نشرة أمان Android - آذار (مارس) 2017

تنظيم صفحاتك في مجموعات يمكنك حفظ المحتوى وتصنيفه حسب إعداداتك المفضّلة.

تم النشر في 06 مارس 2017 | تم التحديث في 7 آذار (مارس) 2017

تحتوي نشرة أمان Android على تفاصيل الثغرات الأمنية التي تؤثر على أجهزة Android. إلى جانب النشرة ، أصدرنا تحديثًا أمنيًا لأجهزة Google من خلال تحديث عبر الأثير (OTA). تم أيضًا إصدار صور البرامج الثابتة لجهاز Google إلى موقع Google Developer . مستويات تصحيح الأمان بتاريخ 05 مارس 2017 أو ما بعده تعالج كل هذه المشكلات. راجع الجدول الزمني لتحديث Pixel و Nexus للتعرف على كيفية التحقق من مستوى تصحيح أمان الجهاز.

تم إخطار الشركاء بالمشكلات الموضحة في النشرة في 6 فبراير 2017 أو قبل ذلك. تم إصدار تصحيحات التعليمات البرمجية المصدر لهذه المشكلات إلى مستودع Android Open Source Project (AOSP) وربطها من هذه النشرة. تتضمن هذه النشرة أيضًا روابط إلى تصحيحات خارج AOSP.

إن أخطر هذه المشكلات هو الثغرة الأمنية الحرجة التي يمكن أن تتيح تنفيذ التعليمات البرمجية عن بُعد على جهاز متأثر من خلال طرق متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط. يعتمد تقييم الخطورة على التأثير الذي قد يحدثه استغلال الثغرة الأمنية على الجهاز المتأثر ، بافتراض تعطيل عمليات التخفيف من النظام الأساسي والخدمة لأغراض التطوير أو إذا تم تجاوزها بنجاح.

لم يكن لدينا أي تقارير عن استغلال أو إساءة استخدام العملاء النشط لهذه المشكلات التي تم الإبلاغ عنها حديثًا. ارجع إلى قسم تخفيفات خدمة Android و Google للحصول على تفاصيل حول حماية النظام الأساسي لأمان Android وحماية الخدمة مثل SafetyNet ، والتي تعمل على تحسين أمان نظام Android الأساسي.

نحن نشجع جميع العملاء على قبول هذه التحديثات على أجهزتهم.

الإعلانات

  • تحتوي هذه النشرة على سلسلتين على مستوى تصحيح الأمان لتزويد شركاء Android بالمرونة لإصلاح مجموعة فرعية من الثغرات الأمنية المتشابهة عبر جميع أجهزة Android بشكل أسرع. راجع الأسئلة والأجوبة الشائعة للحصول على معلومات إضافية:
    • 2017-03-01 : سلسلة مستوى تصحيح الأمان الجزئي. تشير سلسلة مستوى تصحيح الأمان هذه إلى أنه تمت معالجة جميع المشكلات المرتبطة بـ 2017-03-01 (وجميع سلاسل مستوى تصحيح الأمان السابقة).
    • 2017-03-05 : إكمال سلسلة مستوى تصحيح الأمان. تشير سلسلة مستوى تصحيح الأمان هذه إلى أنه تمت معالجة جميع المشكلات المرتبطة بـ 2017-03-01 و 2017-03-05 (وجميع سلاسل مستوى تصحيح الأمان السابقة).
  • ستتلقى أجهزة Google المدعومة تحديث OTA واحد بمستوى تصحيح الأمان في 05 مارس 2017.

عمليات التخفيف من خدمة Android و Google

هذا ملخص لعمليات التخفيف التي يوفرها النظام الأساسي للأمان في Android وإجراءات حماية الخدمة ، مثل SafetyNet. تقلل هذه الإمكانات من احتمالية نجاح استغلال الثغرات الأمنية على Android.

  • أصبح استغلال العديد من المشكلات على Android أكثر صعوبة من خلال التحسينات في الإصدارات الأحدث من نظام Android الأساسي. نشجع جميع المستخدمين على التحديث إلى أحدث إصدار من Android حيثما أمكن ذلك.
  • يقوم فريق Android Security بمراقبة إساءة الاستخدام بنشاط باستخدام Verify Apps و SafetyNet ، المصممين لتحذير المستخدمين من التطبيقات التي يُحتمل أن تكون ضارة . يتم تمكين التحقق من التطبيقات افتراضيًا على الأجهزة المزودة بخدمات Google للجوال وهو مهم بشكل خاص للمستخدمين الذين يقومون بتثبيت التطبيقات من خارج Google Play. تُحظر أدوات تجذير الجهاز في Google Play ، ولكن Verify Apps تحذر المستخدمين عند محاولتهم تثبيت تطبيق تجذير تم اكتشافه - بغض النظر عن مصدره. بالإضافة إلى ذلك ، تحاول Verify Apps تحديد ومنع تثبيت التطبيقات الضارة المعروفة التي تستغل ثغرة أمنية في تصعيد الامتيازات. إذا تم بالفعل تثبيت مثل هذا التطبيق ، فستقوم Verify Apps بإخطار المستخدم ومحاولة إزالة التطبيق المكتشف.
  • حسب الاقتضاء ، لا تقوم تطبيقات Google Hangouts و Messenger بتمرير الوسائط تلقائيًا إلى عمليات مثل Mediaserver.

