نشرة أمان Android - فبراير 2017

نشرت في 06 فبراير 2017 | تم التحديث في 8 فبراير 2017

تحتوي نشرة أمان Android على تفاصيل الثغرات الأمنية التي تؤثر على أجهزة Android. إلى جانب النشرة ، أصدرنا تحديثًا أمنيًا لأجهزة Google من خلال تحديث عبر الأثير (OTA). تم أيضًا إصدار صور البرامج الثابتة لجهاز Google إلى موقع Google Developer . مستويات تصحيح الأمان بتاريخ 05 فبراير 2017 أو ما بعده تعالج كل هذه المشكلات. راجع الجدول الزمني لتحديث Pixel و Nexus للتعرف على كيفية التحقق من مستوى تصحيح أمان الجهاز.

تم إخطار الشركاء بالمشكلات الموضحة في النشرة في 3 يناير 2017 أو قبل ذلك. تم إصدار تصحيحات التعليمات البرمجية المصدر لهذه المشكلات إلى مستودع Android Open Source Project (AOSP) وربطها من هذه النشرة. تتضمن هذه النشرة أيضًا روابط إلى تصحيحات خارج AOSP.

إن أخطر هذه المشكلات هو الثغرة الأمنية الحرجة التي يمكن أن تتيح تنفيذ التعليمات البرمجية عن بُعد على جهاز متأثر من خلال طرق متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط. يعتمد تقييم الخطورة على التأثير الذي قد يحدثه استغلال الثغرة الأمنية على الجهاز المتأثر ، بافتراض تعطيل عمليات التخفيف من النظام الأساسي والخدمة لأغراض التطوير أو إذا تم تجاوزها بنجاح.

لم يكن لدينا أي تقارير عن استغلال أو إساءة استخدام العملاء النشط لهذه المشكلات التي تم الإبلاغ عنها حديثًا. ارجع إلى قسم تخفيفات خدمة Android و Google للحصول على تفاصيل حول حماية النظام الأساسي لأمان Android وحماية الخدمة مثل SafetyNet ، والتي تعمل على تحسين أمان نظام Android الأساسي.

نحن نشجع جميع العملاء على قبول هذه التحديثات على أجهزتهم.

الإعلانات

  • تحتوي هذه النشرة على سلسلتين على مستوى تصحيح الأمان لتزويد شركاء Android بالمرونة لإصلاح مجموعة فرعية من الثغرات الأمنية المتشابهة عبر جميع أجهزة Android بشكل أسرع. راجع الأسئلة والأجوبة الشائعة للحصول على معلومات إضافية:
    • 2017-02-01 : سلسلة مستوى تصحيح الأمان الجزئي. تشير سلسلة مستوى تصحيح الأمان هذه إلى أنه تمت معالجة جميع المشكلات المرتبطة بـ 2017-02-01 (وجميع سلاسل مستوى تصحيح الأمان السابقة).
    • 2017-02-05 : استكمال سلسلة مستوى تصحيح الأمان. تشير سلسلة مستوى تصحيح الأمان هذه إلى أنه تمت معالجة جميع المشكلات المرتبطة بـ 2017-02-01 و 2017-02-05 (وجميع سلاسل مستوى تصحيح الأمان السابقة).
  • ستتلقى أجهزة Google المدعومة تحديث OTA واحد بمستوى تصحيح الأمان في 05 فبراير 2017.

عمليات التخفيف من خدمة Android و Google

هذا ملخص لعمليات التخفيف التي يوفرها النظام الأساسي للأمان في Android وإجراءات حماية الخدمة ، مثل SafetyNet. تقلل هذه الإمكانات من احتمالية نجاح استغلال الثغرات الأمنية على Android.

