Publié le 6 février 2017 | Mis à jour le 8 février 2017
Le bulletin de sécurité Android contient des informations sur les failles de sécurité affectant les appareils Android. En plus de ce bulletin, nous avons publié une mise à jour de sécurité pour les appareils Google via une mise à jour Over The Air (OTA). Les images du micrologiciel des appareils Google ont également été publiées sur le site des développeurs Google. Les niveaux de correctif de sécurité du 5 février 2017 ou version ultérieure résolvent tous ces problèmes. Consultez le calendrier de mise à jour des Pixel et Nexus pour savoir comment vérifier le niveau du correctif de sécurité d'un appareil.
Les partenaires ont été informés des problèmes décrits dans le bulletin le 3 janvier 2017 ou avant. Des correctifs de code source pour ces problèmes ont été publiés dans le dépôt du projet Android Open Source (AOSP) et sont disponibles en lien depuis ce bulletin. Ce bulletin inclut également des liens vers des correctifs en dehors d'AOSP.
Le plus grave de ces problèmes est une faille de sécurité critique qui pourrait permettre l'exécution de code à distance sur un appareil affecté via plusieurs méthodes, telles que la messagerie, la navigation sur le Web et les MMS lors du traitement de fichiers multimédias. L'évaluation de la gravité est basée sur l'impact potentiel de l'exploitation de la faille sur un appareil concerné, en supposant que les mesures d'atténuation de la plate-forme et du service soient désactivées à des fins de développement ou qu'elles soient contournées.
Nous n'avons reçu aucun signalement d'exploitation ou d'utilisation abusive active de ces problèmes récemment signalés par les clients. Consultez la section Mitigations des services Android et Google pour en savoir plus sur les protections de la plate-forme de sécurité Android et les protections de services telles que SafetyNet, qui améliorent la sécurité de la plate-forme Android.
Nous encourageons tous les clients à accepter ces mises à jour sur leurs appareils.
Annonces
- Ce bulletin contient deux chaînes de niveau de correctif de sécurité afin de permettre aux partenaires Android de corriger plus rapidement un sous-ensemble de failles similaires sur tous les appareils Android. Pour en savoir plus, consultez les questions fréquentes et réponses :
- 2017-02-01: chaîne partielle du niveau du correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2017-02-01 (et à toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
- 2017-02-05: chaîne complète du niveau du correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2017-02-01 et 2017-02-05 (et à toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
- Les appareils Google compatibles recevront une seule mise à jour OTA avec le niveau du correctif de sécurité du 5 février 2017.
Mesures d'atténuation des services Android et Google
Voici un résumé des mesures d'atténuation fournies par la plate-forme de sécurité Android et les protections de service, telles que SafetyNet. Ces fonctionnalités réduisent la probabilité que des failles de sécurité puissent être exploitées avec succès sur Android.
- L'exploitation de nombreux problèmes sur Android est rendue plus difficile par les améliorations apportées aux versions plus récentes de la plate-forme Android. Nous encourageons tous les utilisateurs à passer à la dernière version d'Android dans la mesure du possible.
- L'équipe Android Security surveille activement les utilisations abusives à l'aide de Verify Apps et SafetyNet, qui sont conçus pour avertir les utilisateurs des applications potentiellement dangereuses. Vérifier les applications est activé par défaut sur les appareils équipés des services mobiles Google. Il est particulièrement important pour les utilisateurs qui installent des applications en dehors de Google Play. Les outils de rootage d'appareils sont interdits sur Google Play, mais Vérifier les applications avertit les utilisateurs lorsqu'ils tentent d'installer une application de rootage détectée, quelle que soit son origine. De plus, Verify Apps tente d'identifier et de bloquer l'installation d'applications malveillantes connues qui exploitent une faille d'escalade de privilèges. Si une telle application a déjà été installée, Vérifier les applications en informe l'utilisateur et tente de la supprimer.