شكر وتقدير

نود أن نشكر هؤلاء الباحثين على مساهماتهم:

  • Alexander Potapenko من فريق Google Dynamic Tools: CVE-2017-0537
  • Baozeng Ding و Chengming Yang و Peng Xiao و Yang Song of Alibaba Mobile Security Group: CVE-2017-0506
  • Baozeng Ding و Ning You و Chengming Yang و Peng Xiao و Yang Song of Alibaba Mobile Security Group: CVE-2017-0463
  • Billy Lau من Android Security: CVE-2017-0335، CVE-2017-0336، CVE-2017-0338، CVE-2017-0460
  • derrek ( @ derrekr6 ): CVE-2016-8413، CVE-2016-8477، CVE-2017-0531
  • derrek ( @ derrekr6 ) وسكوت باور ( @ ScottyBauer1 ): CVE-2017-0521
  • Di Shen ( returnsme ) من KeenLab ( keen_lab ) ، Tencent: CVE-2017-0334 ، CVE-2017-0456 ، CVE-2017-0457 ، CVE-2017-0525
  • En He ( @ heeeeen4x ) و Bo Liu من MS509Team : CVE-2017-0490
  • Gengjia Chen ( @ chengjia4574 ) و pjf of IceSword Lab ، Qihoo 360 Technology Co. Ltd .: CVE-2017-0500، CVE-2017-0501، CVE-2017-0502، CVE-2017-0503، CVE-2017-0509، CVE-2017-0524 ، CVE-2017-0529 ، CVE-2017-0536
  • Hao Chen و Guang Gong من فريق Alpha ، Qihoo 360 Technology Co. Ltd: CVE-2017-0453، CVE-2017-0461، CVE-2017-0464
  • Hiroki Yamamoto و Fang Chen من شركة Sony Mobile Communications Inc.: CVE-2017-0481
  • IBM Security X-Force Researchers Sagi Kedmi و Roee Hay: CVE-2017-0510
  • Jianjun Dai ( Jioun_dai ) من مختبرات Qihoo 360 Skyeye : CVE-2017-0478
  • Jianqiang Zhao ( jianqiangzhao ) و pjf من IceSword Lab ، Qihoo 360: CVE-2016-8416 ، CVE-2016-8478 ، CVE-2017-0458 ، CVE-2017-0459 ، CVE-2017-0518 ، CVE-2017-0519 ، CVE-2017-0533، CVE-2017-0534
  • Lubo Zhang و Tong Lin و Yuan-Tsung Lo و Xuxian Jiang من فريق C0RE : CVE-2016-8479
  • Makoto Onuki من Google: CVE-2017-0491
  • Mingjian Zhou ( Mingjian_Zhou ) و Hanxiang Wen و Xuxian Jiang من فريق C0RE : CVE-2017-0479، CVE-2017-0480
  • ناثان كراندال ( natecray ): CVE-2017-0535
  • ناثان كراندال ( natecray ) من فريق أمان منتجات Tesla Motors: CVE-2017-0306
  • Pengfei Ding (丁鹏飞) ، Chenfu Bao (包 沉浮) ، Lenx Wei (韦 韬) من Baidu X-Lab (百度 安全 实验室): CVE-2016-8417
  • Qidan He (何 淇 丹) ( flanker_hqd ) من KeenLab ، Tencent: CVE-2017-0337 ، CVE-2017-0476
  • Qing Zhang من Qihoo 360 و Guangdong Bai من معهد سنغافورة للتكنولوجيا (SIT): CVE-2017-0496
  • Quhe و wanchouchou من Ant-Financial Light-Year Security Lab (蚂蚁 金 服 巴斯 光年 安全 实验室): CVE-2017-0522
  • Sahara of Secure Communications in DarkMatter: CVE-2017-0528
  • salls ( chris_salls ) لفريق Shellphish Grill ، جامعة كاليفورنيا سانتا باربرا: CVE-2017-0505
  • سكوت باور ( @ ScottyBauer1 ): CVE-2017-0504، CVE-2017-0516
  • شون بيوبري (beaups): CVE-2017-0455
  • Seven Shen ( lingtongshen ) من Trend Micro: CVE-2017-0452
  • Shinichi Matsumoto من Fujitsu: CVE-2017-0498
  • Stéphane Marques of ByteRev : CVE-2017-0489
  • Svetoslav Ganov من Google: CVE-2017-0492
  • Tong Lin و Yuan-Tsung Lo و Xuxian Jiang من فريق C0RE : CVE-2017-0333
  • VEO ( VYSEa ) من فريق الاستجابة للتهديدات المتنقلة ، Trend Micro : CVE-2017-0466 ، CVE-2017-0467 ، CVE-2017-0468 ، CVE-2017-0469 ، CVE-2017-0470 ، CVE-2017-0471 ، CVE-2017-0472، CVE-2017-0473، CVE-2017-0482، CVE-2017-0484، CVE-2017-0485، CVE-2017-0486، CVE-2017-0487، CVE-2017-0494، CVE- 2017-0495
  • Wish Wu (吴 潍 浠 此 彼) ( wish_wu ) من مختبر Ant-Financial Light-Year Security Lab (蚂蚁 金 服 巴斯 光年 光年 安全): CVE-2017-0477
  • Yu Pan of Vulpecker Team، Qihoo 360 Technology Co. Ltd: CVE-2017-0517، CVE-2017-0532
  • Yuan-Tsung Lo و Xuxian Jiang من فريق C0RE : CVE-2017-0526، CVE-2017-0527
  • Yuqi Lu ( @ nikos233 ) و Wenke Dou و Dacheng Shao و Mingjian Zhou (Mingjian_Zhou) و Xuxian Jiang من فريق C0RE : CVE-2017-0483
  • Zinuo Han ( weibo.com/ele7enxxh ) من Chengdu Security Response Center ، Qihoo 360 Technology Co. Ltd .: CVE-2017-0475، CVE-2017-0497

2017-03-01 مستوى تصحيح الأمان — تفاصيل الثغرات الأمنية

في الأقسام أدناه ، نقدم تفاصيل عن كل ثغرة أمنية تنطبق على مستوى التصحيح 2017-03-01. يوجد وصف للمشكلة ، ومبرر الخطورة ، وجدول مع CVE ، والمراجع المرتبطة ، والخطورة ، وأجهزة Google المحدثة ، وإصدارات AOSP المحدثة (حيثما ينطبق ذلك) ، وتاريخ الإبلاغ. عند توفرها ، سنربط التغيير العام الذي عالج المشكلة بمعرف الخطأ ، مثل قائمة تغيير AOSP. عندما تتعلق تغييرات متعددة بخلل واحد ، يتم ربط مراجع إضافية بأرقام تتبع معرّف الخطأ.

