). Obrazy oprogramowania układowego urządzeń Google zostały również udostępnione w witrynie Google Developer . Wszystkie te problemy rozwiązują poziomy poprawek zabezpieczeń z 5 lutego 2017 r. lub nowsze. Zapoznaj się z harmonogramem aktualizacji Pixela i Nexusa, aby dowiedzieć się, jak sprawdzić poziom aktualizacji zabezpieczeń urządzenia.
Partnerzy zostali powiadomieni o problemach opisanych w biuletynie 3 stycznia 2017 r. lub wcześniej. Poprawki do kodu źródłowego dla tych problemów zostały udostępnione w repozytorium Android Open Source Project (AOSP) i połączone z tym biuletynem. Biuletyn ten zawiera również łącza do poprawek spoza AOSP.
Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach, która podczas przetwarzania plików multimedialnych może umożliwić zdalne wykonanie kodu na zaatakowanym urządzeniu za pomocą wielu metod, takich jak poczta e-mail, przeglądanie stron internetowych i MMS. Ocena dotkliwości opiera się na możliwym wpływie wykorzystania luki na urządzenie, którego dotyczy, przy założeniu, że platforma i usługi ograniczania zagrożeń są wyłączone w celach programistycznych lub pomyślnie ominięte.
Nie mieliśmy żadnych doniesień o aktywnym wykorzystywaniu lub nadużywaniu przez klientów tych nowo zgłoszonych problemów. Szczegółowe informacje na temat zabezpieczeń platformy Android i zabezpieczeń usług, takich jak SafetyNet , które poprawiają bezpieczeństwo platformy Android, można znaleźć w sekcji Ograniczenia ryzyka w usługach Android i Google .
Zachęcamy wszystkich klientów do zaakceptowania tych aktualizacji na swoich urządzeniach.
Ogłoszenia
- Ten biuletyn zawiera dwa łańcuchy poziomów poprawek zabezpieczeń, aby zapewnić partnerom systemu Android elastyczność umożliwiającą szybsze naprawianie podzbioru luk, które są podobne na wszystkich urządzeniach z systemem Android. Zobacz Często zadawane pytania i odpowiedzi, aby uzyskać dodatkowe informacje:
- 2017-02-01 : Częściowy ciąg poziomu poprawek zabezpieczeń. Ten ciąg poziomu poprawki zabezpieczeń wskazuje, że rozwiązano wszystkie problemy związane z 01.02.2017 (i wszystkimi poprzednimi ciągami poziomu poprawek zabezpieczeń).
- 2017-02-05 : Kompletny ciąg poziomu poprawek zabezpieczeń. Ten ciąg poziomu poprawek zabezpieczeń wskazuje, że rozwiązano wszystkie problemy związane z 2017-02-01 i 2017-02-05 (oraz wszystkie poprzednie ciągi poziomów poprawek zabezpieczeń).
- Obsługiwane urządzenia Google otrzymają pojedynczą aktualizację OTA z poziomem poprawki zabezpieczeń z 5 lutego 2017 r.
Ograniczenia w usługach Android i Google
To jest podsumowanie środków łagodzących zapewnianych przez platformę zabezpieczeń Androida i zabezpieczenia usług, takie jak SafetyNet. Te możliwości zmniejszają prawdopodobieństwo pomyślnego wykorzystania luk w zabezpieczeniach w systemie Android.
- Wykorzystanie wielu problemów w systemie Android jest utrudnione przez ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników do aktualizacji do najnowszej wersji Androida tam, gdzie to możliwe.
- Zespół Android Security aktywnie monitoruje nadużycia za pomocą funkcji Verify Apps i SafetyNet , które mają ostrzegać użytkowników o potencjalnie szkodliwych aplikacjach . Weryfikacja aplikacji jest domyślnie włączona na urządzeniach z usługami Google Mobile Services i jest szczególnie ważna dla użytkowników instalujących aplikacje spoza Google Play. Narzędzia do rootowania urządzeń są zabronione w Google Play, ale Weryfikacja aplikacji ostrzega użytkowników, gdy próbują zainstalować wykrytą aplikację do rootowania — bez względu na to, skąd pochodzi. Ponadto Verify Apps próbuje zidentyfikować i zablokować instalację znanych złośliwych aplikacji, które wykorzystują lukę w eskalacji uprawnień. Jeśli taka aplikacja została już zainstalowana, Verify Apps powiadomi użytkownika i podejmie próbę usunięcia wykrytej aplikacji.