  • أصبح استغلال العديد من المشكلات على Android أكثر صعوبة من خلال التحسينات في الإصدارات الأحدث من نظام Android الأساسي. نشجع جميع المستخدمين على التحديث إلى أحدث إصدار من Android حيثما أمكن ذلك.
  • يقوم فريق Android Security بمراقبة إساءة الاستخدام بنشاط باستخدام Verify Apps و SafetyNet ، المصممين لتحذير المستخدمين من التطبيقات التي يُحتمل أن تكون ضارة . يتم تمكين التحقق من التطبيقات افتراضيًا على الأجهزة المزودة بخدمات Google للجوال وهو مهم بشكل خاص للمستخدمين الذين يقومون بتثبيت التطبيقات من خارج Google Play. تُحظر أدوات تجذير الجهاز في Google Play ، ولكن Verify Apps تحذر المستخدمين عند محاولتهم تثبيت تطبيق تجذير تم اكتشافه - بغض النظر عن مصدره. بالإضافة إلى ذلك ، تحاول Verify Apps تحديد ومنع تثبيت التطبيقات الضارة المعروفة التي تستغل ثغرة أمنية في تصعيد الامتيازات. إذا تم بالفعل تثبيت مثل هذا التطبيق ، فستقوم Verify Apps بإخطار المستخدم ومحاولة إزالة التطبيق المكتشف.
  • حسب الاقتضاء ، لا تقوم تطبيقات Google Hangouts و Messenger بتمرير الوسائط تلقائيًا إلى عمليات مثل Mediaserver.

شكر وتقدير

نود أن نشكر هؤلاء الباحثين على مساهماتهم:

كما نود أن نشكر الجهات التالية على مساهماتهم في هذه النشرة:

  • Pengfei Ding (丁鹏飞) و Chenfu Bao (包 沉浮) و Lenx Wei (韦 韬) من Baidu X-Lab (百度 安全 实验室)

2017-02-01 مستوى تصحيح الأمان - تفاصيل الثغرة الأمنية

في الأقسام أدناه ، نقدم تفاصيل عن كل من الثغرات الأمنية التي تنطبق على مستوى التصحيح 2017-02-01. يوجد وصف للمشكلة ، ومبرر الخطورة ، وجدول مع CVE ، والمراجع المرتبطة ، والخطورة ، وأجهزة Google المحدثة ، وإصدارات AOSP المحدثة (حيثما ينطبق ذلك) ، وتاريخ الإبلاغ. عند توفرها ، سنربط التغيير العام الذي عالج المشكلة بمعرف الخطأ ، مثل قائمة تغيير AOSP. عندما تتعلق تغييرات متعددة بخلل واحد ، يتم ربط مراجع إضافية بأرقام تتبع معرّف الخطأ.

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في Surfaceflinger

قد تؤدي ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في Surfaceflinger إلى تمكين المهاجم من استخدام ملف تم إنشاؤه خصيصًا للتسبب في تلف الذاكرة أثناء معالجة ملف الوسائط والبيانات. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في سياق عملية Surfaceflinger.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0405 A-31960359 حرج الجميع 7.0 ، 7.1.1 4 أكتوبر 2016

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في Mediaserver

قد تؤدي ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في Mediaserver إلى تمكين المهاجم من استخدام ملف تم إنشاؤه خصيصًا للتسبب في تلف الذاكرة أثناء معالجة ملف الوسائط والبيانات. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في سياق عملية Mediaserver.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0406 A-32915871 [ 2 ] حرج الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 14 نوفمبر 2016
CVE-2017-0407 أ -32873375 حرج الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 12 نوفمبر 2016

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في libgdx

قد تؤدي الثغرة الأمنية في تنفيذ التعليمات البرمجية عن بُعد في libgdx إلى تمكين المهاجم من استخدام ملف تم إنشاؤه خصيصًا لتنفيذ تعليمات برمجية عشوائية في سياق عملية غير مميزة. تم تصنيف هذه المشكلة على أنها عالية نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في أحد التطبيقات التي تستخدم هذه المكتبة.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0408 A-32769670 عالٍ الجميع 7.1.1 9 من تشرين الثاني 2016

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في libstagefright

قد تؤدي الثغرة الأمنية في تنفيذ التعليمات البرمجية عن بُعد في libstagefright إلى تمكين المهاجم من استخدام ملف تم إنشاؤه خصيصًا لتنفيذ تعليمات برمجية عشوائية في سياق عملية لا تتمتع بامتيازات. تم تصنيف هذه المشكلة على أنها عالية نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في أحد التطبيقات التي تستخدم هذه المكتبة.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0409 A-31999646 عالٍ الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 جوجل الداخلية