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في OpenSSL & BoringSSL

قد تؤدي ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في OpenSSL و BoringSSL إلى تمكين المهاجم من استخدام ملف تم إنشاؤه خصيصًا للتسبب في تلف الذاكرة أثناء معالجة الملفات والبيانات. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في سياق عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2016-2182 A-32096880 حرج الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 5 أغسطس 2016

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في Mediaserver

قد تؤدي ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في Mediaserver إلى تمكين المهاجم من استخدام ملف تم إنشاؤه خصيصًا للتسبب في تلف الذاكرة أثناء معالجة ملف الوسائط والبيانات. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في سياق عملية Mediaserver.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0466 A-33139050 [ 2 ] حرج الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 25 نوفمبر 2016
CVE-2017-0467 A-33250932 [ 2 ] حرج الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 30 نوفمبر 2016
CVE-2017-0468 A-33351708 [ 2 ] حرج الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 5 ديسمبر 2016
CVE-2017-0469 A-33450635 حرج الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 8 ديسمبر 2016
CVE-2017-0470 A-33818500 حرج الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 21 ديسمبر 2016
CVE-2017-0471 A-33816782 حرج الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 21 ديسمبر 2016
CVE-2017-0472 A-33862021 حرج الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 23 ديسمبر 2016
CVE-2017-0473 A-33982658 حرج الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 30 ديسمبر 2016
CVE-2017-0474 A-32589224 حرج الجميع 7.0 ، 7.1.1 جوجل الداخلية

رفع مستوى ضعف الامتياز في أداة التحقق من الاسترداد

يمكن أن يؤدي ارتفاع ثغرة الامتياز في مدقق الاسترداد إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ، مما قد يتطلب إعادة تحميل نظام التشغيل لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0475 أ - 31914369 حرج الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 2 أكتوبر 2016

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في مراسلة AOSP

قد تؤدي الثغرة الأمنية في تنفيذ التعليمات البرمجية عن بُعد في AOSP Messaging إلى تمكين المهاجم من استخدام ملف تم إنشاؤه خصيصًا للتسبب في تلف الذاكرة أثناء معالجة ملف الوسائط والبيانات. تم تصنيف هذه المشكلة على أنها عالية نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في سياق عملية غير مميزة.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0476 A-33388925 عالٍ الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 6 ديسمبر 2016

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في libgdx

قد تؤدي الثغرة الأمنية في تنفيذ التعليمات البرمجية عن بُعد في libgdx إلى تمكين المهاجم من استخدام ملف تم إنشاؤه خصيصًا لتنفيذ تعليمات برمجية عشوائية في سياق عملية غير مميزة. تم تصنيف هذه المشكلة على أنها عالية نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في أحد التطبيقات التي تستخدم هذه المكتبة.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0477 A-33621647 عالٍ الجميع 7.1.1 14 ديسمبر 2016

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في مكتبة Framesequence

قد تؤدي ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في مكتبة Framesequence إلى تمكين المهاجم من استخدام ملف تم إنشاؤه خصيصًا لتنفيذ تعليمات برمجية عشوائية في سياق عملية لا تتمتع بامتيازات. تم تصنيف هذه المشكلة على أنها عالية نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في تطبيق يستخدم مكتبة Framesequence.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0478 A-33718716 عالٍ الجميع 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 16 من كانون الأول 2016

ارتفاع ضعف الامتياز في NFC

يمكن أن يؤدي ارتفاع ثغرة الامتياز في NFC إلى تمكين المهاجم المباشر من تنفيذ تعليمات برمجية عشوائية في سياق عملية ذات امتيازات. تم تصنيف هذه المشكلة على أنها عالية لأنه يمكن استخدامها للوصول محليًا إلى إمكانات عالية ، والتي لا يمكن الوصول إليها عادةً من قبل تطبيق تابع لجهة خارجية.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0481 A-33434992 عالٍ الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 6 نوفمبر 2016

ارتفاع ضعف الامتياز في Audioserver

يمكن أن يؤدي ارتفاع ثغرة الامتياز في Audioserver إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق عملية ذات امتيازات. تم تصنيف هذه المشكلة على أنها عالية لأنه يمكن استخدامها للوصول محليًا إلى إمكانات عالية ، والتي لا يمكن الوصول إليها عادةً من قبل تطبيق تابع لجهة خارجية.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0479 A-32707507 [ 2 ] عالٍ الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 7 نوفمبر 2016
CVE-2017-0480 A-32705429 [ 2 ] عالٍ الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 7 نوفمبر 2016

ضعف رفض الخدمة في Mediaserver

قد يؤدي رفض وجود ثغرة أمنية في Mediaserver إلى تمكين المهاجم من استخدام ملف تم إنشاؤه خصيصًا للتسبب في توقف الجهاز أو إعادة تشغيله. تم تصنيف هذه المشكلة على أنها عالية الخطورة نظرًا لاحتمال رفض الخدمة عن بُعد.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0482 A-33090864 [ 2 ] [ 3 ] [ 4 ] [ 5 ] [ 6 ] عالٍ الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 22 نوفمبر 2016
CVE-2017-0483 A-33137046 [ 2 ] عالٍ الجميع 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 24 نوفمبر 2016
CVE-2017-0484 A-33298089 [ 2 ] عالٍ الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 1 ديسمبر 2016
CVE-2017-0485 A-33387820 عالٍ الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 6 ديسمبر 2016
CVE-2017-0486 A-33621215 عالٍ الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 14 ديسمبر 2016
CVE-2017-0487 أ -33751193 عالٍ الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 19 ديسمبر 2016
CVE-2017-0488 A-34097213 عالٍ الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 جوجل الداخلية

رفع ثغرة أمنية في الامتياز في إدارة الموقع

يمكن أن يؤدي ارتفاع ثغرة الامتياز في إدارة الموقع إلى تمكين تطبيق ضار محلي من تجاوز حماية نظام التشغيل لبيانات الموقع. تم تصنيف هذه المشكلة على أنها متوسطة لأنه يمكن استخدامها لإنشاء بيانات غير دقيقة.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0489 أ -33091107 معتدل الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 20 نوفمبر 2016

ارتفاع ضعف الامتياز في شبكة Wi-Fi

قد يؤدي ارتفاع ثغرة الامتياز في شبكة Wi-Fi إلى تمكين تطبيق ضار محلي من حذف بيانات المستخدم. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تجاوز محلي لمتطلبات تفاعل المستخدم التي تتطلب عادةً إما بدء المستخدم أو إذن المستخدم.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0490 A-33178389 [ 2 ] [ 3 ] معتدل الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 25 نوفمبر 2016