- W stosownych przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak Mediaserver.
Podziękowanie
Chcielibyśmy podziękować tym badaczom za ich wkład:
- Daniel Dakhno: CVE-2017-0420
- Daniel Micay z Copperhead Security: CVE-2017-0410
- Dzmitry Lukyanenka : CVE-2017-0414
- Frank Liberato z Chrome: CVE-2017-0409
- Gal Beniamini z Projektu Zero: CVE-2017-0411, CVE-2017-0412
- Gengjia Chen ( @chengjia4574 ) i pjf z IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2017-0434, CVE-2017-0446, CVE-2017-0447, CVE-2017-0432
- Guang Gong (龚广) ( @oldfresher ) z zespołu Alpha, Qihoo 360 Technology Co.Ltd : CVE-2017-0415
- Hanxiang Wen , Wenke Dou , Mingjian Zhou ( @Mingjian_Zhou ) i Xuxian Jiang z zespołu C0RE : CVE-2017-0418
- Hao Chen i Guang Gong z zespołu Alpha, Qihoo 360 Technology Co. Ltd.: CVE-2017-0437, CVE-2017-0438, CVE-2017-0439, CVE-2016-8419, CVE-2016-8420, CVE-2016 -8421, CVE-2017-0441, CVE-2017-0442, CVE-2016-8476, CVE-2017-0443
- Jeff Sharkey z Google: CVE-2017-0421, CVE-2017-0423
- Jeff Trim: CVE-2017-0422
- Jianqiang Zhao ( @jianqiangzhao ) i pjf z IceSword Lab, Qihoo 360: CVE-2017-0445
- ma.la i Nikolay Elenkow z LINE Corporation: CVE-2016-5552
- Max Spector Google: CVE-2017-0416
- Mingjian Zhou ( @Mingjian_Zhou ), Yuqi Lu ( @nikos233 ) i Xuxian Jiang z zespołu C0RE : CVE-2017-0425
- Qidan He (何淇丹) ( @flanker_hqd ) i Di Shen (申迪) ( @returnsme ) z KeenLab, Tencent (腾讯科恩实验室): CVE-2017-0427
- Sagi Kedmi z IBM X-Force Research: CVE-2017-0433
- Scott Bauer ( @ScottyBauer1 ) i Daniel Micay z Copperhead Security: CVE-2017-0405
- Seven Shen ( @lingtongshen ) z zespołu Trend Micro Mobile Threat Research Team: CVE-2017-0449, CVE-2016-8418
- Tong Lin , Yuan-Tsung Lo , Chiachih Wu ( @chiachih_wu ) i Xuxian Jiang z zespołu C0RE : CVE-2017-0436, CVE-2016-8481, CVE-2017-0435
- VEO ( @VYSEa ) zespołu ds. reagowania na zagrożenia mobilne , Trend Micro : CVE-2017-0424
- Weichao Sun ( @sunblate ) z Alibaba Inc.: CVE-2017-0407
- Wenke Dou , Hongli Han , Mingjian Zhou ( @Mingjian_Zhou ) i Xuxian Jiang z zespołu C0RE : CVE-2017-0450
- Wenke Dou , Yuqi Lu ( @nikos233 ), Mingjian Zhou ( @Mingjian_Zhou ) i Xuxian Jiang z zespołu C0RE : CVE-2017-0417
- Życzę Wu ( @wish_wu ) (吴潍浠此彼) z antyfinansowego Light-Year Security Lab: CVE-2017-0408
- Yao Jun , Yuan-Tsung Lo , Chiachih Wu ( @chiachih_wu ) i Xuxian Jiang z zespołu C0RE : CVE-2016-8480
- Yuan-Tsung Lo , Chiachih Wu ( @chiachih_wu ) i Xuxian Jiang z zespołu C0RE : CVE-2017-0444
- Yuan-Tsung Lo , Tong Lin , Chiachih Wu ( @chiachih_wu ) i Xuxian Jiang z zespołu C0RE : CVE-2017-0428
- Yuan-Tsung Lo , Xiaodong Wang , Chiachih Wu ( @chiachih_wu ) i Xuxian Jiang z zespołu C0RE : CVE-2017-0448, CVE-2017-0429
- Zhen Zhou ( @henices ) i Zhixin Li z NSFocus : CVE-2017-0406
Chcielibyśmy również podziękować następującym osobom za ich wkład w ten biuletyn:
- Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮) i Lenx Wei (韦韬) z Baidu X-Lab (百度安全实验室)
2017-02-01 Poziom poprawki zabezpieczeń — Szczegóły dotyczące luki w zabezpieczeniach
W poniższych sekcjach podajemy szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawki 2017-02-01. Znajduje się tam opis problemu, uzasadnienie ważności oraz tabela z CVE, powiązanymi odniesieniami, dotkliwością, zaktualizowanymi urządzeniami Google, zaktualizowanymi wersjami AOSP (jeśli dotyczy) i datą zgłoszenia. Gdy będzie to możliwe, połączymy publiczną zmianę, która dotyczyła problemu, z identyfikatorem błędu, takim jak lista zmian AOSP. Gdy wiele zmian dotyczy pojedynczego błędu, dodatkowe odnośniki są powiązane z liczbami następującymi po identyfikatorze błędu.
