Publié le 6 mars 2017 | Mis à jour le 7 mars 2017
Le bulletin de sécurité Android contient des informations sur les failles de sécurité affectant les appareils Android. En plus de ce bulletin, nous avons publié une mise à jour de sécurité pour les appareils Google via une mise à jour Over The Air (OTA). Les images du micrologiciel des appareils Google ont également été publiées sur le site des développeurs Google. Les niveaux de correctifs de sécurité du 5 mars 2017 ou ultérieurs résolvent tous ces problèmes. Consultez le calendrier de mise à jour des Pixel et Nexus pour savoir comment vérifier le niveau du correctif de sécurité d'un appareil.
Les partenaires ont été informés des problèmes décrits dans le bulletin le 6 février 2017 ou avant. Des correctifs de code source pour ces problèmes ont été publiés dans le dépôt du projet Android Open Source (AOSP) et sont disponibles en lien depuis ce bulletin. Ce bulletin inclut également des liens vers des correctifs en dehors d'AOSP.
Le plus grave de ces problèmes est une faille de sécurité critique qui pourrait permettre l'exécution de code à distance sur un appareil affecté via plusieurs méthodes, telles que la messagerie, la navigation sur le Web et les MMS lors du traitement de fichiers multimédias. L'évaluation de la gravité est basée sur l'impact potentiel de l'exploitation de la faille sur un appareil concerné, en supposant que les mesures d'atténuation de la plate-forme et du service soient désactivées à des fins de développement ou qu'elles soient contournées.
Nous n'avons reçu aucun signalement d'exploitation ou d'utilisation abusive active de ces problèmes récemment signalés par les clients. Consultez la section Mitigations des services Android et Google pour en savoir plus sur les protections de la plate-forme de sécurité Android et les protections de services telles que SafetyNet, qui améliorent la sécurité de la plate-forme Android.
Nous encourageons tous les clients à accepter ces mises à jour sur leurs appareils.
Annonces
- Ce bulletin contient deux chaînes de niveau de correctif de sécurité afin de permettre aux partenaires Android de corriger plus rapidement un sous-ensemble de failles similaires sur tous les appareils Android. Pour en savoir plus, consultez les questions fréquentes et réponses :
- 2017-03-01: chaîne partielle du niveau du correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2017-03-01 (et à toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
- 2017-03-05: chaîne complète du niveau du correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2017-03-01 et 2017-03-05 (et à toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
- Les appareils Google compatibles recevront une seule mise à jour OTA avec le niveau du correctif de sécurité du 5 mars 2017.
Mitigations des services Android et Google
Voici un résumé des mesures d'atténuation fournies par la plate-forme de sécurité Android et les protections de service, telles que SafetyNet. Ces fonctionnalités réduisent la probabilité que des failles de sécurité puissent être exploitées avec succès sur Android.
- Les améliorations apportées aux versions plus récentes de la plate-forme Android rendent l'exploitation de nombreux problèmes sur Android plus difficile. Nous encourageons tous les utilisateurs à passer à la dernière version d'Android dans la mesure du possible.
- L'équipe Android Security surveille activement les utilisations abusives à l'aide de Verify Apps et SafetyNet, qui sont conçus pour avertir les utilisateurs des applications potentiellement dangereuses. Vérifier les applications est activé par défaut sur les appareils équipés des services mobiles Google. Il est particulièrement important pour les utilisateurs qui installent des applications en dehors de Google Play. Les outils de rootage d'appareils sont interdits sur Google Play, mais Vérifier les applications avertit les utilisateurs lorsqu'ils tentent d'installer une application de rootage détectée, quelle que soit son origine. De plus, Verify Apps tente d'identifier et de bloquer l'installation d'applications malveillantes connues qui exploitent une faille d'escalade de privilèges. Si une telle application a déjà été installée, Vérifier les applications en informe l'utilisateur et tente de la supprimer.
- Le cas échéant, les applications Google Hangouts et Messenger ne transfèrent pas automatiquement les contenus multimédias à des processus tels que Mediaserver.