ارتفاع ثغرة أمنية في إدارة الحزم

قد يؤدي ارتفاع ثغرة الامتياز في إدارة الحزم إلى تمكين تطبيق ضار محلي لمنع المستخدمين من إلغاء تثبيت التطبيقات أو إزالة الأذونات من التطبيقات. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تجاوز محلي لمتطلبات تفاعل المستخدم.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0491 أ -32553261 معتدل الجميع 4.4.4 ، 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 جوجل الداخلية

ارتفاع ثغرة أمنية في الامتياز في واجهة مستخدم النظام

يمكن أن يؤدي ارتفاع ثغرة الامتياز في واجهة مستخدم النظام إلى تمكين تطبيق ضار محلي من إنشاء تراكب واجهة مستخدم يغطي الشاشة بأكملها. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تجاوز محلي لمتطلبات تفاعل المستخدم التي تتطلب عادةً إما بدء المستخدم أو إذن المستخدم.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0492 A-30150688 معتدل الجميع 7.1.1 جوجل الداخلية

ثغرة الكشف عن المعلومات في مراسلة AOSP

قد تؤدي ثغرة الكشف عن المعلومات في AOSP Messaging إلى تمكين مهاجم عن بُعد باستخدام ملف خاص مصنوع للوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنه يمكن استخدامها للوصول إلى البيانات الحساسة دون إذن.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0494 A-32764144 معتدل الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 9 من تشرين الثاني 2016

ضعف الكشف عن المعلومات في Mediaserver

قد تؤدي ثغرة الكشف عن المعلومات في Mediaserver إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنه يمكن استخدامها للوصول إلى البيانات الحساسة دون إذن.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0495 A-33552073 معتدل الجميع 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 11 من كانون الأول 2016

عدم حصانة رفض الخدمة في معالج الإعداد

قد تسمح ثغرة رفض الخدمة في معالج الإعداد لتطبيق ضار محلي بحظر الوصول مؤقتًا إلى جهاز متأثر. تم تصنيف هذه المشكلة على أنها متوسطة لأنها قد تتطلب إعادة تعيين إعدادات المصنع لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0496 A-31554152 * معتدل لا أحد** 5.0.2 ، 5.1.1 ، 6.0 ، 6.0.1 14 سبتمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Google المتوفرة من موقع Google Developer .

** لا تتأثر أجهزة Google المدعومة على نظام التشغيل Android 7.0 أو الأحدث والتي تم تثبيت جميع التحديثات المتاحة بها بهذه الثغرة الأمنية.

ضعف رفض الخدمة في Mediaserver

قد يؤدي رفض وجود ثغرة أمنية في Mediaserver إلى تمكين المهاجم من استخدام ملف تم إنشاؤه خصيصًا للتسبب في توقف الجهاز أو إعادة تشغيله. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تتطلب تكوين جهاز غير شائع.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0497 A-33300701 معتدل الجميع 7.0 ، 7.1.1 2 ديسمبر 2016

عدم حصانة رفض الخدمة في معالج الإعداد

قد تسمح ثغرة رفض الخدمة في معالج الإعداد لمهاجم محلي بطلب تسجيل الدخول إلى حساب Google بعد إعادة تعيين إعدادات المصنع. تم تصنيف هذه المشكلة على أنها متوسطة لأنها قد تتطلب إعادة تعيين إعدادات المصنع لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0498 A-30352311 [ 2 ] معتدل الجميع 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 جوجل الداخلية

ضعف رفض الخدمة في Audioserver

قد يؤدي رفض وجود ثغرة أمنية في Audioserver إلى تمكين تطبيق ضار محلي من التسبب في توقف الجهاز أو إعادة تشغيله. تم تصنيف هذه المشكلة على أنها منخفضة نظرًا لاحتمال رفض الخدمة مؤقتًا.

CVE مراجع خطورة أجهزة Google المحدثة إصدارات AOSP المحدثة ذكرت تاريخ
CVE-2017-0499 أ -32095713 قليل الجميع 5.1.1 ، 6.0 ، 6.0.1 ، 7.0 ، 7.1.1 11 أكتوبر 2016

2017-03-05 مستوى تصحيح الأمان — تفاصيل الثغرات الأمنية

في الأقسام أدناه ، نقدم تفاصيل عن كل ثغرة أمنية تنطبق على مستوى التصحيح 2017-03-05. يوجد وصف للمشكلة ، ومبرر الخطورة ، وجدول مع CVE ، والمراجع المرتبطة ، والخطورة ، وأجهزة Google المحدثة ، وإصدارات AOSP المحدثة (حيثما ينطبق ذلك) ، وتاريخ الإبلاغ. عند توفرها ، سنربط التغيير العام الذي عالج المشكلة بمعرف الخطأ ، مثل قائمة تغيير AOSP. عندما تتعلق تغييرات متعددة بخلل واحد ، يتم ربط مراجع إضافية بأرقام تتبع معرّف الخطأ.

ارتفاع ضعف الامتياز في مكونات MediaTek

يمكن أن يؤدي ارتفاع ثغرة الامتياز في مكونات MediaTek ، بما في ذلك برنامج تشغيل M4U ، وبرنامج تشغيل الصوت ، وبرنامج تشغيل الشاشة التي تعمل باللمس ، وبرنامج تشغيل وحدة معالجة الرسومات ، وبرنامج تشغيل قائمة انتظار الأوامر ، إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ، مما قد يتطلب إعادة تحميل نظام التشغيل لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0500 A-28429685 *
M-ALPS02710006
حرج لا أحد** 27 أبريل 2016
CVE-2017-0501 A-28430015 *
M- ألبس 02708983
حرج لا أحد** 27 أبريل 2016
CVE-2017-0502 A-28430164 *
M-ALPS02710027
حرج لا أحد** 27 أبريل 2016
CVE-2017-0503 A-28449045 *
M-ALPS02710075
حرج لا أحد** 28 أبريل 2016
CVE-2017-0504 A-30074628 *
M-ALPS02829371
حرج لا أحد** 9 يوليو 2016
CVE-2017-0505 A-31822282 *
M- ألبس 02992041
حرج لا أحد** 28 سبتمبر 2016
CVE-2017-0506 A-32276718 *
M-ALPS03006904
حرج لا أحد** 18 أكتوبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

** لا تتأثر أجهزة Google المدعومة على نظام التشغيل Android 7.0 أو الأحدث والتي تم تثبيت جميع التحديثات المتاحة بها بهذه الثغرة الأمنية.

