ประกาศข่าวสารด้านความปลอดภัยของ Android - มีนาคม 2017

เผยแพร่เมื่อ 6 มีนาคม 2017 | อัปเดตเมื่อ 7 มีนาคม 2017

กระดานข่าวสารด้านความปลอดภัยของ Android มีรายละเอียดช่องโหว่ด้านความปลอดภัยที่ส่งผลกระทบต่ออุปกรณ์ Android นอกเหนือจากกระดานข่าวสารแล้ว เรายังได้เผยแพร่การอัปเดตความปลอดภัยให้กับอุปกรณ์ Google ผ่านการอัปเดตผ่านอากาศ (OTA) ด้วย เราได้เผยแพร่อิมเมจเฟิร์มแวร์ของอุปกรณ์ Google ไปยังเว็บไซต์สำหรับนักพัฒนาซอฟต์แวร์ของ Google ด้วย แพตช์ความปลอดภัยระดับวันที่ 5 มีนาคม 2017 ขึ้นไปจะแก้ไขปัญหาเหล่านี้ทั้งหมด โปรดดูกำหนดการอัปเดต Pixel และ Nexus เพื่อดูวิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์

พาร์ทเนอร์ได้รับการแจ้งเตือนเกี่ยวกับปัญหาที่อธิบายไว้ในกระดานข่าวสารเมื่อวันที่ 6 กุมภาพันธ์ 2017 หรือก่อนหน้านั้น เราได้เผยแพร่แพตช์ซอร์สโค้ดสำหรับปัญหาเหล่านี้ไปยังที่เก็บข้อมูลโครงการโอเพนซอร์ส Android (AOSP) และลิงก์จากกระดานข่าวสารนี้แล้ว กระดานข่าวสารนี้ยังมีลิงก์ไปยังแพตช์นอก AOSP ด้วย

ปัญหาที่ร้ายแรงที่สุดคือช่องโหว่ด้านความปลอดภัยร้ายแรงที่อาจทำให้สามารถเรียกใช้โค้ดจากระยะไกลในอุปกรณ์ที่ได้รับผลกระทบผ่านวิธีการต่างๆ เช่น อีเมล การท่องเว็บ และ MMS เมื่อประมวลผลไฟล์สื่อ การประเมินความรุนแรงจะอิงตามผลกระทบที่การใช้ประโยชน์จากช่องโหว่อาจมีต่ออุปกรณ์ที่ได้รับผลกระทบ โดยสมมติว่ามีการปิดใช้มาตรการบรรเทาปัญหาของแพลตฟอร์มและบริการเพื่อวัตถุประสงค์ในการพัฒนา หรือหากมีการหลบเลี่ยงได้สําเร็จ

เราไม่พบรายงานการแสวงหาประโยชน์หรือการใช้ในทางที่ผิดของลูกค้าเกี่ยวกับปัญหาที่รายงานเข้ามาใหม่เหล่านี้ โปรดดูรายละเอียดเกี่ยวกับการป้องกันแพลตฟอร์มความปลอดภัยของ Android และการป้องกันบริการ เช่น SafetyNet ที่ส่วนการบรรเทาสำหรับ Android และบริการของ Google ซึ่งช่วยปรับปรุงความปลอดภัยของแพลตฟอร์ม Android

เราขอแนะนำให้ลูกค้าทุกคนยอมรับการอัปเดตเหล่านี้ในอุปกรณ์

ประกาศ

  • กระดานข่าวสารนี้มีสตริงระดับแพตช์ความปลอดภัย 2 รายการเพื่อให้พาร์ทเนอร์ Android มีความยืดหยุ่นในการแก้ไขช่องโหว่ชุดย่อยที่คล้ายกันในอุปกรณ์ Android ทั้งหมดได้เร็วขึ้น ดูข้อมูลเพิ่มเติมได้ในคำถามที่พบบ่อยและคำตอบ ดังนี้
    • 2017-03-01: สตริงระดับแพตช์ความปลอดภัยบางส่วน สตริงระดับแพตช์ความปลอดภัยนี้บ่งชี้ว่าปัญหาทั้งหมดที่เกี่ยวข้องกับ 2017-03-01 (และสตริงระดับแพตช์ความปลอดภัยก่อนหน้าทั้งหมด) ได้รับการแก้ไขแล้ว
    • 2017-03-05: สตริงระดับแพตช์ความปลอดภัยที่สมบูรณ์ สตริงระดับแพตช์ความปลอดภัยนี้บ่งชี้ว่าปัญหาทั้งหมดที่เกี่ยวข้องกับ 2017-03-01 และ 2017-03-05 (และสตริงระดับแพตช์ความปลอดภัยก่อนหน้าทั้งหมด) ได้รับการแก้ไขแล้ว
  • อุปกรณ์ Google ที่รองรับจะได้รับการอัปเดต OTA ครั้งเดียวที่มีระดับแพตช์ความปลอดภัยของวันที่ 5 มีนาคม 2017

การบรรเทาปัญหาเกี่ยวกับบริการ Android และ Google

ข้อมูลต่อไปนี้เป็นสรุปของมาตรการบรรเทาความเสี่ยงที่ได้จากแพลตฟอร์มการรักษาความปลอดภัยของ Android และการปกป้องบริการ เช่น SafetyNet ความสามารถเหล่านี้จะช่วยลดโอกาสที่ช่องโหว่ด้านความปลอดภัยจะได้รับการแสวงหาประโยชน์ใน Android

  • การหาช่องโหว่ของปัญหาต่างๆ ใน Android ทำได้ยากขึ้นเนื่องจากการปรับปรุงแพลตฟอร์ม Android เวอร์ชันใหม่ เราขอแนะนำให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดหากเป็นไปได้
  • ทีมรักษาความปลอดภัยของ Android คอยตรวจสอบการละเมิดด้วยการยืนยันแอปและ SafetyNet ซึ่งออกแบบมาเพื่อเตือนผู้ใช้เกี่ยวกับแอปพลิเคชันที่อาจเป็นอันตราย ยืนยันแอปจะเปิดใช้โดยค่าเริ่มต้นในอุปกรณ์ที่มี Google Mobile Services และมีความสำคัญอย่างยิ่งสำหรับผู้ใช้ที่ติดตั้งแอปพลิเคชันจากภายนอก Google Play เครื่องมือการรูทอุปกรณ์ไม่ได้รับอนุญาตใน Google Play แต่แอปตรวจสอบจะเตือนผู้ใช้เมื่อพยายามติดตั้งแอปพลิเคชันการรูทที่ตรวจพบ ไม่ว่าแอปพลิเคชันนั้นจะมาจากที่ใดก็ตาม นอกจากนี้ ฟีเจอร์ตรวจสอบแอปจะพยายามระบุและบล็อกการติดตั้งแอปพลิเคชันที่เป็นอันตรายซึ่งทราบอยู่แล้วว่าใช้ประโยชน์จากช่องโหว่การยกระดับสิทธิ์ หากติดตั้งแอปพลิเคชันดังกล่าวไว้แล้ว ฟีเจอร์ยืนยันแอปจะแจ้งให้ผู้ใช้ทราบและพยายามนำแอปพลิเคชันที่ตรวจพบออก
  • แอปพลิเคชัน Google Hangouts และ Messenger จะไม่ส่งสื่อไปยังกระบวนการต่างๆ เช่น Mediaserver โดยอัตโนมัติตามความเหมาะสม