Remerciements
Nous tenons à remercier ces chercheurs pour leur contribution:
- Alexander Potapenko de l'équipe Google Dynamic Tools: CVE-2017-0537
- Baozeng Ding, Chengming Yang, Peng Xiao et Yang Song du groupe de sécurité mobile Alibaba: CVE-2017-0506
- Baozeng Ding, Ning You, Chengming Yang, Peng Xiao et Yang Song du groupe de sécurité mobile d'Alibaba: CVE-2017-0463
- Billy Lau, de l'équipe Android Security: CVE-2017-0335, CVE-2017-0336, CVE-2017-0338, CVE-2017-0460
- derrek (@derrekr6): CVE-2016-8413, CVE-2016-8477, CVE-2017-0531
- derrek (@derrekr6) et Scott Bauer (@ScottyBauer1): CVE-2017-0521
- Di Shen (@returnsme) de KeenLab (@keen_lab), Tencent: CVE-2017-0334, CVE-2017-0456, CVE-2017-0457, CVE-2017-0525
- En He (@heeeeen4x) et Bo Liu de la MS509Team: CVE-2017-0490
- Gengjia Chen (@chengjia4574) et pjf de l'IceSword Lab, Qihoo 360 Technology Co., Ltd.: CVE-2017-0500, CVE-2017-0501, CVE-2017-0502, CVE-2017-0503, CVE-2017-0509, CVE-2017-0524, CVE-2017-0529, CVE-2017-0536
- Hao Chen et Guang Gong de l'équipe Alpha, Qihoo 360 Technology Co. Ltd. CVE-2017-0453, CVE-2017-0461, CVE-2017-0464
- Hiroki Yamamoto et Fang Chen de Sony Mobile Communications Inc.: CVE-2017-0481
- Les chercheurs X-Force de la sécurité IBM Sagi Kedmi et Roee Hay: CVE-2017-0510
- Jianjun Dai (@Jioun_dai) de Qihoo 360 Skyeye Labs: CVE-2017-0478
- Jianqiang Zhao (@jianqiangzhao) et pjf de l'IceSword Lab, Qihoo 360: CVE-2016-8416, CVE-2016-8478, CVE-2017-0458, CVE-2017-0459, CVE-2017-0518, CVE-2017-0519, CVE-2017-0533, CVE-2017-0534
- Lubo Zhang, Tong Lin, Yuan-Tsung Lo et Xuxian Jiang de l'équipe C0RE: CVE-2016-8479
- Makoto Onuki de Google: CVE-2017-0491
- Mingjian Zhou (@Mingjian_Zhou), Hanxiang Wen et Xuxian Jiang de l'équipe C0RE: CVE-2017-0479, CVE-2017-0480
- Nathan Crandall (@natecray) : CVE-2017-0535
- Nathan Crandall (@natecray) de l'équipe de sécurité des produits Tesla Motors: CVE-2017-0306
- Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮) et Lenx Wei (韦韬) de Baidu X-Lab (百度安全实验室): CVE-2016-8417
- Qidan He (何淇丹) (@flanker_hqd) de KeenLab, Tencent: CVE-2017-0337, CVE-2017-0476
- Qing Zhang de Qihoo 360 et Guangdong Bai de l'Institut de technologie de Singapour (SIT): CVE-2017-0496
- Quhe et wanchouchou du laboratoire de sécurité Light-Year d'Ant-Financial (蚂蚁金服巴斯光年安全实验室): CVE-2017-0522
- Sahara des communications sécurisées dans DarkMatter: CVE-2017-0528
- salls (@chris_salls) de l'équipe Shellphish Grill, UC Santa Barbara: CVE-2017-0505
- Scott Bauer (@ScottyBauer1): CVE-2017-0504, CVE-2017-0516
- Sean Beaupre (beaups): CVE-2017-0455
- Seven Shen (@lingtongshen) de Trend Micro: CVE-2017-0452
- Shinichi Matsumoto de Fujitsu: CVE-2017-0498
- Stéphane Marques de ByteRev: CVE-2017-0489
- Svetoslav Ganov de Google: CVE-2017-0492
- Tong Lin, Yuan-Tsung Lo et Xuxian Jiang de l'équipe C0RE: CVE-2017-0333
- V.E.O (@VYSEa) de l'équipe Mobile Threat Response de Trend Micro : CVE-2017-0466, CVE-2017-0467, CVE-2017-0468, CVE-2017-0469, CVE-2017-0470, CVE-2017-0471, CVE-2017-0472, CVE-2017-0473, CVE-2017-0482, CVE-2017-0484, CVE-2017-0485, CVE-2017-0486, CVE-2017-0487, CVE-2017-0494, CVE-2017-0495
- Wish Wu (吴潍浠 此彼) (@wish_wu) du laboratoire de sécurité Light-Year d'Ant Financial (蚂蚁金服巴斯光年安全实验室): CVE-2017-0477
- Yu Pan de l'équipe Vulpecker, Qihoo 360 Technology Co. Ltd: CVE-2017-0517, CVE-2017-0532
- Yuan-Tsung Lo et Xuxian Jiang de l'équipe C0RE: CVE-2017-0526, CVE-2017-0527
- Yuqi Lu (@nikos233), Wenke Dou, Dacheng Shao, Mingjian Zhou (@Mingjian_Zhou) et Xuxian Jiang de l'équipe C0RE: CVE-2017-0483
- Zinuo Han (weibo.com/ele7enxxh) du centre de réponse à la sécurité de Chengdu, Qihoo 360 Technology Co. Ltd.: CVE-2017-0475, CVE-2017-0497
Niveau du correctif de sécurité 01/03/2017 : détails de la faille
Dans les sections ci-dessous, nous fournissons des informations sur chacune des failles de sécurité qui s'appliquent au niveau de correctif 2017-03-01. Vous trouverez une description du problème, une justification de la gravité et un tableau contenant l'ID de la faille CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsque disponible, nous associerons la modification publique qui a résolu le problème à l'ID du bug, comme dans la liste des modifications AOSP. Lorsque plusieurs modifications concernent un même bug, des références supplémentaires sont associées à des numéros qui suivent l'ID du bug.