ارتفاع ثغرة أمنية في برنامج تشغيل NVIDIA GPU

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل NVIDIA GPU إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ، مما قد يتطلب إعادة تحميل نظام التشغيل لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0337 A-31992762 *
N-CVE-2017-0337
حرج بكسل سي 6 أكتوبر 2016
CVE-2017-0338 A-33057977 *
N-CVE-2017-0338
حرج بكسل سي 21 نوفمبر 2016
CVE-2017-0333 A-33899363 *
N-CVE-2017-0333
حرج بكسل سي 25 ديسمبر 2016
CVE-2017-0306 A-34132950 *
N-CVE-2017-0306
حرج نيكزس 9 6 يناير 2017
CVE-2017-0335 A-33043375 *
N-CVE-2017-0335
حرج بكسل سي جوجل الداخلية

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ارتفاع ضعف الامتياز في النظام الفرعي لـ kernel ION

يمكن أن يؤدي ارتفاع ثغرة الامتياز في النظام الفرعي لـ kernel ION إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ، مما قد يتطلب إعادة تحميل نظام التشغيل لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0507 A-31992382 * حرج Android One و Nexus 5X و Nexus 6 و Nexus 6P و Nexus 9 و Nexus Player و Pixel C و Pixel و Pixel XL 6 أكتوبر 2016
CVE-2017-0508 A-33940449 * حرج بكسل سي 28 ديسمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ارتفاع ضعف الامتياز في برنامج تشغيل Broadcom Wi-Fi

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل Broadcom Wi-Fi إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ، مما قد يتطلب إعادة تحميل نظام التشغيل لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0509 A-32124445 *
B-RB # 110688
حرج لا أحد** 12 أكتوبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

** لا تتأثر أجهزة Google المدعومة على نظام التشغيل Android 7.0 أو الأحدث والتي تم تثبيت جميع التحديثات المتاحة بها بهذه الثغرة الأمنية.

رفع مستوى ضعف الامتياز في مصحح أخطاء kernel FIQ

يمكن أن يؤدي ارتفاع ثغرة الامتياز في مصحح أخطاء kernel FIQ إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ، مما قد يتطلب إعادة تحميل نظام التشغيل لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0510 A-32402555 * حرج نيكزس 9 25 أكتوبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

رفع مستوى ضعف الامتياز في برنامج تشغيل Qualcomm GPU

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل Qualcomm GPU إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ، مما قد يتطلب إعادة تحميل نظام التشغيل لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-8479 A-31824853 *
QC-CR # 1093687
حرج Android One و Nexus 5X و Nexus 6 و Nexus 6P و Pixel و Pixel XL 29 سبتمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ارتفاع ضعف الامتياز في النظام الفرعي لشبكات kernel

قد يؤدي ارتفاع ثغرة الامتياز في النظام الفرعي لشبكات kernel إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ، مما قد يتطلب إعادة تحميل نظام التشغيل لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-9806 A-33393474
نواة المنبع
حرج Pixel C و Pixel و Pixel XL 4 ديسمبر 2016
CVE-2016-10200 أ -33753815
نواة المنبع
حرج Nexus 5X و Nexus 6P و Pixel و Pixel XL 19 ديسمبر 2016

نقاط الضعف في مكونات Qualcomm

تؤثر الثغرة الأمنية التالية على مكونات Qualcomm ويتم وصفها بمزيد من التفصيل في نشرة أمان Qualcomm AMSS لشهر سبتمبر 2016.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-8484 A-28823575 ** حرج لا أحد*** كوالكوم داخلي
CVE-2016-8485 A-28823681 ** حرج لا أحد*** كوالكوم داخلي
CVE-2016-8486 A-28823691 ** حرج لا أحد*** كوالكوم داخلي
CVE-2016-8487 A-28823724 ** حرج لا أحد*** كوالكوم داخلي
CVE-2016-8488 A-31625756 ** حرج لا أحد*** كوالكوم داخلي

* تم تحديد تصنيف خطورة هذه الثغرات الأمنية من قبل البائع.

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

*** لا تتأثر أجهزة Google المدعومة التي تعمل بنظام التشغيل Android 7.0 أو الأحدث والتي قامت بتثبيت جميع التحديثات المتاحة بهذه الثغرة الأمنية.

ارتفاع ضعف الامتياز في النظام الفرعي لشبكات kernel

قد يؤدي ارتفاع ثغرة الامتياز في النظام الفرعي لشبكات kernel إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-8655 A-33358926
نواة المنبع
عالٍ Android One و Nexus 5X و Nexus 6 و Nexus 6P و Nexus 9 و Nexus Player و Pixel C و Pixel و Pixel XL 12 أكتوبر 2016
CVE-2016-9793 A-33363517
نواة المنبع
عالٍ Android One و Nexus 5X و Nexus 6 و Nexus 6P و Nexus 9 و Nexus Player و Pixel C و Pixel و Pixel XL 2 ديسمبر 2016

ارتفاع ضعف الامتياز في برنامج تشغيل أجهزة إدخال Qualcomm

قد يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل جهاز إدخال Qualcomm إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0516 A-32341680 *
QC-CR # 1096301
عالٍ Android One و Pixel و Pixel XL 21 أكتوبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ارتفاع ثغرة أمنية في برنامج MediaTek Hardware Sensor Driver

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل مستشعر أجهزة MediaTek إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0517 A-32372051 *
M-ALPS02973195
عالٍ لا أحد** 22 أكتوبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

** لا تتأثر أجهزة Google المدعومة على نظام التشغيل Android 7.0 أو الأحدث والتي تم تثبيت جميع التحديثات المتاحة بها بهذه الثغرة الأمنية.