- Le cas échéant, les applications Google Hangouts et Messenger ne transfèrent pas automatiquement les contenus multimédias à des processus tels que Mediaserver.
Remerciements
Nous tenons à remercier ces chercheurs pour leur contribution:
- Daniel Dakhno: CVE-2017-0420
- Daniel Micay de Copperhead Security: CVE-2017-0410
- Dzmitry Lukyanenka : CVE-2017-0414
- Frank Liberato de Chrome: CVE-2017-0409
- Gal Beniamini de Project Zero: CVE-2017-0411, CVE-2017-0412
- Gengjia Chen (@chengjia4574) et pjf de l'IceSword Lab, Qihoo 360 Technology Co., Ltd.: CVE-2017-0434, CVE-2017-0446, CVE-2017-0447, CVE-2017-0432
- Guang Gong (龚广) (@oldfresher) de l'équipe Alpha de Qihoo 360 Technology Co.Ltd : CVE-2017-0415
- Hanxiang Wen, Wenke Dou, Mingjian Zhou (@Mingjian_Zhou) et Xuxian Jiang de l'équipe C0RE: CVE-2017-0418
- Hao Chen et Guang Gong de l'équipe Alpha, Qihoo 360 Technology Co. Ltd. CVE-2017-0437, CVE-2017-0438, CVE-2017-0439, CVE-2016-8419, CVE-2016-8420, CVE-2016-8421, CVE-2017-0441, CVE-2017-0442, CVE-2016-8476, CVE-2017-0443
- Jeff Sharkey de Google: CVE-2017-0421, CVE-2017-0423
- Jeff Trim: CVE-2017-0422
- Jianqiang Zhao (@jianqiangzhao) et pjf du laboratoire IceSword, Qihoo 360: CVE-2017-0445
- ma.la et Nikolay Elenkov de LINE Corporation: CVE-2016-5552
- Max Spector de Google: CVE-2017-0416
- Mingjian Zhou (@Mingjian_Zhou), Yuqi Lu (@nikos233) et Xuxian Jiang de l'équipe C0RE: CVE-2017-0425
- Qidan He (何淇丹) (@flanker_hqd) et Di Shen (申迪) (@returnsme) de KeenLab, Tencent (腾讯科恩实验室): CVE-2017-0427
- Sagi Kedemi, IBM X-Force Research: CVE-2017-0433
- Scott Bauer (@ScottyBauer1) et Daniel Micay de Copperhead Security: CVE-2017-0405
- Seven Shen (@lingtongshen) de l'équipe de recherche sur les menaces mobiles de Trend Micro: CVE-2017-0449, CVE-2016-8418
- Tong Lin, Yuan-Tsung Lo, Chiachih Wu (@chiachih_wu) et Xuxian Jiang de l'équipe C0RE: CVE-2017-0436, CVE-2016-8481, CVE-2017-0435
- V.E.O (@VYSEa) de la Mobile Threat Response Team de Trend Micro : CVE-2017-0424
- Weichao Sun (@sunblate) d'Alibaba Inc.: CVE-2017-0407
- Wenke Dou, Hongli Han, Mingjian Zhou (@Mingjian_Zhou) et Xuxian Jiang de l'équipe C0RE: CVE-2017-0450
- Wenke Dou, Yuqi Lu (@nikos233), Mingjian Zhou (@Mingjian_Zhou) et Xuxian Jiang de l'équipe C0RE: CVE-2017-0417
- Wish Wu (@wish_wu) (吴潍浠 此彼) du laboratoire de sécurité Light-Year d'Ant Financial: CVE-2017-0408
- Yao Jun, Yuan-Tsung Lo, Chiachih Wu (@chiachih_wu) et Xuxian Jiang de l'équipe C0RE: CVE-2016-8480
- Yuan-Tsung Lo, Chiachih Wu (@chiachih_wu) et Xuxian Jiang de l'équipe C0RE: CVE-2017-0444
- Yuan-Tsung Lo, Tong Lin, Chiachih Wu (@chiachih_wu) et Xuxian Jiang de l'équipe C0RE: CVE-2017-0428
- Yuan-Tsung Lo, Xiaodong Wang, Chiachih Wu (@chiachih_wu) et Xuxian Jiang de l'équipe C0RE: CVE-2017-0448, CVE-2017-0429
- Zhen Zhou (@henices) et Zhixin Li de NSFocus: CVE-2017-0406
Nous tenons également à remercier les personnes suivantes pour leur contribution à ce bulletin:
- Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮) et Lenx Wei (韦韬) de Baidu X-Lab (百度安全实验室)
Niveau du correctif de sécurité 01/02/2017 : détails de la faille
Dans les sections ci-dessous, nous fournissons des informations sur chacune des failles de sécurité qui s'appliquent au niveau de correctif 2017-02-01. Vous trouverez une description du problème, une justification de la gravité et un tableau contenant l'ID de la faille CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsque disponible, nous associerons la modification publique qui a résolu le problème à l'ID du bug, comme dans la liste des modifications AOSP. Lorsque plusieurs modifications concernent un même bug, des références supplémentaires sont associées à des numéros qui suivent l'ID du bug.
Vulnérabilité d'exécution de code à distance dans Surfaceflinger
Une faille d'exécution de code à distance dans Surfaceflinger peut permettre à un pirate informatique utilisant un fichier spécialement conçu de provoquer une corruption de la mémoire lors du traitement des fichiers multimédias et des données. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans le contexte du processus Surfaceflinger.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0405 | A-31960359 | Critical (Critique) | Tous | 7.0, 7.1.1 | 4 oct. 2016 |