Vulnérabilité d'exécution de code à distance dans OpenSSL et BoringSSL
Une faille d'exécution de code à distance dans OpenSSL et BoringSSL peut permettre à un pirate informatique utilisant un fichier spécialement conçu de corrompre la mémoire lors du traitement des fichiers et des données. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans le contexte d'un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2016-2182 | A-32096880 | Critical (Critique) | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 5 août 2016 |
Vulnérabilité d'exécution de code à distance dans Mediaserver
Une faille d'exécution de code à distance dans Mediaserver peut permettre à un pirate informatique utilisant un fichier spécialement conçu de corrompre la mémoire lors du traitement des fichiers multimédias et des données. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans le contexte du processus Mediaserver.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0466 | A-33139050 [2] | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 25 novembre 2016 |
| CVE-2017-0467 | A-33250932 [2] | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Nov 30, 2016 |
| CVE-2017-0468 | A-33351708 [2] | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 5 décembre 2016 |
| CVE-2017-0469 | A-33450635 | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 8 décembre 2016 |
| CVE-2017-0470 | A-33818500 | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Dec 21, 2016 |
| CVE-2017-0471 | A-33816782 | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Dec 21, 2016 |
| CVE-2017-0472 | A-33862021 | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 23 décembre 2016 |
| CVE-2017-0473 | A-33982658 | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 30 décembre 2016 |
| CVE-2017-0474 | A-32589224 | Critical (Critique) | Tous | 7.0, 7.1.1 | Réservé à Google |
Vulnérabilité d'élévation de privilège dans le vérificateur de récupération
Une faille d'élévation des privilèges dans le vérificateur de récupération peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0475 | A-31914369 | Critical (Critique) | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 2 oct. 2016 |
Vulnérabilité d'exécution de code à distance dans AOSP Messaging
Une faille d'exécution de code à distance dans AOSP Messaging peut permettre à un pirate informatique utilisant un fichier spécialement conçu de corrompre la mémoire lors du traitement des fichiers multimédias et des données. Ce problème est classé comme "Élevé" en raison de la possibilité d'exécution de code à distance dans le contexte d'un processus non privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0476 | A-33388925 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 6 décembre 2016 |
Vulnérabilité d'exécution de code à distance dans libgdx
Une faille d'exécution de code à distance dans libgdx peut permettre à un pirate informatique utilisant un fichier spécialement conçu d'exécuter du code arbitraire dans le contexte d'un processus non privilégié. Ce problème est classé comme "Élevé" en raison de la possibilité d'exécution de code à distance dans une application qui utilise cette bibliothèque.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0477 | A-33621647 | Élevée | Tous | 7.1.1 | Dec 14, 2016 |
Vulnérabilité d'exécution de code à distance dans la bibliothèque Framesequence
Une faille d'exécution de code à distance dans la bibliothèque Framesequence peut permettre à un pirate informatique utilisant un fichier spécialement conçu d'exécuter du code arbitraire dans le contexte d'un processus non privilégié. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans une application qui utilise la bibliothèque Framesequence.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0478 | A-33718716 | Élevée | Tous | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Dec 16, 2016 |
Faille d'élévation des droits dans le NFC
Une faille d'escalade de privilèges dans la technologie NFC peut permettre à un pirate informatique à proximité d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme critique, car il peut être utilisé pour obtenir un accès local à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0481 | A-33434992 | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 6 novembre 2016 |
Faille d'élévation des droits dans Audioserver