ขอขอบคุณ

ขอขอบคุณนักวิจัยต่อไปนี้ที่มีส่วนร่วม

  • Alexander Potapenko จากทีมเครื่องมือแบบไดนามิกของ Google: CVE-2017-0537
  • Baozeng Ding, Chengming Yang, Peng Xiao และ Yang Song จาก Alibaba Mobile กลุ่มรักษาความปลอดภัย: CVE-2017-0506
  • Baozeng Ding, Ning You, Chengming Yang, Peng Xiao และ Yang Song จาก Alibaba Mobile Security Group: CVE-2017-0463
  • Billy Lau จากทีมรักษาความปลอดภัยของ Android: CVE-2017-0335, CVE-2017-0336, CVE-2017-0338, CVE-2017-0460
  • derrek (@derrekr6): CVE-2016-8413, CVE-2016-8477, CVE-2017-0531
  • derrek (@derrekr6) และ Scott Bauer (@ScottyBauer1): CVE-2017-0521
  • Di Shen (@returnsme) จาก KeenLab (@keen_lab), Tencent: CVE-2017-0334, CVE-2017-0456, CVE-2017-0457, CVE-2017-0525
  • En He (@heeeeen4x) และ Bo Liu จาก MS509Team: CVE-2017-0490
  • Gengjia Chen (@chengjia4574) และ pjf จาก IceSword Lab, Qihoo 360 Tech. Co. Ltd. CVE-2017-0500, CVE-2017-0501, CVE-2017-0502, CVE-2017-0503, CVE-2017-0509, CVE-2017-0524, CVE-2017-0529, CVE-2017-0536
  • Hao Chen และ Guang Gong จากทีม Alpha, Qihoo 360 Technology Co. Ltd. CVE-2017-0453, CVE-2017-0461, CVE-2017-0464
  • Hiroki Yamamoto และ Fang Chen จาก Sony Mobile Communications Inc. CVE-2017-0481
  • นักวิจัยจาก IBM Security X-Force Sagi Kedmi และ Roee Hay: CVE-2017-0510
  • Jianjun Dai (@Jioun_dai) จาก Qihoo 360 Skyeye Labs: CVE-2017-0478
  • Jianqiang Zhao (@jianqiangzhao) และ pjf จาก IceSword Lab, Qihoo 360: CVE-2016-8416, CVE-2016-8478, CVE-2017-0458, CVE-2017-0459, CVE-2017-0518, CVE-2017-0519, CVE-2017-0533, CVE-2017-0534
  • Lubo Zhang, Tong Lin, Yuan-Tsung Lo และ Xuxian Jiang จากทีม C0RE: CVE-2016-8479
  • Makoto Onuki จาก Google: CVE-2017-0491
  • Mingjian Zhou (@Mingjian_Zhou), Hanxiang Wen และ Xuxian Jiang จากทีม C0RE: CVE-2017-0479, CVE-2017-0480
  • Nathan Crandall (@natecray): CVE-2017-0535
  • Nathan Crandall (@natecray) จากทีมรักษาความปลอดภัยของผลิตภัณฑ์ Tesla Motors: CVE-2017-0306
  • Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮), Lenx Wei (韦韬) จาก Baidu X-Lab (百度安全实验室): CVE-2016-8417
  • Qidan He (何淇丹) (@flanker_hqd) จาก KeenLab, Tencent: CVE-2017-0337, CVE-2017-0476
  • Qing Zhang จาก Qihoo 360 และ Guangdong Bai จากสถาบันเทคโนโลยีสิงคโปร์ (SIT): CVE-2017-0496
  • Quhe และ wanchouchou จาก Ant-financial Light-Year Security Lab (蚂蚁金服巴斯光年安全实验室): CVE-2017-0522
  • Sahara ของการสื่อสารที่ปลอดภัยใน DarkMatter: CVE-2017-0528
  • salls (@chris_salls) จากทีม Shellphish Grill, UC Santa Barbara: CVE-2017-0505
  • Scott Bauer (@ScottyBauer1): CVE-2017-0504, CVE-2017-0516
  • Sean Beaupre (beaups): CVE-2017-0455
  • Seven Shen (@lingtongshen) จากบริษัท Trend Micro: CVE-2017-0452
  • Shinichi Matsumoto จาก Fujitsu: CVE-2017-0498
  • Stéphane Marques จาก ByteRev: CVE-2017-0489
  • Svetoslav Ganov จาก Google: CVE-2017-0492
  • Tong Lin, Yuan-Tsung Lo และ Xuxian Jiang จากทีม C0RE: CVE-2017-0333
  • V.E.O (@VYSEa) จากทีมตอบสนองต่อภัยคุกคามบนอุปกรณ์เคลื่อนที่ของ Trend Micro: CVE-2017-0466, CVE-2017-0467, CVE-2017-0468, CVE-2017-0469, CVE-2017-0470, CVE-2017-0471, CVE-2017-0472, CVE-2017-0473, CVE-2017-0482, CVE-2017-0484, CVE-2017-0485, CVE-2017-0486, CVE-2017-0487, CVE-2017-0494, CVE-2017-0495
  • Wish Wu (吴潍浠 此彼) (@wish_wu) จาก Ant-financial Light-Year Security Lab (蚂蚁金服巴斯光年安全实验室): CVE-2017-0477
  • Yu Pan จากทีม Vulpecker, Qihoo 360 Technology Co. Ltd: CVE-2017-0517, CVE-2017-0532
  • Yuan-Tsung Lo และ Xuxian Jiang จากทีม C0RE: CVE-2017-0526, CVE-2017-0527
  • Yuqi Lu (@nikos233), Wenke Dou, Dacheng Shao, Mingjian Zhou (@Mingjian_Zhou), และ Xuxian Jiangจากทีม C0RE: CVE-2017-0483
  • Zinuo Han (weibo.com/ele7enxxh) จากศูนย์ตอบสนองต่อความปลอดภัยของเมืองเฉิงตู, Qihoo 360 Technology Co. Ltd. CVE-2017-0475, CVE-2017-0497

