เผยแพร่เมื่อ 6 กุมภาพันธ์ 2017 | อัปเดตเมื่อ 8 กุมภาพันธ์ 2017
กระดานข่าวสารด้านความปลอดภัยของ Android มีรายละเอียดช่องโหว่ด้านความปลอดภัยที่ส่งผลกระทบต่ออุปกรณ์ Android นอกเหนือจากกระดานข่าวสารแล้ว เรายังได้เผยแพร่การอัปเดตความปลอดภัยให้กับอุปกรณ์ Google ผ่านการอัปเดตผ่านอากาศ (OTA) ด้วย เราได้เผยแพร่อิมเมจเฟิร์มแวร์ของอุปกรณ์ Google ไปยังเว็บไซต์สำหรับนักพัฒนาซอฟต์แวร์ของ Google ด้วย ระดับแพตช์ความปลอดภัยของวันที่ 5 กุมภาพันธ์ 2017 ขึ้นไปจะแก้ไขปัญหาเหล่านี้ทั้งหมด โปรดดูกำหนดการอัปเดต Pixel และ Nexus เพื่อดูวิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์
พาร์ทเนอร์ได้รับการแจ้งเตือนเกี่ยวกับปัญหาที่อธิบายไว้ในกระดานข่าวสารเมื่อวันที่ 3 มกราคม 2017 หรือก่อนหน้านั้น เราได้เผยแพร่แพตช์ซอร์สโค้ดสำหรับปัญหาเหล่านี้ไปยังที่เก็บข้อมูลโครงการโอเพนซอร์ส Android (AOSP) และลิงก์จากกระดานข่าวสารนี้แล้ว กระดานข่าวสารนี้ยังมีลิงก์ไปยังแพตช์นอก AOSP ด้วย
ปัญหาที่ร้ายแรงที่สุดคือช่องโหว่ด้านความปลอดภัยร้ายแรงที่อาจทำให้สามารถเรียกใช้โค้ดจากระยะไกลในอุปกรณ์ที่ได้รับผลกระทบผ่านวิธีการต่างๆ เช่น อีเมล การท่องเว็บ และ MMS เมื่อประมวลผลไฟล์สื่อ การประเมินความรุนแรงจะอิงตามผลกระทบที่การใช้ประโยชน์จากช่องโหว่อาจมีต่ออุปกรณ์ที่ได้รับผลกระทบ โดยสมมติว่ามีการปิดใช้มาตรการบรรเทาปัญหาของแพลตฟอร์มและบริการเพื่อวัตถุประสงค์ในการพัฒนา หรือหากมีการหลบเลี่ยงได้สําเร็จ
เราไม่พบรายงานการแสวงหาประโยชน์หรือการใช้ในทางที่ผิดของลูกค้าเกี่ยวกับปัญหาที่รายงานเข้ามาใหม่เหล่านี้ โปรดดูรายละเอียดเกี่ยวกับการป้องกันแพลตฟอร์มความปลอดภัยของ Android และการป้องกันบริการ เช่น SafetyNet ที่ส่วนการบรรเทาสำหรับ Android และบริการของ Google ซึ่งช่วยปรับปรุงความปลอดภัยของแพลตฟอร์ม Android
เราขอแนะนำให้ลูกค้าทุกคนยอมรับการอัปเดตเหล่านี้ในอุปกรณ์
ประกาศ
- กระดานข่าวสารนี้มีสตริงระดับแพตช์ความปลอดภัย 2 รายการเพื่อให้พาร์ทเนอร์ Android มีความยืดหยุ่นในการแก้ไขช่องโหว่ชุดย่อยที่คล้ายกันในอุปกรณ์ Android ทั้งหมดได้เร็วขึ้น ดูข้อมูลเพิ่มเติมได้ในคำถามที่พบบ่อยและคำตอบ ดังนี้
- 2017-02-01: สตริงระดับแพตช์ความปลอดภัยบางส่วน สตริงระดับแพตช์ความปลอดภัยนี้บ่งชี้ว่าปัญหาทั้งหมดที่เกี่ยวข้องกับ 2017-02-01 (และสตริงระดับแพตช์ความปลอดภัยก่อนหน้าทั้งหมด) ได้รับการแก้ไขแล้ว
- 2017-02-05: สตริงระดับแพตช์ความปลอดภัยที่สมบูรณ์ สตริงระดับแพตช์ความปลอดภัยนี้บ่งบอกว่าปัญหาทั้งหมดที่เกี่ยวข้องกับ 2017-02-01 และ 2017-02-05 (และสตริงระดับแพตช์ความปลอดภัยก่อนหน้าทั้งหมด) ได้รับการแก้ไขแล้ว
- อุปกรณ์ Google ที่รองรับจะได้รับการอัปเดต OTA ครั้งเดียวที่มีระดับแพตช์ความปลอดภัยของวันที่ 5 กุมภาพันธ์ 2017
การลดผลกระทบต่อบริการของ Android และ Google
ข้อมูลต่อไปนี้เป็นสรุปของมาตรการบรรเทาความเสี่ยงที่ได้จากแพลตฟอร์มการรักษาความปลอดภัยของ Android และการปกป้องบริการ เช่น SafetyNet ความสามารถเหล่านี้จะช่วยลดโอกาสที่ช่องโหว่ด้านความปลอดภัยจะได้รับการแสวงหาประโยชน์ใน Android
- การหาช่องโหว่ของปัญหาต่างๆ ใน Android ทำได้ยากขึ้นเนื่องจากการปรับปรุงแพลตฟอร์ม Android เวอร์ชันใหม่ เราขอแนะนำให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดหากเป็นไปได้
- ทีมรักษาความปลอดภัยของ Android คอยตรวจสอบการละเมิดอย่างต่อเนื่องด้วย การยืนยันแอปและ SafetyNet ซึ่งออกแบบมาเพื่อเตือนผู้ใช้เกี่ยวกับ แอปพลิเคชันที่อาจเป็นอันตราย ยืนยันแอปจะเปิดใช้โดยค่าเริ่มต้นในอุปกรณ์ที่มี Google Mobile Services และมีความสำคัญอย่างยิ่งสำหรับผู้ใช้ที่ติดตั้งแอปพลิเคชันจากภายนอก Google Play เราไม่อนุญาตให้มีเครื่องมือการรูทอุปกรณ์ใน Google Play แต่แอป "ยืนยันแอป" จะเตือนผู้ใช้เมื่อพยายามติดตั้งแอปพลิเคชันการรูทที่ตรวจพบ ไม่ว่าแอปพลิเคชันนั้นจะมาจากที่ใดก็ตาม นอกจากนี้ ฟีเจอร์ตรวจสอบแอปจะพยายามระบุและบล็อกการติดตั้งแอปพลิเคชันที่เป็นอันตรายซึ่งทราบอยู่แล้วว่าใช้ประโยชน์จากช่องโหว่การยกระดับสิทธิ์ หากติดตั้งแอปพลิเคชันดังกล่าวไว้แล้ว ฟีเจอร์ยืนยันแอปจะแจ้งให้ผู้ใช้ทราบและพยายามนำแอปพลิเคชันที่ตรวจพบออก