Une faille d'escalade de privilèges dans Audioserver peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme critique, car il pourrait être utilisé pour accéder localement à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0479 | A-32707507 [2] | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Nov 7, 2016 |
| CVE-2017-0480 | A-32705429 [2] | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Nov 7, 2016 |
Faille de déni de service dans Mediaserver
Une faille de déni de service dans Mediaserver peut permettre à un pirate informatique d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme étant de gravité élevée en raison de la possibilité d'un déni de service à distance.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0482 | A-33090864 [2] [3] [4] [5] [6] | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Nov 22, 2016 |
| CVE-2017-0483 | A-33137046 [2] | Élevée | Tous | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 24 novembre 2016 |
| CVE-2017-0484 | A-33298089 [2] | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 1er déc. 2016 |
| CVE-2017-0485 | A-33387820 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 6 décembre 2016 |
| CVE-2017-0486 | A-33621215 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Dec 14, 2016 |
| CVE-2017-0487 | A-33751193 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 19 décembre 2016 |
| CVE-2017-0488 | A-34097213 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Réservé à Google |
Faille d'élévation des droits dans le Gestionnaire de position
Une faille d'escalade de privilèges dans le Gestionnaire de position peut permettre à une application malveillante locale de contourner les protections du système d'exploitation pour les données de localisation. Ce problème est classé comme modéré, car il peut être utilisé pour générer des données inexactes.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0489 | A-33091107 | Modérée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Nov 20, 2016 |
Vulnérabilité d'élévation des droits dans le Wi-Fi
Une faille d'élévation des privilèges dans le Wi-Fi peut permettre à une application malveillante locale de supprimer les données utilisateur. Ce problème est classé comme modéré, car il s'agit d'un contournement local des exigences d'interaction utilisateur qui nécessiteraient normalement une initiation ou une autorisation de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0490 | A-33178389 [2] [3] | Modérée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 25 novembre 2016 |
Faille d'élévation des droits dans Package Manager
Une faille d'élévation des privilèges dans le Gestionnaire de paquets peut permettre à une application malveillante locale d'empêcher les utilisateurs de désinstaller des applications ou de supprimer des autorisations des applications. Ce problème est classé comme modéré, car il s'agit d'un contournement local des exigences d'interaction utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0491 | A-32553261 | Modérée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Réservé à Google |
Vulnérabilité d'élévation des droits dans l'UI du système
Une faille d'élévation des privilèges dans l'UI du système peut permettre à une application malveillante locale de créer une superposition d'UI couvrant l'intégralité de l'écran. Ce problème est classé comme modéré, car il s'agit d'un contournement local des exigences d'interaction utilisateur qui nécessiteraient normalement l'initiation ou l'autorisation de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0492 | A-30150688 | Modérée | Tous | 7.1.1 | Réservé à Google |
Faille de divulgation d'informations dans AOSP Messaging
Une faille de divulgation d'informations dans AOSP Messaging peut permettre à un pirate informatique à distance d'accéder aux données en dehors de ses niveaux d'autorisation à l'aide d'un fichier spécialement conçu. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0494 | A-32764144 | Modérée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Nov 9, 2016 |
Faille de divulgation d'informations dans Mediaserver
Une faille de divulgation d'informations dans Mediaserver peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0495 | A-33552073 | Modérée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 11 décembre 2016 |