ระดับแพตช์ความปลอดภัยของวันที่ 01-03-2017 - รายละเอียดช่องโหว่

ในส่วนด้านล่างนี้ เรามีรายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่มีผลกับระดับแพตช์ 2017-03-01 โดยมีคำอธิบายปัญหา เหตุผลด้านความรุนแรง และตารางที่แสดง CVE, ข้อมูลอ้างอิงที่เกี่ยวข้อง, ความรุนแรง, อุปกรณ์ Google ที่อัปเดตแล้ว, เวอร์ชัน AOSP ที่อัปเดตแล้ว (หากมี) และวันที่รายงาน เราจะลิงก์การเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสข้อบกพร่อง (หากมี) เช่น รายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับข้อบกพร่องเดียว ระบบจะลิงก์ข้อมูลอ้างอิงเพิ่มเติมกับตัวเลขตามรหัสข้อบกพร่อง

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน OpenSSL และ BoringSSL

ช่องโหว่ด้านการดำเนินการโค้ดจากระยะไกลใน OpenSSL และ BoringSSL อาจเปิดโอกาสให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อทำให้หน่วยความจำเสียหายระหว่างการประมวลผลไฟล์และข้อมูล ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่จะมีการเรียกใช้โค้ดจากระยะไกลภายในบริบทของกระบวนการที่มีสิทธิ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2016-2182 A-32096880 วิกฤต ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 5 ส.ค. 2016

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน Mediaserver

ช่องโหว่ด้านการดำเนินการโค้ดจากระยะไกลใน Mediaserver อาจทำให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อทำให้หน่วยความจำเสียหายระหว่างการประมวลผลไฟล์สื่อและข้อมูล ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่จะมีการเรียกใช้โค้ดจากระยะไกลภายในบริบทของกระบวนการ Mediaserver

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0466 A-33139050 [2] วิกฤต ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 25 พ.ย. 2016
CVE-2017-0467 A-33250932 [2] วิกฤต ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 30 พ.ย. 2016
CVE-2017-0468 A-33351708 [2] วิกฤต ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 5 ธ.ค. 2016
CVE-2017-0469 A-33450635 วิกฤต ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 8 ธ.ค. 2016
CVE-2017-0470 A-33818500 วิกฤต ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 21 ธ.ค. 2016
CVE-2017-0471 A-33816782 วิกฤต ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 21 ธ.ค. 2016
CVE-2017-0472 A-33862021 วิกฤต ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 23 ธ.ค. 2016
CVE-2017-0473 A-33982658 วิกฤต ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 30 ธ.ค. 2016
CVE-2017-0474 A-32589224 วิกฤต ทั้งหมด 7.0, 7.1.1 ภายในของ Google

ช่องโหว่การยกระดับสิทธิ์ในโปรแกรมยืนยันการกู้คืน

ช่องโหว่การยกระดับสิทธิ์ในโปรแกรมตรวจสอบการกู้คืนอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่อุปกรณ์จะเกิดการประนีประนอมในพื้นที่อย่างถาวร ซึ่งอาจต้องแฟลชระบบปฏิบัติการอีกครั้งเพื่อซ่อมอุปกรณ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0475 A-31914369 วิกฤต ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 2 ต.ค. 2016

ช่องโหว่ด้านการดำเนินการกับโค้ดจากระยะไกลใน AOSP การรับส่งข้อความ

ช่องโหว่ด้านการดำเนินการโค้ดจากระยะไกลใน AOSP Messaging อาจเปิดโอกาสให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อทำให้หน่วยความจำเสียหายระหว่างการประมวลผลไฟล์สื่อและข้อมูล ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากมีความเป็นไปได้ที่จะมีการเรียกใช้โค้ดจากระยะไกลในบริบทของกระบวนการที่ไม่มีสิทธิ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0476 A-33388925 สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 6 ธ.ค. 2016

ช่องโหว่ด้านการดำเนินการกับโค้ดจากระยะไกลใน libgdx

ช่องโหว่ด้านการดำเนินการโค้ดจากระยะไกลใน libgdx อาจทำให้ผู้โจมตีที่ใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของกระบวนการที่ไม่มีสิทธิ์ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากมีความเป็นไปได้ที่จะมีการเรียกใช้โค้ดจากระยะไกลในแอปพลิเคชันที่ใช้ไลบรารีนี้

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0477 A-33621647 สูง ทั้งหมด 7.1.1 14 ธ.ค. 2016

ช่องโหว่ด้านการดำเนินการกับโค้ดจากระยะไกลในคลัง Framesequence

ช่องโหว่ด้านการดำเนินการโค้ดจากระยะไกลในไลบรารี Framesequence อาจทำให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อเรียกใช้โค้ดที่กำหนดเองได้ในบริบทของกระบวนการที่ไม่มีสิทธิ์ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากมีความเป็นไปได้ที่จะมีการดำเนินการโค้ดจากระยะไกลในแอปพลิเคชันที่ใช้ไลบรารี Framesequence

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0478 A-33718716 สูง ทั้งหมด 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 16 ธ.ค. 2016

ช่องโหว่การยกระดับสิทธิ์ใน NFC

ช่องโหว่การยกระดับสิทธิ์ใน NFC อาจทำให้ผู้โจมตีที่อยู่ใกล้เคียงสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของกระบวนการที่มีสิทธิ์ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากอาจนำไปใช้เพื่อเข้าถึงความสามารถที่ยกระดับในเครื่อง ซึ่งปกติแล้วแอปพลิเคชันของบุคคลที่สามจะเข้าถึงไม่ได้

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0481 A-33434992 สูง ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 6 พ.ย. 2016

ช่องโหว่การยกระดับสิทธิ์ใน Audioserver

ช่องโหว่การยกระดับสิทธิ์ใน Audioserver อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของกระบวนการที่มีสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากอาจนำไปใช้เพื่อรับสิทธิ์เข้าถึงความสามารถที่ยกระดับในเครื่อง ซึ่งปกติแล้วแอปพลิเคชันของบุคคลที่สามจะเข้าถึงไม่ได้

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0479 A-32707507 [2] สูง ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 7 พ.ย. 2016
CVE-2017-0480 A-32705429 [2] สูง ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 7 พ.ย. 2016