رفع ثغرة أمنية في برنامج تشغيل Qualcomm ADSPRPC

قد يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل Qualcomm ADSPRPC إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0457 A-31695439 *
QC-CR # 1086123
QC-CR # 1100695
عالٍ Nexus 5X و Nexus 6P و Pixel و Pixel XL 22 سبتمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

زيادة ضعف الامتياز في برنامج تشغيل مستشعر بصمات الأصابع من Qualcomm

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل مستشعر بصمات الأصابع من Qualcomm إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0518 A-32370896 *
QC-CR # 1086530
عالٍ Pixel و Pixel XL 24 أكتوبر 2016
CVE-2017-0519 A-32372915 *
QC-CR # 1086530
عالٍ Pixel و Pixel XL 24 أكتوبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

زيادة ضعف الامتياز في برنامج تشغيل محرك التشفير Qualcomm

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل محرك تشفير Qualcomm إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0520 A-31750232
QC-CR # 1082636
عالٍ Nexus 5X و Nexus 6 و Nexus 6P و Android One و Pixel و Pixel XL 24 سبتمبر 2016

ارتفاع ضعف الامتياز في برنامج تشغيل كاميرا Qualcomm

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل كاميرا Qualcomm إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0458 A-32588962
QC-CR # 1089433
عالٍ Pixel و Pixel XL 31 أكتوبر 2016
CVE-2017-0521 A-32919951
QC-CR # 1097709
عالٍ Nexus 5X و Nexus 6P و Android One و Pixel و Pixel XL 15 نوفمبر 2016

ارتفاع ضعف الامتياز في MediaTek APK

يمكن أن يؤدي ارتفاع ثغرة الامتياز في MediaTek APK إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق عملية ذات امتياز. تم تصنيف هذه المشكلة على أنها عالية نظرًا لاحتمال تنفيذ رمز تعسفي محلي في عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0522 A-32916158 *
M-ALPS03032516
عالٍ لا أحد** 15 نوفمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

** لا تتأثر أجهزة Google المدعومة على نظام التشغيل Android 7.0 أو الأحدث والتي تم تثبيت جميع التحديثات المتاحة بها بهذه الثغرة الأمنية.

ارتفاع ضعف الامتياز في برنامج تشغيل Qualcomm Wi-Fi

قد يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل Qualcomm Wi-Fi إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0464 A-32940193
QC-CR # 1102593
عالٍ Nexus 5X و Pixel و Pixel XL 15 نوفمبر 2016
CVE-2017-0453 A-33979145
QC-CR # 1105085
عالٍ Nexus 5X ، Android One 30 ديسمبر 2016
CVE-2017-0523 أ -32835279
QC-CR # 1096945
عالٍ لا أحد* جوجل الداخلية

* لا تتأثر أجهزة Google المدعومة على Android 7.0 أو الأحدث التي تم تثبيت جميع التحديثات المتاحة بها بهذه الثغرة الأمنية.

ارتفاع ضعف الامتياز في برنامج تشغيل شاشة اللمس Synaptics

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل شاشة اللمس Synaptics إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0524 A-33002026 عالٍ Android One و Nexus 5X و Nexus 6P و Nexus 9 و Pixel و Pixel XL 18 نوفمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

زيادة ضعف الامتياز في برنامج تشغيل Qualcomm IPA

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل Qualcomm IPA إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0456 A-33106520 *
QC-CR # 1099598
عالٍ Nexus 5X و Nexus 6P و Android One و Pixel و Pixel XL 23 نوفمبر 2016
CVE-2017-0525 A-33139056 *
QC-CR # 1097714
عالٍ Nexus 5X و Nexus 6P و Android One و Pixel و Pixel XL 25 نوفمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ارتفاع ضعف الامتياز في برنامج تشغيل HTC Sensor Hub

قد يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل HTC Sensor Hub إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0526 A-33897738 * عالٍ نيكزس 9 25 ديسمبر 2016
CVE-2017-0527 A-33899318 * عالٍ Nexus 9 و Pixel و Pixel XL 25 ديسمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ارتفاع ثغرة أمنية في برنامج تشغيل NVIDIA GPU

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل NVIDIA GPU إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها حرجة نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ، مما قد يتطلب إعادة تحميل نظام التشغيل لإصلاح الجهاز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0307 A-33177895 *
N-CVE-2017-0307
عالٍ لا أحد** 28 نوفمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

** لا تتأثر أجهزة Google المدعومة على نظام التشغيل Android 7.0 أو الأحدث والتي تم تثبيت جميع التحديثات المتاحة بها بهذه الثغرة الأمنية.

رفع مستوى ضعف الامتياز في برنامج تشغيل شبكة Qualcomm

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل شبكة Qualcomm إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0463 A-33277611
QC-CR # 1101792
عالٍ Nexus 5X و Nexus 6 و Nexus 6P و Android One و Pixel و Pixel XL 30 نوفمبر 2016
CVE-2017-0460 A-31252965 *
QC-CR # 1098801
عالٍ Nexus 5X و Nexus 6 و Nexus 6P و Nexus 9 و Android One و Pixel و Pixel XL جوجل الداخلية

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

رفع مستوى ضعف الامتياز في النظام الفرعي لأمان kernel

يمكن أن يؤدي ارتفاع ثغرة الامتياز في النظام الفرعي لأمان kernel إلى تمكين تطبيق ضار محلي من تنفيذ التعليمات البرمجية في سياق عملية ذات امتياز. تم تصنيف هذه المشكلة على أنها عالية لأنها تجاوز عام لدفاع مستوى النواة في العمق أو استغلال تقنية التخفيف.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0528 A-33351919 * عالٍ Pixel و Pixel XL 4 ديسمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

رفع ثغرة أمنية في برنامج تشغيل Qualcomm SPCom

قد يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل Qualcomm SPCom إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق kernel. تم تصنيف هذه المشكلة على أنها عالية لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-5856 أ -32610665
QC-CR # 1094078
عالٍ لا أحد* جوجل الداخلية
CVE-2016-5857 A-34386529
QC-CR # 1094140
عالٍ لا أحد* جوجل الداخلية

* لا تتأثر أجهزة Google المدعومة على Android 7.0 أو الأحدث التي تم تثبيت جميع التحديثات المتاحة بها بهذه الثغرة الأمنية.