Faille de déni de service dans l'assistant de configuration
Une faille de déni de service dans l'assistant de configuration peut permettre à une application malveillante locale de bloquer temporairement l'accès à un appareil concerné. Ce problème est classé comme modéré, car il peut nécessiter un rétablissement de la configuration d'usine pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0496 | A-31554152* | Modérée | Aucun** | 5.0.2, 5.1.1, 6.0, 6.0.1 | 14 septembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developers.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité de déni de service dans Mediaserver
Une faille de déni de service dans Mediaserver peut permettre à un pirate informatique d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme modéré, car il nécessite une configuration d'appareil inhabituelle.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0497 | A-33300701 | Modérée | Tous | 7.0, 7.1.1 | 2 déc. 2016 |
Faille de déni de service dans l'assistant de configuration
Une faille de déni de service dans l'assistant de configuration peut permettre à un pirate informatique local d'exiger la connexion à un compte Google après une réinitialisation d'usine. Ce problème est classé comme modéré, car il peut nécessiter de rétablir la configuration d'usine pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0498 | A-30352311 [2] | Modérée | Tous | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Réservé à Google |
Vulnérabilité de déni de service dans Audioserver
Une faille de déni de service dans Audioserver peut permettre à une application malveillante locale de provoquer un blocage ou un redémarrage de l'appareil. Ce problème est classé comme faible en raison de la possibilité d'un déni de service temporaire.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0499 | A-32095713 | Faible | Tous | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 11 octobre 2016 |
Niveau du correctif de sécurité 2017-03-05 : détails de la faille
Dans les sections ci-dessous, nous fournissons des informations sur chacune des failles de sécurité qui s'appliquent au niveau de correctif 2017-03-05. Vous trouverez une description du problème, une justification de la gravité et un tableau contenant l'ID de la faille CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsque disponible, nous associerons la modification publique qui a résolu le problème à l'ID du bug, comme dans la liste des modifications AOSP. Lorsque plusieurs modifications concernent un même bug, des références supplémentaires sont associées à des numéros qui suivent l'ID du bug.
Faille d'élévation de privilège dans les composants MediaTek
Une faille d'escalade de privilèges dans les composants MediaTek, y compris le pilote M4U, le pilote audio, le pilote d'écran tactile, le pilote GPU et le pilote de file d'attente de commandes, pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente locale de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0500 | A-28429685* M-ALPS02710006 |
Critical (Critique) | Aucun** | 27 avril 2016 |
| CVE-2017-0501 | A-28430015* M-ALPS02708983 |
Critical (Critique) | Aucun** | 27 avril 2016 |
| CVE-2017-0502 | A-28430164* M-ALPS02710027 |
Critical (Critique) | Aucun** | 27 avril 2016 |
| CVE-2017-0503 | A-28449045* M-ALPS02710075 |
Critical (Critique) | Aucun** | 28 avril 2016 |
| CVE-2017-0504 | A-30074628* M-ALPS02829371 |
Critical (Critique) | Aucun** | Jul 9, 2016 |
| CVE-2017-0505 | A-31822282* M-ALPS02992041 |
Critical (Critique) | Aucun** | 28 septembre 2016 |
| CVE-2017-0506 | A-32276718* M-ALPS03006904 |
Critical (Critique) | Aucun** | Oct 18, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'escalade de privilèges dans le pilote de GPU NVIDIA
Une faille d'escalade de privilèges dans le pilote de GPU NVIDIA peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0337 | A-31992762* N-CVE-2017-0337 |
Critical (Critique) | Pixel C | 6 oct. 2016 |
| CVE-2017-0338 | A-33057977* N-CVE-2017-0338 |
Critical (Critique) | Pixel C | 21 novembre 2016 |
| CVE-2017-0333 | A-33899363* N-CVE-2017-0333 |
Critical (Critique) | Pixel C | Dec 25, 2016 |
| CVE-2017-0306 | A-34132950* N-CVE-2017-0306 |
Critical (Critique) | Nexus 9 | 6 janvier 2017 |
| CVE-2017-0335 | A-33043375* N-CVE-2017-0335 |
Critical (Critique) | Pixel C | Réservé à Google |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation des droits dans le sous-système ION du kernel