ช่องโหว่การปฏิเสธการให้บริการใน Mediaserver

ช่องโหว่การปฏิเสธการให้บริการใน Mediaserver อาจทำให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อทำให้อุปกรณ์ค้างหรือรีบูตได้ ปัญหานี้จัดอยู่ในระดับความรุนแรงสูงเนื่องจากมีความเป็นไปได้ที่จะมีการปฏิเสธการให้บริการจากระยะไกล

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0482 A-33090864 [2] [3] [4] [5] [6] สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 22 พ.ย. 2016
CVE-2017-0483 A-33137046 [2] สูง ทั้งหมด 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 24 พ.ย. 2016
CVE-2017-0484 A-33298089 [2] สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 1 ธ.ค. 2016
CVE-2017-0485 A-33387820 สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 6 ธ.ค. 2016
CVE-2017-0486 A-33621215 สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 14 ธ.ค. 2016
CVE-2017-0487 A-33751193 สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 19 ธ.ค. 2016
CVE-2017-0488 A-34097213 สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 ภายในของ Google

ช่องโหว่การยกระดับสิทธิ์ใน Location Manager

ช่องโหว่การเพิ่มสิทธิ์ในเครื่องมือจัดการตำแหน่งอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเลี่ยงการป้องกันข้อมูลตำแหน่งของระบบปฏิบัติการได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากอาจนำไปใช้สร้างข้อมูลที่ไม่ถูกต้องได้

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0489 A-33091107 ปานกลาง ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 20 พ.ย. 2016

ช่องโหว่การยกระดับสิทธิ์ใน Wi-Fi

ช่องโหว่การยกระดับสิทธิ์ใน Wi-Fi อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องลบข้อมูลผู้ใช้ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากเป็นการลบล้างข้อกําหนดของการโต้ตอบของผู้ใช้ซึ่งปกติแล้วจะต้องได้รับการเริ่มต้นจากผู้ใช้หรือสิทธิ์ของผู้ใช้

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0490 A-33178389 [2] [3] ปานกลาง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 25 พ.ย. 2016

ช่องโหว่การยกระดับสิทธิ์ใน Package Manager

ช่องโหว่การยกระดับสิทธิ์ในเครื่องมือจัดการแพ็กเกจอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องป้องกันไม่ให้ผู้ใช้ถอนการติดตั้งแอปพลิเคชันหรือนำสิทธิ์ออกจากแอปพลิเคชันได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากเป็นการลบล้างข้อกําหนดของการโต้ตอบของผู้ใช้

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0491 A-32553261 ปานกลาง ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 ภายในของ Google

ช่องโหว่การยกระดับสิทธิ์ใน System UI

ช่องโหว่การยกระดับสิทธิ์ใน UI ของระบบอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสร้าง UI ที่วางซ้อนกันครอบคลุมทั้งหน้าจอได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากเป็นการลบล้างข้อกําหนดของการโต้ตอบของผู้ใช้ซึ่งปกติแล้วจะต้องได้รับการเริ่มต้นจากผู้ใช้หรือได้รับสิทธิ์จากผู้ใช้

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0492 A-30150688 ปานกลาง ทั้งหมด 7.1.1 ภายในของ Google

ช่องโหว่การเปิดเผยข้อมูลใน AOSP การรับส่งข้อความ

ช่องโหว่การเปิดเผยข้อมูลใน AOSP Messaging อาจทำให้ผู้โจมตีระยะไกลใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อเข้าถึงข้อมูลที่อยู่นอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากอาจนำไปใช้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาต

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0494 A-32764144 ปานกลาง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 9 พ.ย. 2016

ช่องโหว่การเปิดเผยข้อมูลใน Mediaserver

ช่องโหว่การเปิดเผยข้อมูลใน Mediaserver อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากอาจนำไปใช้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาต

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0495 A-33552073 ปานกลาง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 11 ธ.ค. 2016

ช่องโหว่การปฏิเสธการให้บริการในวิซาร์ดการตั้งค่า

ช่องโหว่การปฏิเสธบริการในวิซาร์ดการตั้งค่าอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องบล็อกการเข้าถึงอุปกรณ์ที่ได้รับผลกระทบเป็นการชั่วคราว ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากอาจต้องรีเซ็ตเป็นค่าเริ่มต้นเพื่อซ่อมอุปกรณ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0496 A-31554152* ปานกลาง ไม่มี** 5.0.2, 5.1.1, 6.0, 6.0.1 14 ก.ย. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตนี้อยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Google ซึ่งมีอยู่ในเว็บไซต์นักพัฒนาซอฟต์แวร์ Google

** อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้

ช่องโหว่การปฏิเสธการให้บริการใน Mediaserver

ช่องโหว่การปฏิเสธการให้บริการใน Mediaserver อาจทำให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อทำให้อุปกรณ์ค้างหรือรีบูตได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากต้องมีการกำหนดค่าอุปกรณ์ที่ไม่ปกติ

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0497 A-33300701 ปานกลาง ทั้งหมด 7.0, 7.1.1 2 ธ.ค. 2016

ช่องโหว่การปฏิเสธการให้บริการในวิซาร์ดการตั้งค่า

ช่องโหว่การปฏิเสธบริการในวิซาร์ดการตั้งค่าอาจทำให้ผู้โจมตีในเครื่องกำหนดให้ต้องลงชื่อเข้าใช้บัญชี Google หลังจากรีเซ็ตเป็นค่าเริ่มต้น ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากอาจต้องรีเซ็ตเป็นค่าเริ่มต้นเพื่อซ่อมอุปกรณ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0498 A-30352311 [2] ปานกลาง ทั้งหมด 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 ภายในของ Google

ช่องโหว่การปฏิเสธการให้บริการใน Audioserver

ช่องโหว่การปฏิเสธบริการใน Audioserver อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องทำให้อุปกรณ์ค้างหรือรีบูต ปัญหานี้จัดอยู่ในระดับต่ำเนื่องจากมีแนวโน้มที่จะเกิดการปฏิเสธการให้บริการชั่วคราว

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว เวอร์ชัน AOSP ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0499 A-32095713 ต่ำ ทั้งหมด 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 11 ต.ค. 2016