ارتفاع ضعف الامتياز في Java.Net

يمكن أن يؤدي رفع الامتياز في مكتبة Java.Net إلى تمكين محتوى الويب الضار من إعادة توجيه المستخدم إلى موقع ويب آخر دون إذن صريح. تم تصنيف هذه المشكلة على أنها عالية لأنها تجاوز عن بُعد لمتطلبات تفاعل المستخدم.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2016-5552 A-31858037 عالٍ الجميع 7.0 ، 7.1.1 30 سبتمبر 2016

رفع ثغرة أمنية في الامتيازات في واجهات برمجة تطبيقات Framework

قد يؤدي ارتفاع ثغرة الامتياز في واجهات برمجة تطبيقات Framework إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق عملية ذات امتيازات. تم تصنيف هذه المشكلة على أنها عالية لأنه يمكن استخدامها للوصول محليًا إلى إمكانات عالية ، والتي لا يمكن الوصول إليها عادةً من قبل تطبيق تابع لجهة خارجية.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0410 A-31929765 عالٍ الجميع 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 2 أكتوبر 2016
CVE-2017-0411 A-33042690 [ 2 ] عالٍ الجميع 7.0 ، 7.1.1 21 نوفمبر 2016
CVE-2017-0412 A-33039926 [ 2 ] عالٍ الجميع 7.0 ، 7.1.1 21 نوفمبر 2016

رفع مستوى ضعف الامتياز في Mediaserver

يمكن أن يؤدي ارتفاع مستوى ضعف الامتيازات في Mediaserver إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق عملية ذات امتيازات. تم تصنيف هذه المشكلة على أنها عالية لأنه يمكن استخدامها للوصول محليًا إلى إمكانات عالية ، والتي لا يمكن الوصول إليها عادةً من قبل تطبيق تابع لجهة خارجية.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0415 A-32706020 عالٍ الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 4 نوفمبر 2016

ارتفاع ضعف الامتياز في Audioserver

يمكن أن يؤدي ارتفاع ثغرة الامتياز في Audioserver إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق عملية ذات امتيازات. تم تصنيف هذه المشكلة على أنها عالية لأنه يمكن استخدامها للوصول محليًا إلى إمكانات عالية ، والتي لا يمكن الوصول إليها عادةً من قبل تطبيق تابع لجهة خارجية.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0416 A-32886609 [ 2 ] عالٍ الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 جوجل الداخلية
CVE-2017-0417 أ -32705438 عالٍ الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 7 نوفمبر 2016
CVE-2017-0418 A-32703959 [ 2 ] عالٍ الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 7 نوفمبر 2016
CVE-2017-0419 أ -32220769 عالٍ الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 15 أكتوبر 2016

ثغرة الكشف عن المعلومات في بريد AOSP

قد تؤدي ثغرة الكشف عن المعلومات في بريد AOSP إلى تمكين تطبيق ضار محلي من تجاوز إجراءات حماية نظام التشغيل التي تعزل بيانات التطبيق عن التطبيقات الأخرى. تم تصنيف هذه المشكلة على أنها عالية لأنه يمكن استخدامها للوصول إلى البيانات التي لا يستطيع التطبيق الوصول إليها.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0420 A-32615212 عالٍ الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 12 سبتمبر 2016

ثغرة الكشف عن المعلومات في مراسلة AOSP

قد تؤدي ثغرة الكشف عن المعلومات في AOSP Messaging إلى تمكين تطبيق ضار محلي من تجاوز إجراءات حماية نظام التشغيل التي تعزل بيانات التطبيق عن التطبيقات الأخرى. تم تصنيف هذه المشكلة على أنها عالية لأنه يمكن استخدامها للوصول إلى البيانات التي لا يستطيع التطبيق الوصول إليها.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0413 أ -32161610 عالٍ الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 13 أكتوبر 2016
CVE-2017-0414 A-32807795 عالٍ الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 10 من تشرين الثاني 2016

ثغرة أمنية في الكشف عن المعلومات في Framework APIs

قد تؤدي ثغرة الكشف عن المعلومات في واجهات برمجة تطبيقات Framework إلى تمكين تطبيق ضار محلي من تجاوز إجراءات حماية نظام التشغيل التي تعزل بيانات التطبيق عن التطبيقات الأخرى. تم تصنيف هذه المشكلة على أنها عالية لأنه يمكن استخدامها للوصول إلى البيانات التي لا يستطيع التطبيق الوصول إليها.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0421 A-32555637 عالٍ الجميع 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 جوجل الداخلية