Luka umożliwiająca zdalne wykonanie kodu w Surfaceflinger
Luka w zabezpieczeniach programu Surfaceflinger umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej użycie specjalnie spreparowanego pliku do uszkodzenia pamięci podczas przetwarzania plików multimedialnych i danych. Ten problem jest oceniany jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście procesu Surfaceflinger.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0405 | A-31960359 | Krytyczny | Wszystko | 7,0, 7.1.1 | 4 paź 2016 |
Luka umożliwiająca zdalne wykonanie kodu w Mediaserver
Luka w zabezpieczeniach serwera Mediaserver umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej użycie specjalnie spreparowanego pliku do uszkodzenia pamięci podczas przetwarzania plików multimedialnych i danych. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście procesu Mediaserver.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0406 | A-32915871 [ 2 ] | Krytyczny | Wszystko | 6.0, 6.0.1, 7.0, 7.1.1 | 14 listopada 2016 r. |
| CVE-2017-0407 | A-32873375 | Krytyczny | Wszystko | 6.0, 6.0.1, 7.0, 7.1.1 | 12 listopada 2016 |
Luka umożliwiająca zdalne wykonanie kodu w libgdx
Luka w zabezpieczeniach biblioteki libgdx umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej za pomocą specjalnie spreparowanego pliku wykonanie dowolnego kodu w kontekście nieuprzywilejowanego procesu. Ten problem został oceniony jako Wysoki ze względu na możliwość zdalnego wykonania kodu w aplikacji korzystającej z tej biblioteki.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0408 | A-32769670 | Wysoki | Wszystko | 7.1.1 | 9 listopada 2016 |
Luka umożliwiająca zdalne wykonanie kodu w libstagefright
Luka w zabezpieczeniach biblioteki libstagefright umożliwiająca zdalne wykonanie kodu może umożliwić osobie atakującej wykonanie dowolnego kodu w kontekście nieuprzywilejowanego procesu za pomocą specjalnie spreparowanego pliku. Ten problem został oceniony jako Wysoki ze względu na możliwość zdalnego wykonania kodu w aplikacji korzystającej z tej biblioteki.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0409 | A-31999646 | Wysoki | Wszystko | 6.0, 6.0.1, 7.0, 7.1.1 | Google wewnętrzne |
Podniesienie poziomu uprawnień w Java.Net
Podniesienie uprawnień w bibliotece Java.Net może umożliwić złośliwej zawartości sieci Web przekierowywanie użytkownika do innej witryny bez wyraźnego pozwolenia. Ten problem został oceniony jako wysoki, ponieważ jest to zdalne pominięcie wymagań dotyczących interakcji użytkownika.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2016-5552 | A-31858037 | Wysoki | Wszystko | 7,0, 7.1.1 | 30 wrz 2016 |
Podniesienie poziomu uprawnień w interfejsach API Framework
Luka umożliwiająca podniesienie uprawnień w interfejsach API platformy może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego. Ten problem jest oceniany jako wysoki, ponieważ może służyć do uzyskiwania lokalnego dostępu do podwyższonych funkcji, które zwykle nie są dostępne dla aplikacji innych firm.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0410 | A-31929765 | Wysoki | Wszystko | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 2 paź 2016 |
| CVE-2017-0411 | A-33042690 [ 2 ] | Wysoki | Wszystko | 7,0, 7.1.1 | 21 listopada 2016 |
| CVE-2017-0412 | A-33039926 [ 2 ] | Wysoki | Wszystko | 7,0, 7.1.1 | 21 listopada 2016 |
Podwyższenie luki uprawnień w Mediaserver
Luka umożliwiająca podniesienie uprawnień w serwerze Mediaserver może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego. Ten problem jest oceniany jako wysoki, ponieważ może służyć do uzyskiwania lokalnego dostępu do podwyższonych funkcji, które zwykle nie są dostępne dla aplikacji innych firm.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0415 | A-32706020 | Wysoki | Wszystko | 6.0, 6.0.1, 7.0, 7.1.1 | 4 listopada 2016 |