- แอปพลิเคชัน Google Hangouts และ Messenger จะไม่ส่งสื่อไปยังกระบวนการต่างๆ เช่น Mediaserver โดยอัตโนมัติตามความเหมาะสม
ขอขอบคุณ
ขอขอบคุณนักวิจัยต่อไปนี้ที่มีส่วนร่วม
- Daniel Dakhno: CVE-2017-0420
- Daniel Micay จาก Copperhead Security: CVE-2017-0410
- Dzmitry Lukyanenka: CVE-2017-0414
- Frank Liberato จากทีม Chrome: CVE-2017-0409
- Gal Beniamini จาก Project Zero: CVE-2017-0411, CVE-2017-0412
- Gengjia Chen (@chengjia4574) และ pjf จาก IceSword Lab, Qihoo 360 Tech. Co. Ltd. CVE-2017-0434, CVE-2017-0446, CVE-2017-0447, CVE-2017-0432
- Guang Gong (龚广) (@oldfresher) จากทีม Alpha ของ Qihoo 360 Technology Co.Ltd CVE-2017-0415
- Hanxiang Wen, Wenke Dou, Mingjian Zhou ( @Mingjian_Zhou), และ Xuxian Jiang จากทีม C0RE: CVE-2017-0418
- Hao Chen และ Guang Gong จากทีม Alpha, Qihoo 360 Technology Co. Ltd. CVE-2017-0437, CVE-2017-0438, CVE-2017-0439, CVE-2016-8419, CVE-2016-8420, CVE-2016-8421, CVE-2017-0441, CVE-2017-0442, CVE-2016-8476, CVE-2017-0443
- Jeff Sharkey จาก Google: CVE-2017-0421, CVE-2017-0423
- Jeff Trim: CVE-2017-0422
- Jianqiang Zhao ( @jianqiangzhao) และ pjf จาก IceSword Lab, Qihoo 360: CVE-2017-0445
- ma.la และ Nikolay Elenkov จาก LINE Corporation: CVE-2016-5552
- Max Spector จาก Google: CVE-2017-0416
- Mingjian Zhou ( @Mingjian_Zhou), Yuqi Lu ( @nikos233) และ Xuxian Jiang จากทีม C0RE: CVE-2017-0425
- Qidan He (何淇丹) (@flanker_hqd) และ Di Shen (申迪) (@returnsme) จาก KeenLab, Tencent (腾讯科恩实验室): CVE-2017-0427
- Sagi Kedmi จากทีมวิจัย X-Force ของ IBM: CVE-2017-0433
- Scott Bauer (@ScottyBauer1) และ Daniel Micay จาก Copperhead Security: CVE-2017-0405
- Seven Shen (@lingtongshen) จากทีมวิจัยภัยคุกคามบนอุปกรณ์เคลื่อนที่ของ Trend Micro: CVE-2017-0449, CVE-2016-8418
- Tong Lin, Yuan-Tsung Lo, Chiachih Wu ( @chiachih_wu), และ Xuxian Jiang จากทีม C0RE: CVE-2017-0436, CVE-2016-8481, CVE-2017-0435
- V.E.O (@VYSEa) จากทีมตอบสนองต่อภัยคุกคามบนอุปกรณ์เคลื่อนที่ของ Trend Micro: CVE-2017-0424
- Weichao Sun (@sunblate) จาก Alibaba Inc. CVE-2017-0407
- Wenke Dou, Hongli Han, Mingjian Zhou ( @Mingjian_Zhou), และ Xuxian Jiang จากทีม C0RE: CVE-2017-0450
- Wenke Dou, Yuqi Lu ( @nikos233), Mingjian Zhou ( @Mingjian_Zhou), และ Xuxian Jiang จากทีม C0RE: CVE-2017-0417
- Wish Wu (@wish_wu) ( 吴潍浠 此彼) จาก Ant-financial Light-Year Security Lab: CVE-2017-0408
- Yao Jun, Yuan-Tsung Lo, Chiachih Wu ( @chiachih_wu), และ Xuxian Jiang จากทีม C0RE: CVE-2016-8480
- Yuan-Tsung Lo, Chiachih Wu ( @chiachih_wu) และ Xuxian Jiang จากทีม C0RE: CVE-2017-0444
- Yuan-Tsung Lo, Tong Lin, Chiachih Wu ( @chiachih_wu), และ Xuxian Jiang จากทีม C0RE: CVE-2017-0428
- Yuan-Tsung Lo, Xiaodong Wang, Chiachih Wu ( @chiachih_wu), และ Xuxian Jiang จากทีม C0RE: CVE-2017-0448, CVE-2017-0429
- Zhen Zhou ( @henices) และ Zhixin Li จาก NSFocus: CVE-2017-0406
นอกจากนี้ เรายังขอขอบคุณบุคคลต่อไปนี้ที่มีส่วนร่วมในกระดานข่าวสารนี้
- Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮) และ Lenx Wei (韦韬) จาก Baidu X-Lab (百度安全实验室)
ระดับแพตช์ความปลอดภัยของวันที่ 01-02-2017 - รายละเอียดช่องโหว่
ในส่วนด้านล่างนี้ เรามีรายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่มีผลกับระดับแพตช์ 2017-02-01 โดยมีคำอธิบายปัญหา เหตุผลด้านความรุนแรง และตารางที่แสดง CVE, ข้อมูลอ้างอิงที่เกี่ยวข้อง, ความรุนแรง, อุปกรณ์ Google ที่อัปเดตแล้ว, เวอร์ชัน AOSP ที่อัปเดตแล้ว (หากมี) และวันที่รายงาน เราจะลิงก์การเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสข้อบกพร่อง (หากมี) เช่น รายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับข้อบกพร่องเดียว ระบบจะลิงก์ข้อมูลอ้างอิงเพิ่มเติมกับตัวเลขตามรหัสข้อบกพร่อง
ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน Surfaceflinger
ช่องโหว่ด้านการดำเนินการโค้ดจากระยะไกลใน Surfaceflinger อาจทำให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อทำให้หน่วยความจำเสียหายระหว่างการประมวลผลไฟล์สื่อและข้อมูล ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่จะมีการเรียกใช้โค้ดจากระยะไกลภายในบริบทของกระบวนการ Surfaceflinger
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0405 | A-31960359 | วิกฤต | ทั้งหมด | 7.0, 7.1.1 | 4 ต.ค. 2016 |
ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน Mediaserver
ช่องโหว่ด้านการดำเนินการโค้ดจากระยะไกลใน Mediaserver อาจทำให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อทำให้หน่วยความจำเสียหายระหว่างการประมวลผลไฟล์สื่อและข้อมูล ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่จะมีการเรียกใช้โค้ดจากระยะไกลภายในบริบทของกระบวนการ Mediaserver
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0406 | A-32915871 [2] | วิกฤต | ทั้งหมด | 6.0, 6.0.1, 7.0, 7.1.1 | 14 พ.ย. 2016 |
| CVE-2017-0407 | A-32873375 | วิกฤต | ทั้งหมด | 6.0, 6.0.1, 7.0, 7.1.1 | 12 พ.ย. 2016 |
ช่องโหว่ด้านการดำเนินการกับโค้ดจากระยะไกลใน libgdx
ช่องโหว่การดำเนินการกับโค้ดจากระยะไกลใน libgdx อาจทำให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อเรียกใช้โค้ดที่กำหนดเองในบริบทของกระบวนการที่ไม่มีสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากมีความเป็นไปได้ที่จะมีการเรียกใช้โค้ดจากระยะไกลในแอปพลิเคชันที่ใช้ไลบรารีนี้
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0408 | A-32769670 | สูง | ทั้งหมด | 7.1.1 | 9 พ.ย. 2016 |
ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน libstagefright
ช่องโหว่ด้านการดำเนินการโค้ดจากระยะไกลใน libstagefright อาจทำให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อเรียกใช้โค้ดที่กำหนดเองในบริบทของกระบวนการที่ไม่มีสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากมีความเป็นไปได้ที่จะมีการดำเนินการโค้ดจากระยะไกลในแอปพลิเคชันที่ใช้ไลบรารีนี้
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0409 | A-31999646 | สูง | ทั้งหมด | 6.0, 6.0.1, 7.0, 7.1.1 | ภายในของ Google |
ช่องโหว่การยกระดับสิทธิ์ใน Java.Net
การเพิ่มสิทธิ์ในไลบรารี Java.Net อาจทำให้เนื้อหาที่เป็นอันตรายในเว็บเปลี่ยนเส้นทางผู้ใช้ไปยังเว็บไซต์อื่นได้โดยไม่ได้รับอนุญาตอย่างชัดเจน ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากเป็นการลบล้างข้อกําหนดของการโต้ตอบของผู้ใช้จากระยะไกล
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2016-5552 | A-31858037 | สูง | ทั้งหมด | 7.0, 7.1.1 | 30 ก.ย. 2016 |
ช่องโหว่การยกระดับสิทธิ์ใน API ของเฟรมเวิร์ก
ช่องโหว่การยกระดับสิทธิ์ใน Framework API อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของกระบวนการที่มีสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากอาจนำไปใช้เพื่อรับสิทธิ์เข้าถึงความสามารถที่ยกระดับในเครื่อง ซึ่งปกติแล้วแอปพลิเคชันของบุคคลที่สามจะเข้าถึงไม่ได้
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0410 | A-31929765 | สูง | ทั้งหมด | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 2 ต.ค. 2016 |
| CVE-2017-0411 | A-33042690 [2] | สูง | ทั้งหมด | 7.0, 7.1.1 | 21 พ.ย. 2016 |
| CVE-2017-0412 | A-33039926 [2] | สูง | ทั้งหมด | 7.0, 7.1.1 | 21 พ.ย. 2016 |
ช่องโหว่การยกระดับสิทธิ์ใน Mediaserver
ช่องโหว่การยกระดับสิทธิ์ใน Mediaserver อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของกระบวนการที่มีสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากอาจนำไปใช้เพื่อรับสิทธิ์เข้าถึงความสามารถที่ยกระดับในเครื่อง ซึ่งปกติแล้วแอปพลิเคชันของบุคคลที่สามจะเข้าถึงไม่ได้
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0415 | A-32706020 | สูง | ทั้งหมด | 6.0, 6.0.1, 7.0, 7.1.1 | 4 พ.ย. 2016 |