Vulnérabilité d'exécution de code à distance dans Mediaserver
Une faille d'exécution de code à distance dans Mediaserver peut permettre à un pirate informatique utilisant un fichier spécialement conçu de corrompre la mémoire lors du traitement des fichiers multimédias et des données. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans le contexte du processus Mediaserver.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0406 | A-32915871 [2] | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 14 novembre 2016 |
| CVE-2017-0407 | A-32873375 | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Nov 12, 2016 |
Vulnérabilité d'exécution de code à distance dans libgdx
Une faille d'exécution de code à distance dans libgdx peut permettre à un pirate informatique utilisant un fichier spécialement conçu d'exécuter du code arbitraire dans le contexte d'un processus non privilégié. Ce problème est classé comme "Élevé" en raison de la possibilité d'exécution de code à distance dans une application qui utilise cette bibliothèque.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0408 | A-32769670 | Élevée | Tous | 7.1.1 | Nov 9, 2016 |
Vulnérabilité d'exécution de code à distance dans libstagefright
Une faille d'exécution de code à distance dans libstagefright peut permettre à un pirate informatique utilisant un fichier spécialement conçu d'exécuter du code arbitraire dans le contexte d'un processus non privilégié. Ce problème est classé comme "Élevé" en raison de la possibilité d'exécution de code à distance dans une application qui utilise cette bibliothèque.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0409 | A-31999646 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Réservé à Google |
Vulnérabilité d'élévation des droits dans Java.Net
Une élévation de privilège dans la bibliothèque Java.Net peut permettre à un contenu Web malveillant de rediriger un utilisateur vers un autre site Web sans autorisation explicite. Ce problème est classé comme "Élevé", car il s'agit d'un contournement à distance des exigences d'interaction utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2016-5552 | A-31858037 | Élevée | Tous | 7.0, 7.1.1 | 30 septembre 2016 |
Vulnérabilité d'escalade de privilèges dans les API du framework
Une faille d'escalade de privilèges dans les API du framework peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme critique, car il pourrait être utilisé pour accéder localement à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0410 | A-31929765 | Élevée | Tous | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 2 oct. 2016 |
| CVE-2017-0411 | A-33042690 [2] | Élevée | Tous | 7.0, 7.1.1 | 21 novembre 2016 |
| CVE-2017-0412 | A-33039926 [2] | Élevée | Tous | 7.0, 7.1.1 | 21 novembre 2016 |
Faille d'élévation des droits dans Mediaserver
Une faille d'escalade de privilèges dans Mediaserver peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme critique, car il pourrait être utilisé pour accéder localement à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0415 | A-32706020 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Nov 4, 2016 |
Faille d'élévation des droits dans Audioserver
Une faille d'escalade de privilèges dans Audioserver peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme critique, car il pourrait être utilisé pour accéder localement à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0416 | A-32886609 [2] | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Réservé à Google |
| CVE-2017-0417 | A-32705438 | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Nov 7, 2016 |
| CVE-2017-0418 | A-32703959 [2] | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Nov 7, 2016 |
| CVE-2017-0419 | A-32220769 | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Oct 15, 2016 |
Faille de divulgation d'informations dans AOSP Mail
Une faille de divulgation d'informations dans AOSP Mail peut permettre à une application malveillante locale de contourner les protections du système d'exploitation qui isolent les données d'application des autres applications. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour accéder à des données auxquelles l'application n'a pas accès.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0420 | A-32615212 | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 12 septembre 2016 |