Podwyższona luka uprawnień w Audioserver
Luka umożliwiająca podniesienie uprawnień w Audioserver może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście uprzywilejowanego procesu. Ten problem jest oceniany jako wysoki, ponieważ może służyć do uzyskiwania lokalnego dostępu do podwyższonych funkcji, które zwykle nie są dostępne dla aplikacji innych firm.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0416 | A-32886609 [ 2 ] | Wysoki | Wszystko | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Google wewnętrzne |
| CVE-2017-0417 | A-32705438 | Wysoki | Wszystko | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 7 listopada 2016 |
| CVE-2017-0418 | A-32703959 [ 2 ] | Wysoki | Wszystko | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 7 listopada 2016 |
| CVE-2017-0419 | A-32220769 | Wysoki | Wszystko | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 15 paź 2016 |
Luka umożliwiająca ujawnienie informacji w AOSP Mail
Luka umożliwiająca ujawnienie informacji w Poczcie AOSP może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji. Ten problem został oceniony jako wysoki, ponieważ może być wykorzystany do uzyskania dostępu do danych, do których aplikacja nie ma dostępu.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0420 | A-32615212 | Wysoki | Wszystko | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 12 września 2016 r. |
Luka umożliwiająca ujawnienie informacji w AOSP Messaging
Luka umożliwiająca ujawnienie informacji w AOSP Messaging może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji. Ten problem został oceniony jako wysoki, ponieważ może być wykorzystany do uzyskania dostępu do danych, do których aplikacja nie ma dostępu.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0413 | A-32161610 | Wysoki | Wszystko | 6.0, 6.0.1, 7.0, 7.1.1 | 13 października 2016 r. |
| CVE-2017-0414 | A-32807795 | Wysoki | Wszystko | 6.0, 6.0.1, 7.0, 7.1.1 | 10 listopada 2016 |
Podatność na ujawnienie informacji w Framework API
Luka umożliwiająca ujawnienie informacji w interfejsach API Framework może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji. Ten problem został oceniony jako wysoki, ponieważ może być wykorzystany do uzyskania dostępu do danych, do których aplikacja nie ma dostępu.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0421 | A-32555637 | Wysoki | Wszystko | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Google wewnętrzne |
Luka w zabezpieczeniach typu „odmowa usługi” w Bionic DNS
Luka typu „odmowa usługi” w Bionic DNS może umożliwić zdalnemu atakującemu użycie specjalnie spreparowanego pakietu sieciowego w celu zawieszenia lub ponownego uruchomienia urządzenia. Ten problem jest oceniany jako wysoki ze względu na możliwość zdalnej odmowy usługi.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0422 | A-32322088 | Wysoki | Wszystko | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 20 paź 2016 |
Podwyższenie podatności uprawnień w Bluetooth
Luka umożliwiająca podniesienie uprawnień w technologii Bluetooth może umożliwić bezpośredniej osobie atakującej zarządzanie dostępem do dokumentów na urządzeniu. Ten problem jest oceniany jako Umiarkowany, ponieważ najpierw wymaga wykorzystania oddzielnej luki w stosie Bluetooth.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0423 | A-32612586 | Umiarkowany | Wszystko | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 2 listopada 2016 |
Luka umożliwiająca ujawnienie informacji w AOSP Messaging