ضعف رفض الخدمة في Bionic DNS

قد يؤدي رفض وجود ثغرة أمنية في خدمة Bionic DNS إلى تمكين المهاجم عن بُعد من استخدام حزمة شبكة مُعدة خصيصًا للتسبب في تعطل الجهاز أو إعادة تشغيله. تم تصنيف هذه المشكلة على أنها عالية نظرًا لاحتمال رفض الخدمة عن بُعد.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0422 A-32322088 عالٍ الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 20 أكتوبر 2016

ارتفاع ضعف الامتياز في البلوتوث

يمكن أن يؤدي ارتفاع ثغرة الامتياز في Bluetooth إلى تمكين مهاجم قريب من إدارة الوصول إلى المستندات الموجودة على الجهاز. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تتطلب أولاً استغلال ثغرة أمنية منفصلة في مكدس Bluetooth.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0423 A-32612586 معتدل الجميع 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 2 نوفمبر 2016

ثغرة الكشف عن المعلومات في مراسلة AOSP

قد تؤدي ثغرة الكشف عن المعلومات في AOSP Messaging إلى تمكين مهاجم عن بُعد باستخدام ملف خاص مصنوع للوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تجاوز عام للدفاع على مستوى المستخدم في العمق أو استغلال تقنية التخفيف في عملية مميزة.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0424 A-32322450 معتدل الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 20 أكتوبر 2016

ثغرة الكشف عن المعلومات في Audioserver

قد تؤدي ثغرة الكشف عن المعلومات في Audioserver إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنه يمكن استخدامها للوصول إلى البيانات الحساسة دون إذن.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0425 أ -32720785 معتدل الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 7 نوفمبر 2016

ثغرة الكشف عن المعلومات في نظام الملفات

قد تؤدي ثغرة الكشف عن المعلومات في نظام الملفات إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنه يمكن استخدامها للوصول إلى البيانات الحساسة دون إذن.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0426 A-32799236 [ 2 ] معتدل الجميع 7.0 ، 7.1.1 جوجل الداخلية

2017-02-05 مستوى تصحيح الأمان - تفاصيل الثغرة الأمنية

في الأقسام أدناه ، نقدم تفاصيل عن كل من الثغرات الأمنية التي تنطبق على مستوى التصحيح 2017-02-05. يوجد وصف للمشكلة ، ومبرر الخطورة ، وجدول مع CVE ، والمراجع المرتبطة ، والخطورة ، وأجهزة Google المحدثة ، وإصدارات AOSP المحدثة (حيثما ينطبق ذلك) ، وتاريخ الإبلاغ. عند توفرها ، سنربط التغيير العام الذي عالج المشكلة بمعرف الخطأ ، مثل قائمة تغيير AOSP. عندما تتعلق تغييرات متعددة بخلل واحد ، يتم ربط مراجع إضافية بأرقام تتبع معرّف الخطأ.

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في برنامج تشغيل التشفير Qualcomm

قد تؤدي الثغرة الأمنية في تنفيذ التعليمات البرمجية عن بُعد في برنامج تشغيل التشفير Qualcomm إلى تمكين المهاجم عن بُعد من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها حرجة بسبب إمكانية تنفيذ التعليمات البرمجية عن بُعد في سياق النواة.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-8418 أ -32652894
QC-CR # 1077457
حرج لا أحد* 10 أكتوبر 2016

* لا تتأثر أجهزة Google المدعومة على Android 7.0 أو الأحدث التي تم تثبيت جميع التحديثات المتاحة بها بهذه الثغرة الأمنية.