Faille de divulgation d'informations dans AOSP Messaging
Une faille de divulgation d'informations dans AOSP Messaging pourrait permettre à une application malveillante locale de contourner les protections du système d'exploitation qui isolent les données de l'application des autres applications. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour accéder à des données auxquelles l'application n'a pas accès.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0413 | A-32161610 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 13 oct. 2016 |
| CVE-2017-0414 | A-32807795 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 10 novembre 2016 |
Faille de divulgation d'informations dans les API du framework
Une faille de divulgation d'informations dans les API du framework peut permettre à une application malveillante locale de contourner les protections du système d'exploitation qui isolent les données d'application des autres applications. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour accéder à des données auxquelles l'application n'a pas accès.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0421 | A-32555637 | Élevée | Tous | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Réservé à Google |
Faille de déni de service dans le DNS Bionic
Une faille de déni de service dans le DNS Bionic peut permettre à un pirate informatique distant d'utiliser un paquet réseau spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme critique en raison de la possibilité d'attaque par déni de service à distance.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0422 | A-32322088 | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 20 oct. 2016 |
Faille d'élévation des droits dans Bluetooth
Une faille d'escalade de privilèges dans le Bluetooth peut permettre à un pirate informatique à proximité de gérer l'accès aux documents sur l'appareil. Ce problème est classé comme modéré, car il nécessite d'abord l'exploitation d'une faille distincte dans la pile Bluetooth.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0423 | A-32612586 | Modérée | Tous | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 2 nov. 2016 |
Faille de divulgation d'informations dans AOSP Messaging
Une faille de divulgation d'informations dans AOSP Messaging peut permettre à un pirate informatique à distance d'accéder aux données en dehors de ses niveaux d'autorisation à l'aide d'un fichier spécialement conçu. Ce problème est classé comme modéré, car il s'agit d'un contournement général d'une technologie de défense en profondeur ou de mitigation des failles au niveau de l'utilisateur dans un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0424 | A-32322450 | Modérée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 20 oct. 2016 |
Faille de divulgation d'informations dans Audioserver
Une faille de divulgation d'informations dans Audioserver peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0425 | A-32720785 | Modérée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Nov 7, 2016 |
Faille de divulgation d'informations dans le système de fichiers
Une faille de divulgation d'informations dans le système de fichiers peut permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0426 | A-32799236 [2] | Modérée | Tous | 7.0, 7.1.1 | Réservé à Google |
Niveau du correctif de sécurité 2017-02-05 : détails de la faille
Dans les sections ci-dessous, nous fournissons des informations sur chacune des failles de sécurité qui s'appliquent au niveau de correctif 2017-02-05. Vous trouverez une description du problème, une justification de la gravité et un tableau contenant l'ID de la faille CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsque disponible, nous associerons la modification publique qui a résolu le problème à l'ID du bug, comme dans la liste des modifications AOSP. Lorsque plusieurs modifications concernent un même bug, des références supplémentaires sont associées à des numéros qui suivent l'ID du bug.