ช่องโหว่การยกระดับสิทธิ์ใน Audioserver
ช่องโหว่การยกระดับสิทธิ์ใน Audioserver อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของกระบวนการที่มีสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากอาจนำไปใช้เพื่อรับสิทธิ์เข้าถึงความสามารถที่ยกระดับในเครื่อง ซึ่งปกติแล้วแอปพลิเคชันของบุคคลที่สามจะเข้าถึงไม่ได้
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0416 | A-32886609 [2] | สูง | ทั้งหมด | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | ภายในของ Google |
| CVE-2017-0417 | A-32705438 | สูง | ทั้งหมด | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 7 พ.ย. 2016 |
| CVE-2017-0418 | A-32703959 [2] | สูง | ทั้งหมด | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 7 พ.ย. 2016 |
| CVE-2017-0419 | A-32220769 | สูง | ทั้งหมด | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 15 ต.ค. 2016 |
ช่องโหว่การเปิดเผยข้อมูลใน AOSP Mail
ช่องโหว่การเปิดเผยข้อมูลใน AOSP Mail อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเลี่ยงการป้องกันของระบบปฏิบัติการที่แยกข้อมูลแอปพลิเคชันออกจากแอปพลิเคชันอื่นๆ ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากอาจนำไปใช้เพื่อเข้าถึงข้อมูลที่แอปพลิเคชันไม่มีสิทธิ์เข้าถึง
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0420 | A-32615212 | สูง | ทั้งหมด | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 12 ก.ย. 2016 |
ช่องโหว่การเปิดเผยข้อมูลใน AOSP การรับส่งข้อความ
ช่องโหว่การเปิดเผยข้อมูลใน AOSP Messaging อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเลี่ยงการป้องกันของระบบปฏิบัติการที่แยกข้อมูลแอปพลิเคชันออกจากแอปพลิเคชันอื่นๆ ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากอาจนำไปใช้เพื่อเข้าถึงข้อมูลที่แอปพลิเคชันไม่มีสิทธิ์เข้าถึง
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0413 | A-32161610 | สูง | ทั้งหมด | 6.0, 6.0.1, 7.0, 7.1.1 | 13 ต.ค. 2016 |
| CVE-2017-0414 | A-32807795 | สูง | ทั้งหมด | 6.0, 6.0.1, 7.0, 7.1.1 | 10 พ.ย. 2016 |
ช่องโหว่การเปิดเผยข้อมูลในเฟรมเวิร์ก API
ช่องโหว่การเปิดเผยข้อมูลใน Framework API อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเลี่ยงการป้องกันของระบบปฏิบัติการที่แยกข้อมูลแอปพลิเคชันออกจากแอปพลิเคชันอื่นๆ ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากอาจนำไปใช้เพื่อเข้าถึงข้อมูลที่แอปพลิเคชันไม่มีสิทธิ์เข้าถึง
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0421 | A-32555637 | สูง | ทั้งหมด | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | ภายในของ Google |
ช่องโหว่การปฏิเสธการให้บริการใน Bionic DNS
ช่องโหว่การปฏิเสธบริการใน Bionic DNS อาจทำให้ผู้โจมตีระยะไกลใช้แพ็กเก็ตเครือข่ายที่สร้างขึ้นเป็นพิเศษเพื่อทำให้อุปกรณ์ค้างหรือรีบูตได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากมีความเป็นไปได้ที่จะมีการปฏิเสธการให้บริการจากระยะไกล
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0422 | A-32322088 | สูง | ทั้งหมด | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 20 ต.ค. 2016 |
ช่องโหว่การยกระดับสิทธิ์ในบลูทูธ
ช่องโหว่การยกระดับสิทธิ์ในบลูทูธอาจทำให้ผู้โจมตีที่อยู่ใกล้เคียงจัดการสิทธิ์เข้าถึงเอกสารในอุปกรณ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากต้องอาศัยการใช้ประโยชน์จากช่องโหว่แยกต่างหากในกองซ้อนบลูทูธก่อน
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0423 | A-32612586 | ปานกลาง | ทั้งหมด | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 2 พ.ย. 2016 |
ช่องโหว่การเปิดเผยข้อมูลใน AOSP การรับส่งข้อความ
ช่องโหว่การเปิดเผยข้อมูลใน AOSP Messaging อาจทำให้ผู้โจมตีระยะไกลใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อเข้าถึงข้อมูลที่อยู่นอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากเป็นการหลบเลี่ยงทั่วไปสําหรับการป้องกันแบบหลายชั้นในระดับผู้ใช้หรือเทคโนโลยีการลดความรุนแรงของช่องโหว่ในกระบวนการที่มีสิทธิ์