Luka umożliwiająca ujawnienie informacji w programie AOSP Messaging może umożliwić zdalnej osobie atakującej uzyskanie dostępu do danych poza jej poziomami uprawnień za pomocą specjalnie spreparowanego pliku. Ten problem jest oceniany jako Umiarkowany, ponieważ jest to ogólne obejście dla dogłębnej ochrony na poziomie użytkownika lub wykorzystania technologii łagodzenia skutków w procesie uprzywilejowanym.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0424 | A-32322450 | Umiarkowany | Wszystko | 6.0, 6.0.1, 7.0, 7.1.1 | 20 paź 2016 |
Luka umożliwiająca ujawnienie informacji w Audioserver
Luka umożliwiająca ujawnienie informacji w Audioserver może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem jest oceniany jako umiarkowany, ponieważ może być używany do uzyskiwania dostępu do poufnych danych bez pozwolenia.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0425 | A-32720785 | Umiarkowany | Wszystko | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 7 listopada 2016 |
Luka umożliwiająca ujawnienie informacji w systemie plików
Luka umożliwiająca ujawnienie informacji w systemie plików może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem jest oceniany jako umiarkowany, ponieważ może być używany do uzyskiwania dostępu do poufnych danych bez pozwolenia.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Zaktualizowane wersje AOSP | Data zgłoszenia |
|---|---|---|---|---|---|
| CVE-2017-0426 | A-32799236 [ 2 ] | Umiarkowany | Wszystko | 7,0, 7.1.1 | Google wewnętrzne |
2017-02-05 Poziom poprawki zabezpieczeń — Szczegóły dotyczące luki w zabezpieczeniach
W poniższych sekcjach podajemy szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek 2017-02-05. Znajduje się tam opis problemu, uzasadnienie ważności oraz tabela z CVE, powiązanymi odniesieniami, dotkliwością, zaktualizowanymi urządzeniami Google, zaktualizowanymi wersjami AOSP (jeśli dotyczy) i datą zgłoszenia. Gdy będzie to możliwe, połączymy publiczną zmianę, która dotyczyła problemu, z identyfikatorem błędu, takim jak lista zmian AOSP. Gdy wiele zmian dotyczy pojedynczego błędu, dodatkowe odnośniki są powiązane z liczbami następującymi po identyfikatorze błędu.
Luka umożliwiająca zdalne wykonanie kodu w sterowniku kryptograficznym Qualcomm
Luka umożliwiająca zdalne wykonanie kodu w sterowniku kryptograficznym Qualcomm może umożliwić osobie atakującej zdalne wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście jądra.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2016-8418 | A-32652894 QC-CR#1077457 | Krytyczny | Nic* | 10 paź 2016 |
* Ta luka nie dotyczy obsługiwanych urządzeń Google z systemem Android 7.0 lub nowszym, na których zainstalowano wszystkie dostępne aktualizacje.
Podwyższona luka uprawnień w systemie plików jądra
Luka umożliwiająca podniesienie uprawnień w systemie plików jądra może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako krytyczny ze względu na możliwość lokalnego trwałego włamania do urządzenia, co może wymagać przeflashowania systemu operacyjnego w celu naprawy urządzenia.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2017-0427 | A-31495866* | Krytyczny | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL | 13 września 2016 r. |
* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .
Podatność na podniesienie uprawnień w sterowniku GPU NVIDIA
Luka umożliwiająca podniesienie uprawnień w sterowniku GPU NVIDIA może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako krytyczny ze względu na możliwość lokalnego trwałego włamania do urządzenia, co może wymagać przeflashowania systemu operacyjnego w celu naprawy urządzenia.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2017-0428 | A-32401526* N-CVE-2017-0428 | Krytyczny | Nexus 9 | 25 paź 2016 |
| CVE-2017-0429 | A-32636619* N-CVE-2017-0429 | Krytyczny | Nexus 9 | 3 listopada 2016 |
* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .
Podwyższenie podatności uprawnień w podsystemie sieciowym jądra
Luka umożliwiająca podniesienie uprawnień w podsystemie sieciowym jądra może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako krytyczny ze względu na możliwość lokalnego trwałego włamania do urządzenia, co może wymagać przeflashowania systemu operacyjnego w celu naprawy urządzenia.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2014-9914 | A-32882659 Jądro nadrzędne | Krytyczny | Nexus 6, Nexus Player | 9 listopada 2016 |
Podniesienie poziomu uprawnień w sterowniku Broadcom Wi-Fi
Luka umożliwiająca podniesienie uprawnień w sterowniku Broadcom Wi-Fi może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako krytyczny ze względu na możliwość lokalnego trwałego włamania do urządzenia, co może wymagać przeflashowania systemu operacyjnego w celu naprawy urządzenia.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2017-0430 | A-32838767* B-RB#107459 | Krytyczny | Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player | Google wewnętrzne |
* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .
Luki w komponentach Qualcomm
Poniższa luka dotyczy składników Qualcomm i została szczegółowo opisana w biuletynie zabezpieczeń Qualcomm AMSS z września 2016 r.
| CVE | Bibliografia | Surowość* | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2017-0431 | A-32573899** | Krytyczny | Nic*** | Qualcomm wewnętrzny |
* Ocena ważności tych luk została określona przez dostawcę.
** Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .
*** Ta usterka nie dotyczy obsługiwanych urządzeń Google z systemem Android 7.0 lub nowszym, na których zainstalowano wszystkie dostępne aktualizacje.
Podwyższona luka uprawnień w sterowniku MediaTek
Luka umożliwiająca podniesienie uprawnień w sterowniku MediaTek może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2017-0432 | A-28332719* M-ALPS02708925 | Wysoki | Nic** | 21 kwi 2016 |
* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .
** Ta luka nie dotyczy obsługiwanych urządzeń Google z systemem Android 7.0 lub nowszym, na których zainstalowano wszystkie dostępne aktualizacje.
Podwyższona luka uprawnień w sterowniku ekranu dotykowego Synaptics
Luka umożliwiająca podniesienie uprawnień w sterowniku ekranu dotykowego Synaptics może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście chipsetu ekranu dotykowego. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2017-0433 | A-31913571* | Wysoki | Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL | 8 września 2016 |
| CVE-2017-0434 | A-33001936* | Wysoki | Piksel, Piksel XL | 18 listopada 2016 |
* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .
Podniesienie poziomu uprawnień w sterowniku Qualcomm Secure Execution Environment Communicator
Luka umożliwiająca podniesienie uprawnień w dysku Qualcomm Secure Execution Environment Communicator może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2016-8480 | A-31804432 QC-CR#1086186 [ 2 ] | Wysoki | Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL | 28 września 2016 |
Podwyższona luka uprawnień w sterowniku dźwięku Qualcomm
Luka umożliwiająca podniesienie uprawnień w sterowniku dźwięku Qualcomm może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2016-8481 | A-31906415* QC-CR#1078000 | Wysoki | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 1 paź 2016 |
| CVE-2017-0435 | A-31906657* QC-CR#1078000 | Wysoki | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 1 paź 2016 |
| CVE-2017-0436 | A-32624661* QC-CR#1078000 | Wysoki | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 2 listopada 2016 |
* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .
Podwyższona luka uprawnień w sterowniku Qualcomm Wi-Fi
Luka umożliwiająca podniesienie uprawnień w sterowniku Qualcomm Wi-Fi może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2017-0437 | A-32402310 QC-CR#1092497 | Wysoki | Nexus 5X, Pixel, Pixel XL | 25 paź 2016 |
| CVE-2017-0438 | A-32402604 QC-CR#1092497 | Wysoki | Nexus 5X, Pixel, Pixel XL | 25 paź 2016 |
| CVE-2017-0439 | A-32450647 QC-CR#1092059 | Wysoki | Nexus 5X, Pixel, Pixel XL | 25 paź 2016 |
| CVE-2016-8419 | A-32454494 QC-CR#1087209 | Wysoki | Nexus 5X, Pixel, Pixel XL | 26 października 2016 |
| CVE-2016-8420 | A-32451171 QC-CR#1087807 | Wysoki | Nexus 5X, Pixel, Pixel XL | 26 października 2016 |
| CVE-2016-8421 | A-32451104 QC-CR#1087797 | Wysoki | Nexus 5X, Pixel, Pixel XL | 26 października 2016 |
| CVE-2017-0440 | A-33252788 QC-CR#1095770 | Wysoki | Nexus 5X, Pixel, Pixel XL | 11 listopada 2016 |
| CVE-2017-0441 | A-32872662 QC-CR#1095009 | Wysoki | Nexus 5X, Pixel, Pixel XL | 11 listopada 2016 |
| CVE-2017-0442 | A-32871330 QC-CR#1092497 | Wysoki | Nexus 5X, Pixel, Pixel XL | 13 listopada 2016 |
| CVE-2017-0443 | A-32877494 QC-CR#1092497 | Wysoki | Nexus 5X, Pixel, Pixel XL | 13 listopada 2016 |
| CVE-2016-8476 | A-32879283 QC-CR#1091940 | Wysoki | Nexus 5X, Pixel, Pixel XL | 14 listopada 2016 r. |
Podwyższona luka uprawnień w sterowniku dźwięku Realtek
Luka umożliwiająca podniesienie uprawnień w sterowniku dźwięku Realtek może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2017-0444 | A-32705232* | Wysoki | Nexus 9 | 7 listopada 2016 |
* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .
Podwyższona luka uprawnień w sterowniku ekranu dotykowego HTC
Luka umożliwiająca podniesienie uprawnień w sterowniku ekranu dotykowego HTC może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako wysoki, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2017-0445 | A-32769717* | Wysoki | Piksel, Piksel XL | 9 listopada 2016 |
| CVE-2017-0446 | A-32917445* | Wysoki | Piksel, Piksel XL | 15 listopada 2016 |
| CVE-2017-0447 | A-32919560* | Wysoki | Piksel, Piksel XL | 15 listopada 2016 |
* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .
Luka umożliwiająca ujawnienie informacji w sterowniku wideo NVIDIA
Luka umożliwiająca ujawnienie informacji w sterowniku wideo NVIDIA może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem został oceniony jako wysoki, ponieważ może być używany do uzyskiwania dostępu do poufnych danych bez wyraźnej zgody użytkownika.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2017-0448 | A-32721029* N-CVE-2017-0448 | Wysoki | Nexus 9 | 7 listopada 2016 |
* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .
Podniesienie poziomu uprawnień w sterowniku Broadcom Wi-Fi
Luka umożliwiająca podniesienie uprawnień w sterowniku Broadcom Wi-Fi może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem jest oceniany jako Umiarkowany, ponieważ najpierw wymaga złamania uprzywilejowanego procesu i jest łagodzony przez obecne konfiguracje platform.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2017-0449 | A-31707909* B-RB#32094 | Umiarkowany | Nexus 6, Nexus 6P | 23 września 2016 |
* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .
Podwyższona luka uprawnień w Audioserver
Luka umożliwiająca podniesienie uprawnień w Audioserver może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście uprzywilejowanego procesu. Ten problem jest oceniany jako umiarkowany, ponieważ jest łagodzony przez obecne konfiguracje platform.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2017-0450 | A-32917432* | Umiarkowany | Nexus 9 | 15 listopada 2016 |
* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .
Podwyższona luka uprawnień w systemie plików jądra
Luka umożliwiająca podniesienie uprawnień w systemie plików jądra może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń, które uniemożliwiają eskalację uprawnień. Ten problem jest oceniany jako Umiarkowany, ponieważ jest to ogólne obejście w przypadku dogłębnej ochrony na poziomie użytkownika lub technologii ograniczania zagrożeń.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2016-10044 | A-31711619* | Umiarkowany | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL | Google wewnętrzne |
* Poprawka dotycząca tego problemu nie jest publicznie dostępna. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .
Luka umożliwiająca ujawnienie informacji w programie Qualcomm Secure Execution Environment Communicator
Luka umożliwiająca ujawnienie informacji w programie Qualcomm Secure Execution Environment Communicator może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem jest oceniany jako Umiarkowany, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2016-8414 | A-31704078 QC-CR#1076407 | Umiarkowany | Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL | 23 września 2016 |
Luka umożliwiająca ujawnienie informacji w sterowniku dźwięku Qualcomm
Luka umożliwiająca ujawnienie informacji w sterowniku dźwięku Qualcomm może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza jej poziomami uprawnień. Ten problem jest oceniany jako Umiarkowany, ponieważ najpierw wymaga naruszenia uprzywilejowanego procesu.
| CVE | Bibliografia | Surowość | Zaktualizowane urządzenia Google | Data zgłoszenia |
|---|---|---|---|---|
| CVE-2017-0451 | A-31796345 QC-CR#1073129 [ 2 ] | Umiarkowany | Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL | 27 września 2016 r. |
Często zadawane pytania i odpowiedzi
W tej sekcji znajdują się odpowiedzi na często zadawane pytania, które mogą pojawić się po przeczytaniu niniejszego biuletynu.