ثغرة الكشف عن المعلومات في النظام الفرعي لشبكات kernel

قد تمكن ثغرة الكشف عن المعلومات في النظام الفرعي لشبكات kernel مهاجمًا محليًا قريبًا من الوصول إلى المعلومات الحساسة. تم تصنيف هذه المشكلة على أنها عالية لأنه يمكن استخدامها للوصول إلى البيانات دون إذن.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2014-8709 A-34077221
نواة المنبع
عالٍ نيكزس بلاير 9 نوفمبر 2014

ثغرة الكشف عن المعلومات في برنامج MediaTek

قد تؤدي ثغرة الكشف عن المعلومات في برنامج تشغيل MediaTek إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها عالية لأنه يمكن استخدامها للوصول إلى البيانات الحساسة دون إذن صريح من المستخدم.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0529 A-28449427 *
M-ALPS02710042
عالٍ لا أحد** 27 أبريل 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

** لا تتأثر أجهزة Google المدعومة على نظام التشغيل Android 7.0 أو الأحدث والتي تم تثبيت جميع التحديثات المتاحة بها بهذه الثغرة الأمنية.

ثغرة الكشف عن المعلومات في محمل الإقلاع من Qualcomm

يمكن أن تساعد ثغرة الكشف عن المعلومات في محمل الإقلاع Qualcomm في تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق أداة تحميل التشغيل. تم تصنيف هذه المشكلة على أنها عالية لأنها تجاوز عام للدفاع على مستوى أداة تحميل التشغيل في العمق أو استغلال تقنية التخفيف.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0455 A-32370952
QC-CR # 1082755
عالٍ Pixel و Pixel XL 21 أكتوبر 2016

ثغرة الكشف عن المعلومات في برنامج تشغيل الطاقة Qualcomm

قد تؤدي ثغرة الكشف عن المعلومات في برنامج تشغيل الطاقة Qualcomm إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها عالية لأنه يمكن استخدامها للوصول إلى البيانات الحساسة دون إذن صريح من المستخدم.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-8483 A-33745862
QC-CR # 1035099
عالٍ Nexus 5X و Nexus 6P 19 ديسمبر 2016

ثغرة الكشف عن المعلومات في برنامج تشغيل NVIDIA GPU

قد تؤدي ثغرة الكشف عن المعلومات في برنامج تشغيل NVIDIA GPU إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها عالية لأنه يمكن استخدامها للوصول إلى البيانات الحساسة دون إذن صريح من المستخدم.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0334 A-33245849 *
N-CVE-2017-0334
عالٍ بكسل سي 30 نوفمبر 2016
CVE-2017-0336 A-33042679 *
N-CVE-2017-0336
عالٍ بكسل سي جوجل الداخلية

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ثغرة أمنية لرفض الخدمة في النظام الفرعي لتشفير kernel

قد يؤدي رفض وجود ثغرة أمنية في النظام الفرعي لتشفير kernel إلى تمكين المهاجم عن بُعد من استخدام حزمة شبكة مُعدة خصيصًا للتسبب في توقف الجهاز أو إعادة تشغيله. تم تصنيف هذه المشكلة على أنها عالية نظرًا لاحتمال رفض الخدمة عن بُعد.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-8650 A-33401771
نواة المنبع
عالٍ Nexus 5X و Nexus 6P و Pixel و Pixel XL 12 أكتوبر 2016

ارتفاع ضعف الامتياز في برنامج تشغيل كاميرا Qualcomm (خاص بالجهاز)

يمكن أن يؤدي ارتفاع ثغرة الامتياز في برنامج تشغيل كاميرا Qualcomm إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق النواة. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تتطلب أولاً التنازل عن عملية ذات امتيازات ويتم تخفيفها من خلال تكوينات النظام الأساسي الحالية.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-8417 A-32342399
QC-CR # 1088824
معتدل Nexus 5X و Nexus 6 و Nexus 6P و Android One و Pixel و Pixel XL 21 أكتوبر 2016

ثغرة الكشف عن المعلومات في برنامج تشغيل Qualcomm Wi-Fi

قد تؤدي ثغرة الكشف عن المعلومات في برنامج تشغيل Qualcomm Wi-Fi إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0461 A-32073794
QC-CR # 1100132
معتدل Android One و Nexus 5X و Pixel و Pixel XL 9 أكتوبر 2016
CVE-2017-0459 أ -32644895
QC-CR # 1091939
معتدل Pixel و Pixel XL 3 نوفمبر 2016
CVE-2017-0531 A-32877245
QC-CR # 1087469
معتدل Android One و Nexus 5X و Nexus 6P و Pixel و Pixel XL 13 نوفمبر 2016

ثغرة أمنية في الكشف عن المعلومات في برنامج تشغيل برنامج ترميز الفيديو MediaTek

قد تؤدي ثغرة الكشف عن المعلومات في برنامج تشغيل برنامج ترميز الفيديو MediaTek إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0532 A-32370398 *
M-ALPS03069985
معتدل لا أحد** 22 أكتوبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

** لا تتأثر أجهزة Google المدعومة على نظام التشغيل Android 7.0 أو الأحدث والتي تم تثبيت جميع التحديثات المتاحة بها بهذه الثغرة الأمنية.

ثغرة الكشف عن المعلومات في برنامج تشغيل الفيديو Qualcomm

قد تؤدي ثغرة الكشف عن المعلومات في برنامج تشغيل الفيديو Qualcomm إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0533 أ -32509422
QC-CR # 1088206
معتدل Pixel و Pixel XL 27 أكتوبر 2016
CVE-2017-0534 أ -32508732
QC-CR # 1088206
معتدل Pixel و Pixel XL 28 أكتوبر 2016
CVE-2016-8416 A-32510746
QC-CR # 1088206
معتدل Pixel و Pixel XL 28 أكتوبر 2016
CVE-2016-8478 A-32511270
QC-CR # 1088206
معتدل Pixel و Pixel XL 28 أكتوبر 2016

ثغرة الكشف عن المعلومات في برنامج تشغيل كاميرا Qualcomm

قد تؤدي ثغرة الكشف عن المعلومات في برنامج تشغيل كاميرا Qualcomm إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2016-8413 A-32709702
QC-CR # 518731
معتدل Nexus 5X و Nexus 6 و Nexus 6P و Android One و Pixel و Pixel XL 4 نوفمبر 2016
CVE-2016-8477 A-32720522
QC-CR # 1090007 [ 2 ]
معتدل Nexus 5X و Nexus 6 و Nexus 6P و Android One و Pixel و Pixel XL 7 نوفمبر 2016