ارتفاع ضعف الامتياز في نظام ملفات kernel

يمكن أن يؤدي ارتفاع ثغرة الامتياز في نظام ملفات kernel إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ، مما قد يتطلب إعادة تحميل نظام التشغيل لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0427 A-31495866 * حرج Nexus 5X و Nexus 6 و Nexus 6P و Nexus 9 و Android One و Pixel C و Nexus Player و Pixel و Pixel XL 13 سبتمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ارتفاع ثغرة أمنية في برنامج تشغيل NVIDIA GPU

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل NVIDIA GPU إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ، مما قد يتطلب إعادة تحميل نظام التشغيل لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0428 A-32401526 *
N-CVE-2017-0428
حرج نيكزس 9 25 أكتوبر 2016
CVE-2017-0429 A-32636619 *
N-CVE-2017-0429
حرج نيكزس 9 3 نوفمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ارتفاع ضعف الامتياز في النظام الفرعي لشبكات kernel

قد يؤدي ارتفاع ثغرة الامتياز في النظام الفرعي لشبكات kernel إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ، مما قد يتطلب إعادة تحميل نظام التشغيل لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2014-9914 أ -32882659
نواة المنبع
حرج Nexus 6 ، Nexus Player 9 من تشرين الثاني 2016

ارتفاع ضعف الامتياز في برنامج تشغيل Broadcom Wi-Fi

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل Broadcom Wi-Fi إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ، مما قد يتطلب إعادة تحميل نظام التشغيل لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0430 A-32838767 *
B-RB # 107459
حرج Nexus 6 و Nexus 6P و Nexus 9 و Pixel C و Nexus Player جوجل الداخلية

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

نقاط الضعف في مكونات Qualcomm

تؤثر الثغرة الأمنية التالية على مكونات Qualcomm ويتم وصفها بمزيد من التفصيل في نشرة أمان Qualcomm AMSS لشهر سبتمبر 2016.

CVE مراجع خطورة* أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0431 A-32573899 ** حرج لا أحد*** كوالكوم داخلي

* تم تحديد تصنيف خطورة هذه الثغرات الأمنية من قبل البائع.

** التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

*** لا تتأثر أجهزة Google المدعومة التي تعمل بنظام التشغيل Android 7.0 أو الأحدث والتي قامت بتثبيت جميع التحديثات المتاحة بهذه الثغرة الأمنية.

ارتفاع ضعف الامتياز في برنامج MediaTek

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل MediaTek إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0432 A-28332719 *
M- ألبس 02708925
عالٍ لا أحد** 21 أبريل 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

** لا تتأثر أجهزة Google المدعومة على نظام التشغيل Android 7.0 أو الأحدث والتي تم تثبيت جميع التحديثات المتاحة بها بهذه الثغرة الأمنية.

ارتفاع ضعف الامتياز في برنامج تشغيل شاشة اللمس Synaptics

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل شاشة اللمس Synaptics إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق مجموعة شرائح الشاشة التي تعمل باللمس. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0433 A-31913571 * عالٍ Nexus 6P و Nexus 9 و Android One و Pixel و Pixel XL 8 سبتمبر 2016
CVE-2017-0434 A-33001936 * عالٍ Pixel و Pixel XL 18 نوفمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

رفع مستوى ضعف الامتيازات في برنامج تشغيل Qualcomm Secure Execution Environment Communicator

يمكن أن يؤدي ارتفاع ثغرة الامتياز في محرك Qualcomm Secure Execution Environment Communicator إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-8480 A-31804432
QC-CR # 1086186 [ 2 ]
عالٍ Nexus 5X و Nexus 6 و Nexus 6P و Android One و Pixel و Pixel XL 28 سبتمبر 2016

ارتفاع ضعف الامتياز في برنامج تشغيل الصوت Qualcomm

قد يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل الصوت Qualcomm إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-8481 A-31906415 *
QC-CR # 1078000
عالٍ Nexus 5X و Nexus 6P و Pixel و Pixel XL 1 أكتوبر 2016
CVE-2017-0435 A-31906657 *
QC-CR # 1078000
عالٍ Nexus 5X و Nexus 6P و Pixel و Pixel XL 1 أكتوبر 2016
CVE-2017-0436 A-32624661 *
QC-CR # 1078000
عالٍ Nexus 5X و Nexus 6P و Pixel و Pixel XL 2 نوفمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ارتفاع ضعف الامتياز في برنامج تشغيل Qualcomm Wi-Fi