ระดับแพตช์ความปลอดภัยของวันที่ 05-03-2017 - รายละเอียดช่องโหว่

ในส่วนด้านล่างนี้ เราจะให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่มีผลกับระดับแพตช์ 2017-03-05 โดยมีคำอธิบายปัญหา เหตุผลด้านความรุนแรง และตารางที่แสดง CVE, ข้อมูลอ้างอิงที่เกี่ยวข้อง, ความรุนแรง, อุปกรณ์ Google ที่อัปเดตแล้ว, เวอร์ชัน AOSP ที่อัปเดตแล้ว (หากมี) และวันที่รายงาน เราจะลิงก์การเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสข้อบกพร่อง (หากมี) เช่น รายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับข้อบกพร่องเดียว ระบบจะลิงก์ข้อมูลอ้างอิงเพิ่มเติมกับตัวเลขตามรหัสข้อบกพร่อง

ช่องโหว่การยกระดับสิทธิ์ในคอมโพเนนต์ MediaTek

ช่องโหว่การยกระดับสิทธิ์ในคอมโพเนนต์ของ MediaTek ซึ่งรวมถึงไดรเวอร์ M4U, ไดรเวอร์เสียง, ไดรเวอร์หน้าจอสัมผัส, ไดรเวอร์ GPU และไดรเวอร์คิวคําสั่ง อาจทําให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กําหนดเองภายในบริบทของเคิร์นเนลได้ ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่อุปกรณ์จะถูกบุกรุกอย่างถาวร ซึ่งอาจต้องมีการแฟลชระบบปฏิบัติการอีกครั้งเพื่อซ่อมอุปกรณ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0500 A-28429685*
M-ALPS02710006		 วิกฤต ไม่มี** 27 เมษายน 2016
CVE-2017-0501 A-28430015*
M-ALPS02708983		 วิกฤต ไม่มี** 27 เมษายน 2016
CVE-2017-0502 A-28430164*
M-ALPS02710027		 วิกฤต ไม่มี** 27 เมษายน 2016
CVE-2017-0503 A-28449045*
M-ALPS02710075		 วิกฤต ไม่มี** 28 เม.ย. 2016
CVE-2017-0504 A-30074628*
M-ALPS02829371		 วิกฤต ไม่มี** 9 ก.ค. 2016
CVE-2017-0505 A-31822282*
M-ALPS02992041		 วิกฤต ไม่มี** 28 กันยายน 2016
CVE-2017-0506 A-32276718*
M-ALPS03006904		 วิกฤต ไม่มี** 18 ต.ค. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตนี้อยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

** อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ GPU ของ NVIDIA

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ GPU ของ NVIDIA อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่อุปกรณ์จะเกิดการประนีประนอมในพื้นที่อย่างถาวร ซึ่งอาจต้องแฟลชระบบปฏิบัติการอีกครั้งเพื่อซ่อมอุปกรณ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0337 A-31992762*
N-CVE-2017-0337		 วิกฤต Pixel C 6 ต.ค. 2016
CVE-2017-0338 A-33057977*
N-CVE-2017-0338		 วิกฤต Pixel C 21 พ.ย. 2016
CVE-2017-0333 A-33899363*
N-CVE-2017-0333		 วิกฤต Pixel C 25 ธ.ค. 2016
CVE-2017-0306 A-34132950*
N-CVE-2017-0306		 วิกฤต Nexus 9 6 ม.ค. 2017
CVE-2017-0335 A-33043375*
N-CVE-2017-0335		 วิกฤต Pixel C ภายในของ Google

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

ช่องโหว่การยกระดับสิทธิ์ในระบบย่อย ION ของเคอร์เนล

ช่องโหว่ด้านการเพิ่มสิทธิ์ในระบบย่อย ION ของเคอร์เนลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์นเนลได้ ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่อุปกรณ์จะเกิดการประนีประนอมแบบถาวร ซึ่งอาจต้องมีการแฟลชระบบปฏิบัติการอีกครั้งเพื่อซ่อมอุปกรณ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0507 A-31992382* วิกฤต Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Pixel, Pixel XL 6 ต.ค. 2016
CVE-2017-0508 A-33940449* วิกฤต Pixel C 28 ธ.ค. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ Wi-Fi ของ Broadcom

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ Wi-Fi ของ Broadcom อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่อุปกรณ์จะเกิดการประนีประนอมแบบถาวร ซึ่งอาจต้องมีการแฟลชระบบปฏิบัติการอีกครั้งเพื่อซ่อมอุปกรณ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0509 A-32124445*
B-RB#110688		 วิกฤต ไม่มี** 12 ต.ค. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตนี้อยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

** อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้

ช่องโหว่การยกระดับสิทธิ์ในโปรแกรมแก้ไขข้อบกพร่อง FIQ ของเคอร์เนล

ช่องโหว่การยกระดับสิทธิ์ในโปรแกรมแก้ไขข้อบกพร่อง FIQ ของเคิร์กัลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กัล ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่อุปกรณ์จะเกิดการประนีประนอมในพื้นที่อย่างถาวร ซึ่งอาจต้องแฟลชระบบปฏิบัติการอีกครั้งเพื่อซ่อมอุปกรณ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0510 A-32402555* วิกฤต Nexus 9 25 ต.ค. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ GPU ของ Qualcomm

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ GPU ของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่อุปกรณ์จะเกิดการประนีประนอมในพื้นที่อย่างถาวร ซึ่งอาจต้องแฟลชระบบปฏิบัติการอีกครั้งเพื่อซ่อมอุปกรณ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2016-8479 A-31824853*
QC-CR#1093687		 วิกฤต Android One, Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL 29 กันยายน 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

การยกระดับสิทธิ์ ช่องโหว่ในระบบย่อยเครือข่ายเคอร์เนล

ช่องโหว่ด้านการเพิ่มสิทธิ์ในระบบย่อยเครือข่ายเคอร์เนลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดใดก็ได้ภายในบริบทของเคิร์นเนล ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่อุปกรณ์จะเกิดการประนีประนอมแบบถาวร ซึ่งอาจต้องมีการแฟลชระบบปฏิบัติการอีกครั้งเพื่อซ่อมอุปกรณ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2016-9806 A-33393474
เคอร์เนล Upstream		 วิกฤต Pixel C, Pixel, Pixel XL 4 ธ.ค. 2016
CVE-2016-10200 A-33753815
เคอร์เนล Upstream		 วิกฤต Nexus 5X, Nexus 6P, Pixel, Pixel XL 19 ธ.ค. 2016

ช่องโหว่ในคอมโพเนนต์ของ Qualcomm

ช่องโหว่ต่อไปนี้ส่งผลกระทบต่อคอมโพเนนต์ Qualcomm และมีรายละเอียดเพิ่มเติมในกระดานข่าวสารด้านความปลอดภัยของ Qualcomm AMSS เดือนกันยายน 2016