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0424 | A-32322450 | ปานกลาง | ทั้งหมด | 6.0, 6.0.1, 7.0, 7.1.1 | 20 ต.ค. 2016 |
ช่องโหว่การเปิดเผยข้อมูลใน Audioserver
ช่องโหว่การเปิดเผยข้อมูลใน Audioserver อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากอาจนำไปใช้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาต
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0425 | A-32720785 | ปานกลาง | ทั้งหมด | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 7 พ.ย. 2016 |
ช่องโหว่การเปิดเผยข้อมูลในระบบไฟล์
ช่องโหว่การเปิดเผยข้อมูลในระบบไฟล์อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากอาจนำไปใช้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาต
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | เวอร์ชัน AOSP ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|---|
| CVE-2017-0426 | A-32799236 [2] | ปานกลาง | ทั้งหมด | 7.0, 7.1.1 | ภายในของ Google |
ระดับแพตช์ความปลอดภัยของวันที่ 05-02-2017 - รายละเอียดช่องโหว่
ในส่วนด้านล่างนี้ เรามีรายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่มีผลกับระดับแพตช์ 2017-02-05 โดยมีคำอธิบายปัญหา เหตุผลด้านความรุนแรง และตารางที่แสดง CVE, ข้อมูลอ้างอิงที่เกี่ยวข้อง, ความรุนแรง, อุปกรณ์ Google ที่อัปเดตแล้ว, เวอร์ชัน AOSP ที่อัปเดตแล้ว (หากมี) และวันที่รายงาน เราจะลิงก์การเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสข้อบกพร่อง (หากมี) เช่น รายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับข้อบกพร่องเดียว ระบบจะลิงก์ข้อมูลอ้างอิงเพิ่มเติมกับตัวเลขตามรหัสข้อบกพร่อง
ช่องโหว่ด้านการดำเนินการกับโค้ดจากระยะไกลในไดรเวอร์การเข้ารหัสของ Qualcomm
ช่องโหว่การดำเนินการกับโค้ดจากระยะไกลในไดรเวอร์การเข้ารหัสของ Qualcomm อาจทำให้ผู้โจมตีจากระยะไกลเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่จะมีการดำเนินการโค้ดจากระยะไกลในบริบทของเคิร์กเนล
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2016-8418 | A-32652894 QC-CR#1077457 |
วิกฤต | ไม่มี* | 10 ต.ค. 2016 |
* อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้
ช่องโหว่การยกระดับสิทธิ์ในระบบไฟล์เคอร์เนล
ช่องโหว่การยกระดับสิทธิ์ในระบบไฟล์เคอร์เนลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์นเนลได้ ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่อุปกรณ์จะเกิดการประนีประนอมในพื้นที่อย่างถาวร ซึ่งอาจต้องแฟลชระบบปฏิบัติการอีกครั้งเพื่อซ่อมอุปกรณ์
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2017-0427 | A-31495866* | วิกฤต | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL | 13 ก.ย. 2016 |
* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ GPU ของ NVIDIA
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ GPU ของ NVIDIA อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่อุปกรณ์จะเกิดการประนีประนอมในพื้นที่อย่างถาวร ซึ่งอาจต้องแฟลชระบบปฏิบัติการอีกครั้งเพื่อซ่อมอุปกรณ์
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2017-0428 | A-32401526* N-CVE-2017-0428 |
วิกฤต | Nexus 9 | 25 ต.ค. 2016 |
| CVE-2017-0429 | A-32636619* N-CVE-2017-0429 |
วิกฤต | Nexus 9 | 3 พ.ย. 2016 |
* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google
การยกระดับสิทธิ์ ช่องโหว่ในระบบย่อยเครือข่ายเคอร์เนล
ช่องโหว่ด้านการเพิ่มสิทธิ์ในระบบย่อยเครือข่ายเคอร์เนลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดใดก็ได้ภายในบริบทของเคิร์นเนล ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่อุปกรณ์จะเกิดการประนีประนอมแบบถาวร ซึ่งอาจต้องมีการแฟลชระบบปฏิบัติการอีกครั้งเพื่อซ่อมอุปกรณ์
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2014-9914 | A-32882659 เคอร์เนล Upstream |
วิกฤต | Nexus 6, Nexus Player | 9 พ.ย. 2016 |