قد يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل Qualcomm Wi-Fi إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0437 A-32402310
QC-CR # 1092497
عالٍ Nexus 5X و Pixel و Pixel XL 25 أكتوبر 2016
CVE-2017-0438 A-32402604
QC-CR # 1092497
عالٍ Nexus 5X و Pixel و Pixel XL 25 أكتوبر 2016
CVE-2017-0439 A-32450647
QC-CR # 1092059
عالٍ Nexus 5X و Pixel و Pixel XL 25 أكتوبر 2016
CVE-2016-8419 A-32454494
QC-CR # 1087209
عالٍ Nexus 5X و Pixel و Pixel XL 26 أكتوبر 2016
CVE-2016-8420 أ -32451171
QC-CR # 1087807
عالٍ Nexus 5X و Pixel و Pixel XL 26 أكتوبر 2016
CVE-2016-8421 A-32451104
QC-CR # 1087797
عالٍ Nexus 5X و Pixel و Pixel XL 26 أكتوبر 2016
CVE-2017-0440 A-33252788
QC-CR # 1095770
عالٍ Nexus 5X و Pixel و Pixel XL 11 من تشرين الثاني 2016
CVE-2017-0441 أ -32872662
QC-CR # 1095009
عالٍ Nexus 5X و Pixel و Pixel XL 11 من تشرين الثاني 2016
CVE-2017-0442 أ -32871330
QC-CR # 1092497
عالٍ Nexus 5X و Pixel و Pixel XL 13 نوفمبر 2016
CVE-2017-0443 A-32877494
QC-CR # 1092497
عالٍ Nexus 5X و Pixel و Pixel XL 13 نوفمبر 2016
CVE-2016-8476 أ -32879283
QC-CR # 1091940
عالٍ Nexus 5X و Pixel و Pixel XL 14 نوفمبر 2016

ارتفاع ضعف الامتياز في برنامج تشغيل الصوت Realtek

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل الصوت Realtek إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0444 A-32705232 * عالٍ نيكزس 9 7 نوفمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ارتفاع ضعف الامتياز في برنامج تشغيل شاشة اللمس HTC

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل شاشة اللمس من HTC إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0445 A-32769717 * عالٍ Pixel و Pixel XL 9 من تشرين الثاني 2016
CVE-2017-0446 A-32917445 * عالٍ Pixel و Pixel XL 15 نوفمبر 2016
CVE-2017-0447 A-32919560 * عالٍ Pixel و Pixel XL 15 نوفمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ثغرة الكشف عن المعلومات في برنامج تشغيل الفيديو NVIDIA

قد تؤدي ثغرة الكشف عن المعلومات في برنامج تشغيل الفيديو NVIDIA إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها عالية لأنه يمكن استخدامها للوصول إلى البيانات الحساسة دون إذن صريح من المستخدم.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0448 A-32721029 *
N-CVE-2017-0448
عالٍ نيكزس 9 7 نوفمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ارتفاع ضعف الامتياز في برنامج تشغيل Broadcom Wi-Fi

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل Broadcom Wi-Fi إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تتطلب أولاً التنازل عن عملية ذات امتيازات ويتم تخفيفها من خلال تكوينات النظام الأساسي الحالية.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0449 A-31707909 *
B-RB # 32094
معتدل Nexus 6 و Nexus 6P 23 سبتمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ارتفاع ضعف الامتياز في Audioserver

يمكن أن يؤدي ارتفاع ثغرة الامتياز في Audioserver إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق عملية ذات امتيازات. تم تصنيف هذه المشكلة على أنها متوسطة لأنه يتم تخفيفها بواسطة تكوينات النظام الأساسي الحالية.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0450 A-32917432 * معتدل نيكزس 9 15 نوفمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ارتفاع ضعف الامتياز في نظام ملفات kernel

يمكن أن يؤدي ارتفاع ثغرة الامتياز في نظام ملفات kernel إلى تمكين تطبيق ضار محلي من تجاوز الحماية التي تمنع تصعيد الامتيازات. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تجاوز عام للدفاع على مستوى المستخدم في العمق أو استغلال تقنية التخفيف.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-10044 A-31711619 * معتدل Nexus 5X و Nexus 6 و Nexus 6P و Nexus 9 و Android One و Pixel C و Nexus Player و Pixel و Pixel XL جوجل الداخلية