ثغرة الكشف عن المعلومات في برنامج تشغيل ترميز الصوت HTC

قد تؤدي ثغرة الكشف عن المعلومات في برنامج تشغيل برنامج ترميز الصوت من HTC إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0535 A-33547247 * معتدل نيكزس 9 11 من كانون الأول 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ثغرة الكشف عن المعلومات في برنامج تشغيل شاشة اللمس Synaptics

قد تؤدي ثغرة الكشف عن المعلومات في برنامج تشغيل شاشة اللمس Synaptics إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0536 A-33555878 * معتدل Android One و Nexus 5X و Nexus 6P و Nexus 9 و Pixel و Pixel XL 12 ديسمبر 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ثغرة أمنية في الكشف عن المعلومات في برنامج تشغيل أداة kernel USB

قد تؤدي ثغرة الكشف عن المعلومات في برنامج تشغيل الأداة الذكية kernel USB إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها متوسطة لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0537 A-31614969 * معتدل بكسل سي جوجل الداخلية

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ثغرة الكشف عن المعلومات في برنامج تشغيل كاميرا Qualcomm

قد تؤدي ثغرة الكشف عن المعلومات في برنامج تشغيل كاميرا Qualcomm إلى تمكين تطبيق ضار محلي من الوصول إلى البيانات خارج مستويات الأذونات الخاصة به. تم تصنيف هذه المشكلة على أنها منخفضة لأنها تتطلب أولاً التنازل عن عملية ذات امتياز.

CVE مراجع خطورة أجهزة Google المحدثة ذكرت تاريخ
CVE-2017-0452 A-32873615 *
QC-CR # 1093693
قليل Nexus 5X و Nexus 6P و Android One 10 من تشرين الثاني 2016

* التصحيح الخاص بهذه المشكلة غير متاح للجمهور. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

أسئلة وأجوبة شائعة

يجيب هذا القسم على الأسئلة الشائعة التي قد تطرأ بعد قراءة هذه النشرة.

1. كيف يمكنني تحديد ما إذا كان قد تم تحديث جهازي لمعالجة هذه المشكلات؟

لمعرفة كيفية التحقق من مستوى تصحيح الأمان لجهاز ما ، اقرأ التعليمات الواردة في جدول تحديث Pixel و Nexus .

  • تتناول مستويات تصحيح الأمان 2017-03-01 أو أحدث جميع المشكلات المرتبطة بمستوى تصحيح الأمان 2017-03-01.
  • تتناول مستويات تصحيح الأمان لعام 2017-03-05 أو أحدث جميع المشكلات المرتبطة بمستوى تصحيح الأمان 2017-03-05 وجميع مستويات التصحيح السابقة.

يجب على الشركات المصنعة للأجهزة التي تتضمن هذه التحديثات تعيين مستوى سلسلة التصحيح على:

  • [ro.build.version.security_patch]: [2017-03-01]
  • [ro.build.version.security_patch]: [2017-03-05]

2. لماذا تحتوي هذه النشرة على مستويين من تصحيح الأمان؟

تحتوي هذه النشرة على مستويين من تصحيح الأمان بحيث يتمتع شركاء Android بالمرونة لإصلاح مجموعة فرعية من الثغرات الأمنية المتشابهة عبر جميع أجهزة Android بسرعة أكبر. يتم تشجيع شركاء Android على إصلاح جميع المشكلات الواردة في هذه النشرة واستخدام أحدث مستوى من تصحيح الأمان.

  • يجب أن تتضمن الأجهزة التي تستخدم مستوى تصحيح الأمان في 1 مارس 2017 جميع المشكلات المرتبطة بمستوى تصحيح الأمان هذا ، بالإضافة إلى إصلاحات لجميع المشكلات التي تم الإبلاغ عنها في نشرات الأمان السابقة.
  • يجب أن تشتمل الأجهزة التي تستخدم مستوى تصحيح الأمان بتاريخ 5 مارس 2017 أو أحدث على جميع التصحيحات القابلة للتطبيق في نشرات الأمان هذه (والسابقة).

يتم تشجيع الشركاء على تجميع الإصلاحات لجميع المشكلات التي يعالجونها في تحديث واحد.

3. كيف يمكنني تحديد أجهزة Google التي تتأثر بكل مشكلة؟

في أقسام تفاصيل الثغرات الأمنية 2017-03-01 و2017-03-05 ، يحتوي كل جدول على عمود محدث لأجهزة Google يغطي نطاق أجهزة Google المتأثرة التي تم تحديثها لكل مشكلة. يحتوي هذا العمود على بعض الخيارات:

  • جميع أجهزة Google : إذا كانت هناك مشكلة تؤثر على جميع أجهزة Pixel ، فسيحتوي الجدول على "الكل" في عمود أجهزة Google المحدثة . يتضمن "All" الأجهزة المدعومة التالية: Nexus 5X و Nexus 6 و Nexus 6P و Nexus 9 و Android One و Nexus Player و Pixel C و Pixel و Pixel XL.
  • بعض أجهزة Google : إذا كانت هناك مشكلة لا تؤثر على جميع أجهزة Google ، فسيتم إدراج أجهزة Google المتأثرة في عمود أجهزة Google المحدثة .
  • لا توجد أجهزة Google : إذا لم تتأثر أي من أجهزة Google التي تعمل بنظام Android 7.0 بالمشكلة ، فسيحتوي الجدول على "بلا" في عمود أجهزة Google المحدثة .

4. إلى ماذا تعين الإدخالات في عمود المراجع؟

قد تحتوي الإدخالات الموجودة ضمن عمود المراجع في جدول تفاصيل الثغرات الأمنية على بادئة تحدد المؤسسة التي تنتمي إليها القيمة المرجعية. يتم تعيين هذه البادئات على النحو التالي:

بادئة المرجعي
أ- معرف خطأ Android
QC- الرقم المرجعي لشركة Qualcomm
م- الرقم المرجعي MediaTek
ن- الرقم المرجعي لـ NVIDIA
ب- الرقم المرجعي من Broadcom

التنقيحات

  • 06 مارس 2017: تم نشر النشرة.
  • 07 مارس 2017: مراجعة النشرة لتشمل روابط AOSP.