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ Wi-Fi ของ Broadcom
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ Wi-Fi ของ Broadcom อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่อุปกรณ์จะเกิดการประนีประนอมแบบถาวร ซึ่งอาจต้องมีการแฟลชระบบปฏิบัติการอีกครั้งเพื่อซ่อมอุปกรณ์
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2017-0430 | A-32838767* B-RB#107459 |
วิกฤต | Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player | ภายในของ Google |
* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google
ช่องโหว่ในคอมโพเนนต์ของ Qualcomm
ช่องโหว่ต่อไปนี้ส่งผลกระทบต่อคอมโพเนนต์ Qualcomm และมีรายละเอียดเพิ่มเติมในกระดานข่าวสารด้านความปลอดภัยของ Qualcomm AMSS เดือนกันยายน 2016
| CVE | ข้อมูลอ้างอิง | ความรุนแรง* | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2017-0431 | A-32573899** | วิกฤต | ไม่มี*** | ภายใน Qualcomm |
* ระดับความรุนแรงของช่องโหว่เหล่านี้กำหนดโดยผู้ให้บริการ
** การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google
*** อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้
ช่องโหว่การยกระดับสิทธิ์ในไดร์เวอร์ MediaTek
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ MediaTek อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องทำการละเมิดกระบวนการที่มีสิทธิ์ก่อน
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2017-0432 | A-28332719* M-ALPS02708925 |
สูง | ไม่มี** | 21 เม.ย. 2016 |
* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google
** อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้
การยกระดับสิทธิ์ ช่องโหว่ในไดรเวอร์หน้าจอสัมผัส Synaptics
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์หน้าจอสัมผัส Synaptics อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของชิปเซ็ตหน้าจอสัมผัสได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องเสียสิทธิ์ในกระบวนการที่มีสิทธิ์ก่อน
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2017-0433 | A-31913571* | สูง | Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL | 8 กันยายน 2016 |
| CVE-2017-0434 | A-33001936* | สูง | Pixel, Pixel XL | 18 พ.ย. 2016 |
* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ Communicator ของ Qualcomm Secure Execution Environment
ช่องโหว่การยกระดับสิทธิ์ในไดรฟ์ Communicator ของ Secure Execution Environment ของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องประนีประนอมกระบวนการที่มีสิทธิ์ก่อน
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2016-8480 | A-31804432 QC-CR#1086186 [2] |
สูง | Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL | 28 กันยายน 2016 |
ช่องโหว่การยกระดับสิทธิ์ในโปรแกรมควบคุมเสียง Qualcomm
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์เสียง Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2016-8481 | A-31906415* QC-CR#1078000 |
สูง | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 1 ต.ค. 2016 |
| CVE-2017-0435 | A-31906657* QC-CR#1078000 |
สูง | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 1 ต.ค. 2016 |
| CVE-2017-0436 | A-32624661* QC-CR#1078000 |
สูง | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 2 พ.ย. 2016 |
* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ Wi-Fi ของ Qualcomm
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ Wi-Fi ของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2017-0437 | A-32402310 QC-CR#1092497 |
สูง | Nexus 5X, Pixel, Pixel XL | 25 ต.ค. 2016 |
| CVE-2017-0438 | A-32402604 QC-CR#1092497 |
สูง | Nexus 5X, Pixel, Pixel XL | 25 ต.ค. 2016 |
| CVE-2017-0439 | A-32450647 QC-CR#1092059 |
สูง | Nexus 5X, Pixel, Pixel XL | 25 ต.ค. 2016 |
| CVE-2016-8419 | A-32454494 QC-CR#1087209 |