Une faille d'élévation des privilèges dans le sous-système ION du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0507 | A-31992382* | Critical (Critique) | Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Pixel et Pixel XL | 6 oct. 2016 |
| CVE-2017-0508 | A-33940449* | Critical (Critique) | Pixel C | 28 décembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom
Une faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0509 | A-32124445* B-RB#110688 |
Critical (Critique) | Aucun** | 12 oct. 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'élévation des droits dans le débogueur FIQ du kernel
Une faille d'escalade de privilèges dans le débogueur FIQ du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0510 | A-32402555* | Critical (Critique) | Nexus 9 | 25 octobre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'escalade de privilèges dans le pilote de GPU Qualcomm
Une faille d'élévation des privilèges dans le pilote de GPU Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-8479 | A-31824853* QC-CR#1093687 |
Critical (Critique) | Android One, Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL | Sep 29, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation des privilèges dans le sous-système de mise en réseau du noyau
Une faille d'élévation des privilèges dans le sous-système de mise en réseau du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-9806 | A-33393474 Noyau en amont |
Critical (Critique) | Pixel C, Pixel, Pixel XL | Dec 4, 2016 |
| CVE-2016-10200 | A-33753815 Noyau en amont |
Critical (Critique) | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 19 décembre 2016 |
Failles dans les composants Qualcomm
La faille suivante affecte les composants Qualcomm et est décrite plus en détail dans le bulletin de sécurité Qualcomm AMSS de septembre 2016.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-8484 | A-28823575** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2016-8485 | A-28823681** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2016-8486 | A-28823691** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2016-8487 | A-28823724** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2016-8488 | A-31625756** | Critical (Critique) | Aucun*** | Interne Qualcomm |
* Le niveau de gravité de ces failles a été déterminé par le fournisseur.
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.
*** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.
Vulnérabilité d'élévation des privilèges dans le sous-système de mise en réseau du noyau
Une faille d'élévation des privilèges dans le sous-système de mise en réseau du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-8655 | A-33358926 Noyau en amont |
Élevée | Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Pixel et Pixel XL | 12 oct. 2016 |
| CVE-2016-9793 | A-33363517 Noyau en amont |
Élevée | Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Pixel et Pixel XL | 2 déc. 2016 |
Vulnérabilité d'élévation de privilège dans le pilote matériel d'entrée Qualcomm
Une faille d'élévation des privilèges dans le pilote matériel d'entrée Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0516 | A-32341680* QC-CR#1096301 |
Élevée | Android One, Pixel, Pixel XL | 21 oct. 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation de privilège dans le pilote de capteur matériel MediaTek
Une faille d'escalade de privilèges dans le pilote de capteur matériel MediaTek peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0517 | A-32372051* M-ALPS02973195 |
Élevée | Aucun** | 22 oct. 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'élévation des droits dans le pilote Qualcomm ADSPRPC
Une faille d'élévation de privilège dans le pilote ADSPRPC de Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0457 | A-31695439* QC-CR#1086123 QC-CR#1100695 |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL | Sep 22, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation de privilège dans le pilote du lecteur d'empreinte digitale Qualcomm
Une faille d'élévation des privilèges dans le pilote du lecteur d'empreinte digitale Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0518 | A-32370896* QC-CR#1086530 |
Élevée | Pixel, Pixel XL | 24 octobre 2016 |
| CVE-2017-0519 | A-32372915* QC-CR#1086530 |