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ثغرة الكشف عن المعلومات في Qualcomm Secure Execution Environment Communicator

قد تؤدي ثغرة الكشف عن المعلومات في Qualcomm Secure Execution Environment Communicator إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-8414 A-31704078
QC-CR # 1076407
معتدل Nexus 5X و Nexus 6P و Android One و Pixel و Pixel XL 23 سبتمبر 2016

ثغرة الكشف عن المعلومات في برنامج تشغيل الصوت Qualcomm

قد تؤدي ثغرة الكشف عن المعلومات في برنامج تشغيل الصوت Qualcomm إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0451 A-31796345
QC-CR # 1073129 [ 2 ]
معتدل Nexus 5X و Nexus 6P و Android One و Pixel و Pixel XL 27 سبتمبر 2016

أسئلة وأجوبة شائعة

يجيب هذا القسم على الأسئلة الشائعة التي قد تطرأ بعد قراءة هذه النشرة.

1. كيف يمكنني تحديد ما إذا كان قد تم تحديث جهازي لمعالجة هذه المشكلات؟

لمعرفة كيفية التحقق من مستوى تصحيح الأمان لجهاز ما ، اقرأ التعليمات الواردة في جدول تحديث Pixel و Nexus .

  • مستويات تصحيح الأمان في 2017-02-01 أو أحدث تعالج جميع المشكلات المرتبطة بمستوى تصحيح الأمان 2017-02-01.
  • تعالج مستويات تصحيح الأمان في 2017-02-05 أو أحدث جميع المشكلات المرتبطة بمستوى تصحيح الأمان 2017-02-05 وجميع مستويات التصحيح السابقة.

يجب على الشركات المصنعة للأجهزة التي تتضمن هذه التحديثات تعيين مستوى سلسلة التصحيح على:

  • [ro.build.version.security_patch]:[2017-02-01]
  • [ro.build.version.security_patch]:[2017-02-05]

2. لماذا تحتوي هذه النشرة على مستويين من تصحيح الأمان؟

تحتوي هذه النشرة على مستويين من تصحيح الأمان بحيث يتمتع شركاء Android بالمرونة لإصلاح مجموعة فرعية من الثغرات الأمنية المتشابهة عبر جميع أجهزة Android بسرعة أكبر. يتم تشجيع شركاء Android على إصلاح جميع المشكلات الواردة في هذه النشرة واستخدام أحدث مستوى من تصحيح الأمان.

  • يجب أن تتضمن الأجهزة التي تستخدم مستوى تصحيح الأمان في 1 فبراير 2017 جميع المشكلات المرتبطة بمستوى تصحيح الأمان هذا ، بالإضافة إلى إصلاحات لجميع المشكلات التي تم الإبلاغ عنها في نشرات الأمان السابقة.
  • يجب أن تشتمل الأجهزة التي تستخدم مستوى تصحيح الأمان بتاريخ 5 فبراير 2017 أو أحدث على جميع التصحيحات القابلة للتطبيق في نشرات الأمان هذه (والسابقة).

يتم تشجيع الشركاء على تجميع الإصلاحات لجميع المشكلات التي يعالجونها في تحديث واحد.

3. كيف يمكنني تحديد أجهزة Google التي تتأثر بكل مشكلة؟

In the 2017-02-01 and 2017-02-05 security vulnerability details sections, each table has an Updated Google devices column that covers the range of affected Google devices updated for each issue. This column has a few options:

  • All Google devices : If an issue affects All and Pixel devices, the table will have "All" in the Updated Google devices column. "All" encapsulates the following supported devices : Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel, and Pixel XL.
  • Some Google devices : If an issue doesn't affect all Google devices, the affected Google devices are listed in the Updated Google devices column.
  • No Google devices : If no Google devices running Android 7.0 are affected by the issue, the table will have "None" in the Updated Google devices column.

4. What do the entries in the references column map to?

Entries under the References column of the vulnerability details table may contain a prefix identifying the organization to which the reference value belongs. These prefixes map as follows:

Prefix Reference
A- Android bug ID
QC- Qualcomm reference number
M- MediaTek reference number
N- NVIDIA reference number
B- Broadcom reference number

Revisions

  • February 06, 2017: Bulletin published.
  • February 08, 2017: Bulletin revised to include AOSP links.