สูง | Nexus 5X, Pixel, Pixel XL | 26 ต.ค. 2016 |
| CVE-2016-8420 | A-32451171 QC-CR#1087807 |
สูง | Nexus 5X, Pixel, Pixel XL | 26 ต.ค. 2016 |
| CVE-2016-8421 | A-32451104 QC-CR#1087797 |
สูง | Nexus 5X, Pixel, Pixel XL | 26 ต.ค. 2016 |
| CVE-2017-0440 | A-33252788 QC-CR#1095770 |
สูง | Nexus 5X, Pixel, Pixel XL | 11 พ.ย. 2016 |
| CVE-2017-0441 | A-32872662 QC-CR#1095009 |
สูง | Nexus 5X, Pixel, Pixel XL | 11 พ.ย. 2016 |
| CVE-2017-0442 | A-32871330 QC-CR#1092497 |
สูง | Nexus 5X, Pixel, Pixel XL | 13 พ.ย. 2016 |
| CVE-2017-0443 | A-32877494 QC-CR#1092497 |
สูง | Nexus 5X, Pixel, Pixel XL | 13 พ.ย. 2016 |
| CVE-2016-8476 | A-32879283 QC-CR#1091940 |
สูง | Nexus 5X, Pixel, Pixel XL | 14 พ.ย. 2016 |
ช่องโหว่การยกระดับสิทธิ์ในโปรแกรมควบคุมเสียง Realtek
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์เสียง Realtek อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2017-0444 | A-32705232* | สูง | Nexus 9 | 7 พ.ย. 2016 |
* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์หน้าจอสัมผัส HTC
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์หน้าจอสัมผัส HTC อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2017-0445 | A-32769717* | สูง | Pixel, Pixel XL | 9 พ.ย. 2016 |
| CVE-2017-0446 | A-32917445* | สูง | Pixel, Pixel XL | 15 พ.ย. 2016 |
| CVE-2017-0447 | A-32919560* | สูง | Pixel, Pixel XL | 15 พ.ย. 2016 |
* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google
ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์วิดีโอ NVIDIA
ช่องโหว่ในการเปิดเผยข้อมูลในโปรแกรมควบคุมวิดีโอของ NVIDIA อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากอาจนำไปใช้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนได้โดยไม่ต้องได้รับอนุญาตจากผู้ใช้อย่างชัดเจน
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2017-0448 | A-32721029* N-CVE-2017-0448 |
สูง | Nexus 9 | 7 พ.ย. 2016 |
* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ Wi-Fi ของ Broadcom
ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ Wi-Fi ของ Broadcom อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์และได้รับการบรรเทาโดยการกำหนดค่าแพลตฟอร์มปัจจุบัน
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2017-0449 | A-31707909* B-RB#32094 |
ปานกลาง | Nexus 6, Nexus 6P | 23 กันยายน 2016 |
* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google
ช่องโหว่การยกระดับสิทธิ์ใน Audioserver
ช่องโหว่การยกระดับสิทธิ์ใน Audioserver อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของกระบวนการที่มีสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากได้รับการบรรเทาโดยการกําหนดค่าแพลตฟอร์มปัจจุบัน
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2017-0450 | A-32917432* | ปานกลาง | Nexus 9 | 15 พ.ย. 2016 |
* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google
ช่องโหว่การยกระดับสิทธิ์ในระบบไฟล์เคอร์เนล
ช่องโหว่การยกระดับสิทธิ์ในระบบไฟล์เคอร์เนลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเลี่ยงการป้องกันที่ป้องกันการยกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากเป็นการหลบเลี่ยงทั่วไปสำหรับการป้องกันแบบหลายชั้นในระดับผู้ใช้หรือเทคโนโลยีการลดความรุนแรงของช่องโหว่
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2016-10044 | A-31711619* | ปานกลาง | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL | ภายในของ Google |
* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google
ช่องโหว่ด้านการเปิดเผยข้อมูลใน Qualcomm Secure Execution Environment (Communicator)
ช่องโหว่การเปิดเผยข้อมูลใน Qualcomm Secure Execution Environment Communicator อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากต้องประนีประนอมกระบวนการที่มีสิทธิ์ก่อน