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2016-8484 A-28823575** วิกฤต ไม่มี*** ภายใน Qualcomm
CVE-2016-8485 A-28823681** วิกฤต ไม่มี*** ภายใน Qualcomm
CVE-2016-8486 A-28823691** วิกฤต ไม่มี*** ภายใน Qualcomm
CVE-2016-8487 A-28823724** วิกฤต ไม่มี*** ภายใน Qualcomm
CVE-2016-8488 A-31625756** วิกฤต ไม่มี*** ภายใน Qualcomm

* ระดับความรุนแรงของช่องโหว่เหล่านี้กำหนดโดยผู้ให้บริการ

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

*** อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้

การยกระดับสิทธิ์ ช่องโหว่ในระบบย่อยเครือข่ายเคอร์เนล

ช่องโหว่ด้านการเพิ่มสิทธิ์ในระบบย่อยเครือข่ายเคอร์เนลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดใดก็ได้ภายในบริบทของเคิร์นเนล ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2016-8655 A-33358926
เคอร์เนล Upstream		 สูง Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Pixel, Pixel XL 12 ต.ค. 2016
CVE-2016-9793 A-33363517
เคอร์เนล Upstream		 สูง Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Pixel, Pixel XL 2 ธ.ค. 2016

การยกระดับสิทธิ์ ช่องโหว่ในไดรเวอร์ฮาร์ดแวร์อินพุตของ Qualcomm

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ฮาร์ดแวร์อินพุตของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0516 A-32341680*
QC-CR#1096301		 สูง Android One, Pixel, Pixel XL 21 ต.ค. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตนี้อยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

การยกระดับสิทธิ์ vulnerability in MediaTek Hardware Sensor Driver

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์เซ็นเซอร์ฮาร์ดแวร์ของ MediaTek อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์นเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0517 A-32372051*
M-ALPS02973195		 สูง ไม่มี** 22 ต.ค. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

** อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ ADSPRPC ของ Qualcomm

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ ADSPRPC ของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0457 A-31695439*
QC-CR#1086123
QC-CR#1100695		 สูง Nexus 5X, Nexus 6P, Pixel, Pixel XL 22 ก.ย. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

การยกระดับสิทธิ์ ช่องโหว่ในไดรเวอร์เซ็นเซอร์ลายนิ้วมือของ Qualcomm

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์เซ็นเซอร์ลายนิ้วมือของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดตามต้องการภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0518 A-32370896*
QC-CR#1086530		 สูง Pixel, Pixel XL 24 ต.ค. 2016
CVE-2017-0519 A-32372915*
QC-CR#1086530		 สูง Pixel, Pixel XL 24 ต.ค. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

การยกระดับสิทธิ์ ช่องโหว่ในไดรเวอร์เครื่องมือเข้ารหัสของ Qualcomm

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์เครื่องมือเข้ารหัสของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0520 A-31750232
QC-CR#1082636		 สูง Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 24 กันยายน 2016

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์กล้อง Qualcomm

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์กล้อง Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0458 A-32588962
QC-CR#1089433		 สูง Pixel, Pixel XL 31 ต.ค. 2016
CVE-2017-0521 A-32919951
QC-CR#1097709		 สูง Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL 15 พ.ย. 2016

ช่องโหว่การยกระดับสิทธิ์ใน MediaTek APK

ช่องโหว่การยกระดับสิทธิ์ใน APK ของ MediaTek อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของกระบวนการที่มีสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากมีความเป็นไปได้ที่จะมีการเรียกใช้โค้ดที่กําหนดเองในเครื่องในกระบวนการที่มีสิทธิ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0522 A-32916158*
M-ALPS03032516		 สูง ไม่มี** 15 พ.ย. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

** อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ Wi-Fi ของ Qualcomm

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ Wi-Fi ของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0464 A-32940193
QC-CR#1102593		 สูง Nexus 5X, Pixel, Pixel XL 15 พ.ย. 2016
CVE-2017-0453 A-33979145
QC-CR#1105085		 สูง Nexus 5X, Android One 30 ธ.ค. 2016
CVE-2017-0523 A-32835279
QC-CR#1096945		 สูง ไม่มี* ภายในของ Google

* อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้

การยกระดับสิทธิ์ ช่องโหว่ในไดรเวอร์หน้าจอสัมผัส Synaptics

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์หน้าจอสัมผัส Synaptics อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0524 A-33002026 สูง Android One, Nexus 5X, Nexus 6P, Nexus 9, Pixel, Pixel XL 18 พ.ย. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

ช่องโหว่การยกระดับสิทธิ์ในไดร์เวอร์ IPA ของ Qualcomm

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ IPA ของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องทำการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0456 A-33106520*
QC-CR#1099598		 สูง Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL 23 พ.ย. 2016
CVE-2017-0525 A-33139056*
QC-CR#1097714		 สูง Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL 25 พ.ย. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ HTC Sensor Hub

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ HTC Sensor Hub อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0526 A-33897738* สูง Nexus 9 25 ธ.ค. 2016
CVE-2017-0527 A-33899318* สูง Nexus 9, Pixel, Pixel XL 25 ธ.ค. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ GPU ของ NVIDIA

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ GPU ของ NVIDIA อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับร้ายแรงเนื่องจากมีความเป็นไปได้ที่อุปกรณ์จะเกิดการประนีประนอมในพื้นที่อย่างถาวร ซึ่งอาจต้องแฟลชระบบปฏิบัติการอีกครั้งเพื่อซ่อมอุปกรณ์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0307 A-33177895*
N-CVE-2017-0307		 สูง ไม่มี** 28 พ.ย. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

** อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์เครือข่าย Qualcomm

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์เครือข่าย Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0463 A-33277611
QC-CR#1101792		 สูง Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 30 พ.ย. 2016
CVE-2017-0460 A-31252965*
QC-CR#1098801		 สูง Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL ภายในของ Google

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตนี้อยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

ช่องโหว่การยกระดับสิทธิ์ในระบบย่อยด้านความปลอดภัยของเคิร์นัล

ช่องโหว่ด้านการเพิ่มสิทธิ์ในระบบย่อยด้านความปลอดภัยของเคิร์กัลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดในบริบทของกระบวนการที่มีสิทธิ์ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากเป็นการหลบเลี่ยงทั่วไปสำหรับการป้องกันแบบหลายชั้นหรือเทคโนโลยีการลดความรุนแรงของช่องโหว่ระดับเคอร์เนล

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0528 A-33351919* สูง Pixel, Pixel XL 4 ธ.ค. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