1. Jak sprawdzić, czy moje urządzenie zostało zaktualizowane w celu rozwiązania tych problemów?
Aby dowiedzieć się, jak sprawdzić poziom aktualizacji zabezpieczeń urządzenia, przeczytaj instrukcje dotyczące harmonogramu aktualizacji Pixela i Nexusa .
- Poziomy poprawek zabezpieczeń 2017-02-01 lub nowsze rozwiązują wszystkie problemy związane z poziomem poprawki zabezpieczeń 2017-02-01.
- Poziomy poprawek zabezpieczeń 2017-02-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem poprawek zabezpieczeń 2017-02-05 i wszystkimi poprzednimi poziomami poprawek.
Producenci urządzeń, którzy uwzględniają te aktualizacje, powinni ustawić poziom ciągu poprawek na:
-
[ro.build.version.security_patch]:[2017-02-01] -
[ro.build.version.security_patch]:[2017-02-05]
2. Dlaczego ten biuletyn zawiera dwa poziomy poprawek zabezpieczeń?
Ten biuletyn zawiera dwa poziomy poprawek zabezpieczeń, dzięki czemu partnerzy systemu Android mogą szybciej naprawiać podzbiór luk, które są podobne na wszystkich urządzeniach z systemem Android. Zachęcamy partnerów Androida do rozwiązywania wszystkich problemów w tym biuletynie i korzystania z najnowszego poziomu poprawek zabezpieczeń.
- Urządzenia korzystające z poziomu poprawek zabezpieczeń z dnia 1 lutego 2017 r. muszą zawierać wszystkie problemy związane z tym poziomem poprawek zabezpieczeń, a także poprawki dotyczące wszystkich problemów zgłoszonych w poprzednich biuletynach zabezpieczeń.
- Urządzenia korzystające z poziomu poprawek zabezpieczeń z 5 lutego 2017 r. lub nowszego muszą zawierać wszystkie odpowiednie poprawki w tym (i poprzednich) biuletynach zabezpieczeń.
Zachęcamy partnerów do łączenia poprawek wszystkich rozwiązywanych problemów w jednej aktualizacji.
3. Jak określić, których urządzeń Google dotyczy każdy problem?
W sekcjach szczegółów luki w zabezpieczeniach 2017-02-01 i 2017-02-05 każda tabela zawiera kolumnę Zaktualizowane urządzenia Google, która obejmuje zakres urządzeń Google, których dotyczy problem, zaktualizowanych dla każdego problemu. Ta kolumna ma kilka opcji:
- Wszystkie urządzenia Google : jeśli problem dotyczy wszystkich urządzeń i urządzeń Pixel, w tabeli w kolumnie Zaktualizowane urządzenia Google pojawi się „Wszystkie”. „Wszystkie” obejmuje następujące obsługiwane urządzenia : Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel i Pixel XL.
- Niektóre urządzenia Google : jeśli problem nie dotyczy wszystkich urządzeń Google, urządzenia Google, których dotyczy problem, są wymienione w kolumnie Zaktualizowane urządzenia Google .
- Brak urządzeń Google : jeśli problem nie dotyczy żadnych urządzeń Google z Androidem 7.0, w kolumnie Zaktualizowane urządzenia Google w tabeli będzie widoczny napis „Brak”.
4. Do czego odwzorowują się wpisy w kolumnie Referencje?
Wpisy w kolumnie Referencje tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odniesienia. Te przedrostki są mapowane w następujący sposób:
| Prefiks | Odniesienie |
|---|---|
| A- | Identyfikator błędu Androida |
| Kontrola jakości- | Numer referencyjny Qualcomm |
| M- | Numer referencyjny MediaTek |
| N- | Numer referencyjny NVIDIA |
| B- | Numer referencyjny Broadcom |
Rewizje
- 06 lutego 2017: Biuletyn opublikowany.
- 08 lutego 2017 r.: Biuletyn zaktualizowany w celu uwzględnienia łączy AOSP.