Vulnérabilité d'exécution de code à distance dans le pilote de cryptographie Qualcomm
Une faille d'exécution de code à distance dans le pilote de cryptographie Qualcomm pourrait permettre à un pirate informatique à distance d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans le contexte du noyau.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-8418 | A-32652894 QC-CR#1077457 |
Critical (Critique) | Aucun* | 10 octobre 2016 |
* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.
Vulnérabilité d'élévation des droits dans le système de fichiers du kernel
Une faille d'élévation des privilèges dans le système de fichiers du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0427 | A-31495866* | Critical (Critique) | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel et Pixel XL | 13 septembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'escalade de privilèges dans le pilote de GPU NVIDIA
Une faille d'escalade de privilèges dans le pilote de GPU NVIDIA peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0428 | A-32401526* N-CVE-2017-0428 |
Critical (Critique) | Nexus 9 | 25 octobre 2016 |
| CVE-2017-0429 | A-32636619* N-CVE-2017-0429 |
Critical (Critique) | Nexus 9 | 3 nov. 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation des privilèges dans le sous-système de mise en réseau du noyau
Une faille d'élévation des privilèges dans le sous-système de mise en réseau du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2014-9914 | A-32882659 Noyau en amont |
Critical (Critique) | Nexus 6, Nexus Player | Nov 9, 2016 |
Faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom
Une faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0430 | A-32838767* B-RB#107459 |
Critical (Critique) | Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player | Réservé à Google |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Failles dans les composants Qualcomm
La faille suivante affecte les composants Qualcomm et est décrite plus en détail dans le bulletin de sécurité Qualcomm AMSS de septembre 2016.
| CVE | Références | Gravité* | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0431 | A-32573899** | Critical (Critique) | Aucun*** | Interne Qualcomm |
* Le niveau de gravité de ces failles a été déterminé par le fournisseur.
** Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
*** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.
Vulnérabilité d'élévation de privilège dans le pilote MediaTek
Une faille d'escalade de privilèges dans le pilote MediaTek peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0432 | A-28332719* M-ALPS02708925 |
Élevée | Aucun** | 21 avril 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'élévation de privilège dans le pilote d'écran tactile Synaptics
Une faille d'élévation des privilèges dans le pilote de l'écran tactile Synaptics peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du chipset de l'écran tactile. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0433 | A-31913571* | Élevée | Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL | 8 septembre 2016 |
| CVE-2017-0434 | A-33001936* | Élevée | Pixel, Pixel XL | 18 novembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille d'élévation des privilèges dans le pilote du communicateur de l'environnement d'exécution sécurisé Qualcomm
Une faille d'élévation des privilèges dans le pilote Qualcomm Secure Execution Environment Communicator peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-8480 | A-31804432 QC-CR#1086186 [2] |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel et Pixel XL | 28 septembre 2016 |
Vulnérabilité d'élévation de privilège dans le pilote audio Qualcomm
Une faille d'élévation des privilèges dans le pilote audio Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-8481 | A-31906415* QC-CR#1078000 |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 1er oct. 2016 |
| CVE-2017-0435 | A-31906657* QC-CR#1078000 |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 1er oct. 2016 |
| CVE-2017-0436 | A-32624661* QC-CR#1078000 |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 2 nov. 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation de privilège dans le pilote Wi-Fi Qualcomm
Une faille d'élévation des privilèges dans le pilote Wi-Fi Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0437 | A-32402310 QC-CR#1092497 |