ช่องโหว่การยกระดับสิทธิ์ในไดร์เวอร์ SPCom ของ Qualcomm

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์ SPCom ของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2016-5856 A-32610665
QC-CR#1094078		 สูง ไม่มี* ภายในของ Google
CVE-2016-5857 A-34386529
QC-CR#1094140		 สูง ไม่มี* ภายในของ Google

* อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้

ช่องโหว่การเปิดเผยข้อมูลในระบบย่อยเครือข่ายเคอร์เนล

ช่องโหว่การเปิดเผยข้อมูลในระบบย่อยเครือข่ายเคอร์เนลอาจทำให้ผู้โจมตีที่อยู่ใกล้เคียงสามารถเข้าถึงข้อมูลที่ละเอียดอ่อนได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากอาจนำไปใช้เพื่อเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2014-8709 A-34077221
เคอร์เนลจาก upstream		 สูง Nexus Player 9 พ.ย. 2014

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์ MediaTek

ช่องโหว่ในการเปิดเผยข้อมูลในไดรเวอร์ MediaTek อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากอาจนำไปใช้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนได้โดยไม่ต้องได้รับอนุญาตจากผู้ใช้อย่างชัดเจน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0529 A-28449427*
M-ALPS02710042		 สูง ไม่มี** 27 เมษายน 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตนี้อยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

** อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้

ช่องโหว่การเปิดเผยข้อมูลใน bootloader ของ Qualcomm

ช่องโหว่การเปิดเผยข้อมูลใน Bootloader ของ Qualcomm อาจช่วยให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของ Bootloader ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากเป็นการหลบเลี่ยงทั่วไปสำหรับการป้องกันแบบหลายชั้นหรือเทคโนโลยีการลดความรุนแรงของช่องโหว่ระดับบูตโหลดเดอร์

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0455 A-32370952
QC-CR#1082755		 สูง Pixel, Pixel XL 21 ต.ค. 2016

ช่องโหว่การเปิดเผยข้อมูลในโปรแกรมควบคุมพลังงาน Qualcomm

ช่องโหว่ในการเปิดเผยข้อมูลในไดรเวอร์พลังงาน Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากอาจนำไปใช้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาตจากผู้ใช้อย่างชัดเจน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2016-8483 A-33745862
QC-CR#1035099		 สูง Nexus 5X, Nexus 6P 19 ธ.ค. 2016

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์ GPU ของ NVIDIA

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์ GPU ของ NVIDIA อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากอาจนำไปใช้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนได้โดยไม่ต้องได้รับอนุญาตจากผู้ใช้อย่างชัดเจน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0334 A-33245849*
N-CVE-2017-0334		 สูง Pixel C 30 พ.ย. 2016
CVE-2017-0336 A-33042679*
N-CVE-2017-0336		 สูง Pixel C ภายในของ Google

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

ช่องโหว่การปฏิเสธการให้บริการในระบบย่อยการเข้ารหัสเคอร์เนล

ช่องโหว่การปฏิเสธบริการในระบบย่อยการเข้ารหัสเคอร์เนลอาจทำให้ผู้โจมตีระยะไกลใช้แพ็กเก็ตเครือข่ายที่สร้างขึ้นเป็นพิเศษเพื่อทำให้อุปกรณ์ค้างหรือรีบูต ปัญหานี้จัดอยู่ในระดับสูงเนื่องจากมีความเป็นไปได้ที่จะมีการปฏิเสธการให้บริการจากระยะไกล

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2016-8650 A-33401771
เคอร์เนลจาก upstream		 สูง Nexus 5X, Nexus 6P, Pixel, Pixel XL 12 ต.ค. 2016

การยกระดับสิทธิ์ ช่องโหว่ในไดรเวอร์กล้อง Qualcomm (เฉพาะอุปกรณ์)

ช่องโหว่การยกระดับสิทธิ์ในไดรเวอร์กล้อง Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของเคิร์กเนลได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์และได้รับการบรรเทาโดยการกำหนดค่าแพลตฟอร์มปัจจุบัน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2016-8417 A-32342399
QC-CR#1088824		 ปานกลาง Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 21 ต.ค. 2016

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์ Wi-Fi ของ Qualcomm

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์ Wi-Fi ของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากต้องประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0461 A-32073794
QC-CR#1100132		 ปานกลาง Android One, Nexus 5X, Pixel, Pixel XL 9 ต.ค. 2016
CVE-2017-0459 A-32644895
QC-CR#1091939		 ปานกลาง Pixel, Pixel XL 3 พ.ย. 2016
CVE-2017-0531 A-32877245
QC-CR#1087469		 ปานกลาง Android One, Nexus 5X, Nexus 6P, Pixel, Pixel XL 13 พ.ย. 2016

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์ตัวแปลงรหัสวิดีโอของ MediaTek

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์ตัวแปลงรหัสวิดีโอของ MediaTek อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0532 A-32370398*
M-ALPS03069985		 ปานกลาง ไม่มี** 22 ต.ค. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

** อุปกรณ์ Google ที่รองรับใน Android 7.0 ขึ้นไปซึ่งติดตั้งการอัปเดตทั้งหมดที่มีอยู่จะไม่ได้รับผลกระทบจากช่องโหว่นี้

ช่องโหว่การเปิดเผยข้อมูลในโปรแกรมควบคุมวิดีโอ Qualcomm

ช่องโหว่การเปิดเผยข้อมูลในโปรแกรมควบคุมวิดีโอ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากต้องประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0533 A-32509422
QC-CR#1088206		 ปานกลาง Pixel, Pixel XL 27 ต.ค. 2016
CVE-2017-0534 A-32508732
QC-CR#1088206		 ปานกลาง Pixel, Pixel XL 28 ต.ค. 2016
CVE-2016-8416 A-32510746
QC-CR#1088206		 ปานกลาง Pixel, Pixel XL 28 ต.ค. 2016
CVE-2016-8478 A-32511270
QC-CR#1088206		 ปานกลาง Pixel, Pixel XL 28 ต.ค. 2016

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์กล้อง Qualcomm

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์กล้อง Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากต้องประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2016-8413 A-32709702
QC-CR#518731		 ปานกลาง Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 4 พ.ย. 2016
CVE-2016-8477 A-32720522
QC-CR#1090007 [2]		 ปานกลาง Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 7 พ.ย. 2016

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์ตัวแปลงรหัสเสียง HTC

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์ตัวแปลงรหัสเสียงของ HTC อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากต้องประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0535 A-33547247* ปานกลาง Nexus 9 11 ธ.ค. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