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2016-8414 | A-31704078 QC-CR#1076407 |
ปานกลาง | Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL | 23 กันยายน 2016 |
ช่องโหว่การเปิดเผยข้อมูลในโปรแกรมควบคุมเสียง Qualcomm
ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์เสียง Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากต้องประนีประนอมกระบวนการที่มีสิทธิ์ก่อน
| CVE | ข้อมูลอ้างอิง | ความรุนแรง | อุปกรณ์ Google ที่อัปเดตแล้ว | วันที่รายงาน |
|---|---|---|---|---|
| CVE-2017-0451 | A-31796345 QC-CR#1073129 [2] |
ปานกลาง | Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL | 27 ก.ย. 2016 |
คำถามที่พบบ่อยและคำตอบ
ส่วนนี้จะตอบคำถามที่พบบ่อยซึ่งผู้ใช้อาจสงสัยหลังจากที่อ่านกระดานข่าวสารนี้
1. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ได้รับการอัปเดตเพื่อแก้ไขปัญหาเหล่านี้แล้ว
หากต้องการดูวิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์ โปรดอ่านวิธีการใน ตารางเวลาการอัปเดต Pixel และ Nexus
- ระดับแพตช์ความปลอดภัยของวันที่ 01-02-2017 ขึ้นไปจะแก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัยของวันที่ 01-02-2017
- ระดับแพตช์ความปลอดภัยของวันที่ 05-02-2017 ขึ้นไปจะแก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัยของวันที่ 05-02-2017 และระดับแพตช์ก่อนหน้าทั้งหมด
ผู้ผลิตอุปกรณ์ที่รวมการอัปเดตเหล่านี้ควรตั้งค่าระดับสตริงการแก้ไขเป็น
[ro.build.version.security_patch]:[2017-02-01][ro.build.version.security_patch]:[2017-02-05]
2. เหตุใดกระดานข่าวสารนี้จึงมีระดับแพตช์ความปลอดภัย 2 ระดับ
กระดานข่าวสารนี้มีระดับแพตช์ความปลอดภัย 2 ระดับเพื่อให้พาร์ทเนอร์ Android มีความยืดหยุ่นในการแก้ไขช่องโหว่ชุดย่อยที่คล้ายกันในอุปกรณ์ Android ทั้งหมดได้เร็วขึ้น เราขอแนะนำให้พาร์ทเนอร์ Android แก้ไขปัญหาทั้งหมดในกระดานข่าวสารนี้และใช้แพตช์ความปลอดภัยระดับล่าสุด
- อุปกรณ์ที่ใช้ระดับแพตช์ความปลอดภัยของวันที่ 1 กุมภาพันธ์ 2017 จะต้องรวมปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัยนั้น รวมถึงการแก้ไขสำหรับปัญหาทั้งหมดที่รายงานในกระดานข่าวสารด้านความปลอดภัยฉบับก่อนหน้า
- อุปกรณ์ที่ใช้แพตช์ความปลอดภัยระดับวันที่ 5 กุมภาพันธ์ 2017 ขึ้นไปต้องมีแพตช์ที่เกี่ยวข้องทั้งหมดในกระดานข่าวสารด้านความปลอดภัยฉบับนี้ (และฉบับก่อนหน้า)
เราขอแนะนำให้พาร์ทเนอร์รวมการแก้ไขสำหรับปัญหาทั้งหมดที่แก้ไขไว้ในอัปเดตเดียว
3. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ Google เครื่องใดได้รับผลกระทบจากปัญหาแต่ละข้อ
ในส่วนรายละเอียดช่องโหว่ด้านความปลอดภัยของวันที่ 01-02-2017 และ 05-02-2017 แต่ละตารางจะมีคอลัมน์อุปกรณ์ Google ที่อัปเดตซึ่งครอบคลุมช่วงของอุปกรณ์ Google ที่ได้รับผลกระทบซึ่งอัปเดตสำหรับปัญหาแต่ละรายการ คอลัมน์นี้มีตัวเลือก 2-3 รายการดังนี้
- อุปกรณ์ Google ทั้งหมด: หากปัญหาส่งผลกระทบต่ออุปกรณ์ทั้งหมดและ Pixel ตารางจะมี "ทั้งหมด" ในคอลัมน์อุปกรณ์ Google ที่อัปเดตแล้ว "ทั้งหมด" จะรวมอุปกรณ์ที่รองรับต่อไปนี้ Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel และ Pixel XL
- อุปกรณ์ Google บางรุ่น: หากปัญหาไม่ได้ส่งผลกระทบต่ออุปกรณ์ Google ทั้งหมด อุปกรณ์ Google ที่ได้รับผลกระทบจะแสดงอยู่ในคอลัมน์อุปกรณ์ Google ที่อัปเดตแล้ว
- ไม่มีอุปกรณ์ Google: หากไม่มีอุปกรณ์ Google ที่ใช้ Android 7.0 ได้รับผลกระทบจากปัญหานี้ ตารางจะมี "ไม่มี" ในคอลัมน์อุปกรณ์ Google ที่อัปเดตแล้ว
4. รายการในคอลัมน์ข้อมูลอ้างอิงแมปกับอะไร
รายการในคอลัมน์ข้อมูลอ้างอิงของตารางรายละเอียดช่องโหว่อาจมีคำนำหน้าระบุองค์กรที่เป็นเจ้าของค่าอ้างอิง คำนำหน้าเหล่านี้จะแมปดังนี้
| คำนำหน้า | ข้อมูลอ้างอิง |
|---|---|
| A- | รหัสข้อบกพร่องของ Android |
| QC- | หมายเลขอ้างอิงของ Qualcomm |
| M- | หมายเลขอ้างอิง MediaTek |
| N- | หมายเลขอ้างอิงของ NVIDIA |
| B- | หมายเลขอ้างอิงของ Broadcom |
การแก้ไข
- 6 กุมภาพันธ์ 2017: เผยแพร่กระดานข่าวสาร
- 8 กุมภาพันธ์ 2017: แก้ไขกระดานข่าวสารให้รวมลิงก์ AOSP