Élevée | Nexus 5X, Pixel, Pixel XL | 25 octobre 2016 |
| CVE-2017-0438 | A-32402604 QC-CR#1092497 |
Élevée | Nexus 5X, Pixel, Pixel XL | 25 octobre 2016 |
| CVE-2017-0439 | A-32450647 QC-CR#1092059 |
Élevée | Nexus 5X, Pixel, Pixel XL | 25 octobre 2016 |
| CVE-2016-8419 | A-32454494 QC-CR#1087209 |
Élevée | Nexus 5X, Pixel, Pixel XL | 26 octobre 2016 |
| CVE-2016-8420 | A-32451171 QC-CR#1087807 |
Élevée | Nexus 5X, Pixel, Pixel XL | 26 octobre 2016 |
| CVE-2016-8421 | A-32451104 QC-CR#1087797 |
Élevée | Nexus 5X, Pixel, Pixel XL | 26 octobre 2016 |
| CVE-2017-0440 | A-33252788 QC-CR#1095770 |
Élevée | Nexus 5X, Pixel, Pixel XL | Nov 11, 2016 |
| CVE-2017-0441 | A-32872662 QC-CR#1095009 |
Élevée | Nexus 5X, Pixel, Pixel XL | Nov 11, 2016 |
| CVE-2017-0442 | A-32871330 QC-CR#1092497 |
Élevée | Nexus 5X, Pixel, Pixel XL | Nov 13, 2016 |
| CVE-2017-0443 | A-32877494 QC-CR#1092497 |
Élevée | Nexus 5X, Pixel, Pixel XL | Nov 13, 2016 |
| CVE-2016-8476 | A-32879283 QC-CR#1091940 |
Élevée | Nexus 5X, Pixel, Pixel XL | 14 novembre 2016 |
Vulnérabilité d'élévation des privilèges dans le pilote audio Realtek
Une faille d'élévation des privilèges dans le pilote audio Realtek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0444 | A-32705232* | Élevée | Nexus 9 | Nov 7, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'escalade de privilèges dans le pilote de l'écran tactile HTC
Une faille d'élévation des privilèges dans le pilote de l'écran tactile HTC peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0445 | A-32769717* | Élevée | Pixel, Pixel XL | Nov 9, 2016 |
| CVE-2017-0446 | A-32917445* | Élevée | Pixel, Pixel XL | 15 novembre 2016 |
| CVE-2017-0447 | A-32919560* | Élevée | Pixel, Pixel XL | 15 novembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille de divulgation d'informations dans le pilote vidéo NVIDIA
Une faille de divulgation d'informations dans le pilote vidéo NVIDIA peut permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour accéder à des données sensibles sans l'autorisation explicite de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0448 | A-32721029* N-CVE-2017-0448 |
Élevée | Nexus 9 | Nov 7, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom
Une faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié et est atténué par les configurations de plate-forme actuelles.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0449 | A-31707909* B-RB#32094 |
Modérée | Nexus 6, Nexus 6P | 23 septembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille d'élévation des droits dans Audioserver
Une faille d'escalade de privilèges dans Audioserver peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme modéré, car il est atténué par les configurations actuelles de la plate-forme.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0450 | A-32917432* | Modérée | Nexus 9 | 15 novembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation des droits dans le système de fichiers du kernel
Une faille d'élévation des privilèges dans le système de fichiers du noyau peut permettre à une application malveillante locale de contourner les protections qui empêchent l'élévation des privilèges. Ce problème est classé comme modéré, car il s'agit d'un contournement général d'une technologie de défense en profondeur ou de mitigation des failles au niveau de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10044 | A-31711619* | Modérée | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel et Pixel XL | Réservé à Google |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille de divulgation d'informations dans le communicateur de l'environnement d'exécution sécurisé Qualcomm
Une faille de divulgation d'informations dans le communicateur de l'environnement d'exécution sécurisé Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-8414 | A-31704078 QC-CR#1076407 |
Modérée | Nexus 5X, Nexus 6P, Android One, Pixel et Pixel XL | 23 septembre 2016 |
Faille de divulgation d'informations dans le pilote audio Qualcomm
Une faille de divulgation d'informations dans le pilote audio Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0451 | A-31796345 QC-CR#1073129 [2] |
Modérée | Nexus 5X, Nexus 6P, Android One, Pixel et Pixel XL | Sep 27, 2016 |
Questions fréquentes et réponses
Cette section répond aux questions fréquentes qui peuvent se poser après la lecture de ce bulletin.