การเปิดเผยข้อมูล vulnerability ในไดรเวอร์หน้าจอสัมผัส Synaptics

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์หน้าจอสัมผัส Synaptics อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากต้องอาศัยการประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0536 A-33555878* ปานกลาง Android One, Nexus 5X, Nexus 6P, Nexus 9, Pixel, Pixel XL 12 ธ.ค. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์แกดเจ็ต USB ของเคอร์เนล

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์แกดเจ็ต USB ของเคอร์เนลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับปานกลางเนื่องจากต้องประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0537 A-31614969* ปานกลาง Pixel C ภายในของ Google

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์กล้อง Qualcomm

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์กล้อง Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้จัดอยู่ในระดับต่ำเนื่องจากต้องประนีประนอมกระบวนการที่มีสิทธิ์ก่อน

CVE ข้อมูลอ้างอิง ความรุนแรง อุปกรณ์ Google ที่อัปเดตแล้ว วันที่รายงาน
CVE-2017-0452 A-32873615*
QC-CR#1093693		 ต่ำ Nexus 5X, Nexus 6P, Android One 10 พ.ย. 2016

* การแก้ไขสำหรับปัญหานี้ยังไม่พร้อมให้บริการแก่สาธารณะ การอัปเดตจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ซึ่งมีอยู่ใน เว็บไซต์นักพัฒนาซอฟต์แวร์ของ Google

คำถามที่พบบ่อยและคำตอบ

ส่วนนี้จะตอบคำถามที่พบบ่อยซึ่งผู้ใช้อาจสงสัยหลังจากที่อ่านกระดานข่าวสารนี้

1. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ได้รับการอัปเดตเพื่อแก้ไขปัญหาเหล่านี้แล้ว

หากต้องการดูวิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์ โปรดอ่านวิธีการในกำหนดการอัปเดตของ Pixel และ Nexus

  • ระดับแพตช์ความปลอดภัยของวันที่ 01-03-2017 ขึ้นไปจะแก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัยของวันที่ 01-03-2017
  • ระดับแพตช์ความปลอดภัยของวันที่ 05-03-2017 ขึ้นไปจะแก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัยของวันที่ 05-03-2017 และระดับแพตช์ก่อนหน้าทั้งหมด

ผู้ผลิตอุปกรณ์ที่รวมการอัปเดตเหล่านี้ควรตั้งค่าระดับสตริงการแก้ไขเป็น

  • [ro.build.version.security_patch]:[2017-03-01]
  • [ro.build.version.security_patch]:[2017-03-05]

2. เหตุใดกระดานข่าวสารนี้จึงมีระดับแพตช์ความปลอดภัย 2 ระดับ

กระดานข่าวสารนี้มีระดับแพตช์ความปลอดภัย 2 ระดับเพื่อให้พาร์ทเนอร์ Android มีความยืดหยุ่นในการแก้ไขช่องโหว่ชุดย่อยที่คล้ายกันในอุปกรณ์ Android ทั้งหมดได้เร็วขึ้น เราขอแนะนำให้พาร์ทเนอร์ Android แก้ไขปัญหาทั้งหมดในกระดานข่าวสารนี้และใช้แพตช์ความปลอดภัยระดับล่าสุด

  • อุปกรณ์ที่ใช้ระดับแพตช์ด้านความปลอดภัยของวันที่ 1 มีนาคม 2017 จะต้องแก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ด้านความปลอดภัยนั้น รวมถึงการแก้ไขสำหรับปัญหาทั้งหมดที่รายงานในกระดานข่าวสารด้านความปลอดภัยฉบับก่อนหน้า
  • อุปกรณ์ที่ใช้แพตช์ความปลอดภัยระดับวันที่ 5 มีนาคม 2017 ขึ้นไปต้องมีแพตช์ที่เกี่ยวข้องทั้งหมดในกระดานข่าวสารด้านความปลอดภัยฉบับนี้ (และฉบับก่อนหน้า)

เราขอแนะนำให้พาร์ทเนอร์รวมการแก้ไขสำหรับปัญหาทั้งหมดที่แก้ไขไว้ในอัปเดตเดียว

3. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ Google เครื่องใดได้รับผลกระทบจากปัญหาแต่ละข้อ

ในส่วนรายละเอียดช่องโหว่ด้านความปลอดภัยของวันที่ 01-03-2017 และ 05-03-2017 แต่ละตารางจะมีคอลัมน์อุปกรณ์ Google ที่อัปเดตซึ่งครอบคลุมช่วงของอุปกรณ์ Google ที่ได้รับผลกระทบซึ่งอัปเดตสำหรับปัญหาแต่ละรายการ คอลัมน์นี้มีตัวเลือก 2-3 รายการดังนี้

  • อุปกรณ์ Google ทั้งหมด: หากปัญหาส่งผลกระทบต่ออุปกรณ์ทั้งหมดและ Pixel ตารางจะมี "ทั้งหมด" ในคอลัมน์อุปกรณ์ Google ที่อัปเดตแล้ว "ทั้งหมด" จะรวมอุปกรณ์ที่รองรับต่อไปนี้ Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel และ Pixel XL
  • อุปกรณ์ Google บางรุ่น: หากปัญหาไม่ได้ส่งผลกระทบต่ออุปกรณ์ Google ทั้งหมด อุปกรณ์ Google ที่ได้รับผลกระทบจะแสดงอยู่ในคอลัมน์อุปกรณ์ Google ที่อัปเดตแล้ว
  • ไม่มีอุปกรณ์ Google: หากไม่มีอุปกรณ์ Google ที่ใช้ Android 7.0 ที่ได้รับผลกระทบจากปัญหานี้ ตารางจะมี "ไม่มี" ในคอลัมน์อุปกรณ์ Google ที่อัปเดตแล้ว

4. รายการในคอลัมน์ข้อมูลอ้างอิงแมปกับอะไร

รายการในคอลัมน์ข้อมูลอ้างอิงของตารางรายละเอียดช่องโหว่อาจมีคำนำหน้าระบุองค์กรที่เป็นเจ้าของค่าอ้างอิง คำนำหน้าเหล่านี้จะแมปดังนี้

คำนำหน้า ข้อมูลอ้างอิง
A- รหัสข้อบกพร่องของ Android
QC- หมายเลขอ้างอิงของ Qualcomm
M- หมายเลขอ้างอิง MediaTek
N- หมายเลขอ้างอิงของ NVIDIA
B- หมายเลขอ้างอิงของ Broadcom

การแก้ไข

  • 6 มีนาคม 2017: เผยแพร่กระดานข่าวสาร
  • 7 มีนาคม 2017: แก้ไขกระดานข่าวสารให้รวมลิงก์ AOSP