1. Comment savoir si mon appareil a été mis à jour pour résoudre ces problèmes ?
Pour savoir comment vérifier le niveau du correctif de sécurité d'un appareil, consultez les instructions sur le calendrier de mise à jour des Pixel et Nexus.
- Les niveaux de correctif de sécurité du 1er février 2017 ou version ultérieure corrigent tous les problèmes associés au niveau de correctif de sécurité du 1er février 2017.
- Les niveaux de correctif de sécurité du 5 février 2017 ou version ultérieure corrigent tous les problèmes associés au niveau de correctif de sécurité du 5 février 2017 et à tous les niveaux de correctif précédents.
Les fabricants d'appareils qui incluent ces mises à jour doivent définir le niveau de la chaîne de correctif sur:
[ro.build.version.security_patch]:[2017-02-01][ro.build.version.security_patch]:[2017-02-05]
2. Pourquoi ce bulletin comporte-t-il deux niveaux de correctifs de sécurité ?
Ce bulletin comporte deux niveaux de correctifs de sécurité afin que les partenaires Android aient la possibilité de corriger plus rapidement un sous-ensemble de failles similaires sur tous les appareils Android. Nous encourageons les partenaires Android à corriger tous les problèmes de ce bulletin et à utiliser le dernier niveau de correctif de sécurité.
- Les appareils qui utilisent le niveau de correctif de sécurité du 1er février 2017 doivent inclure tous les problèmes associés à ce niveau de correctif de sécurité, ainsi que les correctifs de tous les problèmes signalés dans les bulletins de sécurité précédents.
- Les appareils qui utilisent le niveau de correctif de sécurité du 5 février 2017 ou version ultérieure doivent inclure tous les correctifs applicables dans ce bulletin de sécurité (et les précédents).
Les partenaires sont invités à regrouper les correctifs de tous les problèmes qu'ils résolvent dans une seule mise à jour.
3. Comment déterminer les appareils Google concernés par chaque problème ?
Dans les sections sur les détails des failles de sécurité 2017-02-01 et 2017-02-05, chaque tableau comporte une colonne Appareils Google mis à jour qui couvre la plage d'appareils Google concernés par chaque problème. Cette colonne propose plusieurs options:
- Tous les appareils Google: si un problème affecte tous les appareils et les appareils Pixel, la colonne Appareils Google mis à jour indique "Tous". "Tous" encapsule les appareils compatibles suivants: Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel et Pixel XL.
- Certains appareils Google: si un problème n'affecte pas tous les appareils Google, les appareils Google concernés sont listés dans la colonne Appareils Google mis à jour.
- Aucun appareil Google: si aucun appareil Google équipé d'Android 7.0 n'est concerné par le problème, la colonne Appareils Google mis à jour indique "Aucun".
4. À quoi correspondent les entrées de la colonne "Références" ?
Les entrées de la colonne Références du tableau des détails des failles peuvent contenir un préfixe identifiant l'organisation à laquelle la valeur de référence appartient. Ces préfixes sont mappés comme suit:
| Préfixe | Référence |
|---|---|
| A- | ID du bug Android |
| QC- | Numéro de référence Qualcomm |
| M- | Numéro de référence MediaTek |
| N- | Numéro de référence NVIDIA |
| B- | Numéro de référence Broadcom |
Révisions
- 6 février 2017: bulletin publié.
- 8 février 2017: le bulletin a été mis à jour pour inclure des liens vers AOSP.