Élevée | Pixel, Pixel XL | 24 octobre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'escalade de privilèges dans le pilote du moteur de cryptographie Qualcomm
Une faille d'escalade de privilèges dans le pilote du moteur de cryptographie Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0520 | A-31750232 QC-CR#1082636 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel et Pixel XL | 24 septembre 2016 |
Vulnérabilité d'élévation des droits dans le pilote de la caméra Qualcomm
Une faille d'élévation des privilèges dans le pilote de la caméra Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0458 | A-32588962 QC-CR#1089433 |
Élevée | Pixel, Pixel XL | 31 octobre 2016 |
| CVE-2017-0521 | A-32919951 QC-CR#1097709 |
Élevée | Nexus 5X, Nexus 6P, Android One, Pixel et Pixel XL | 15 novembre 2016 |
Faille d'élévation des droits dans l'APK MediaTek
Une faille d'escalade de privilèges dans un APK MediaTek peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme "Élevé" en raison de la possibilité d'exécution de code arbitraire local dans un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0522 | A-32916158* M-ALPS03032516 |
Élevée | Aucun** | 15 novembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'élévation de privilège dans le pilote Wi-Fi Qualcomm
Une faille d'élévation des privilèges dans le pilote Wi-Fi Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0464 | A-32940193 QC-CR#1102593 |
Élevée | Nexus 5X, Pixel, Pixel XL | 15 novembre 2016 |
| CVE-2017-0453 | A-33979145 QC-CR#1105085 |
Élevée | Nexus 5X, Android One | 30 décembre 2016 |
| CVE-2017-0523 | A-32835279 QC-CR#1096945 |
Élevée | Aucun* | Réservé à Google |
* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.
Vulnérabilité d'élévation de privilège dans le pilote d'écran tactile Synaptics
Une faille d'élévation des privilèges dans le pilote d'écran tactile Synaptics peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0524 | A-33002026 | Élevée | Android One, Nexus 5X, Nexus 6P, Nexus 9, Pixel, Pixel XL | 18 novembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation de privilège dans le pilote IPA Qualcomm
Une faille d'élévation des privilèges dans le pilote IPA Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0456 | A-33106520* QC-CR#1099598 |
Élevée | Nexus 5X, Nexus 6P, Android One, Pixel et Pixel XL | 23 novembre 2016 |
| CVE-2017-0525 | A-33139056* QC-CR#1097714 |
Élevée | Nexus 5X, Nexus 6P, Android One, Pixel et Pixel XL | 25 novembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.
Vulnérabilité d'escalade de privilèges dans le pilote du hub de capteurs HTC
Une faille d'escalade de privilèges dans le pilote du hub de capteurs HTC pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0526 | A-33897738* | Élevée | Nexus 9 | Dec 25, 2016 |
| CVE-2017-0527 | A-33899318* | Élevée | Nexus 9, Pixel, Pixel XL | Dec 25, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'escalade de privilèges dans le pilote de GPU NVIDIA
Une faille d'escalade de privilèges dans le pilote de GPU NVIDIA peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0307 | A-33177895* N-CVE-2017-0307 |
Élevée | Aucun** | 28 novembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'escalade de privilèges dans le pilote réseau Qualcomm
Une faille d'escalade de privilèges dans le pilote réseau Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0463 | A-33277611 QC-CR#1101792 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel et Pixel XL | Nov 30, 2016 |
| CVE-2017-0460 | A-31252965* QC-CR#1098801 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel et Pixel XL | Réservé à Google |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.
Vulnérabilité d'élévation de privilège dans le sous-système de sécurité du noyau
Une faille d'élévation des privilèges dans le sous-système de sécurité du noyau peut permettre à une application malveillante locale d'exécuter du code dans le contexte d'un processus privilégié. Ce problème est classé comme "Élevé", car il s'agit d'un contournement général d'une technologie de défense en profondeur ou d'atténuation des failles au niveau du noyau.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0528 | A-33351919* | Élevée | Pixel, Pixel XL | Dec 4, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.
Vulnérabilité d'élévation de privilège dans le pilote Qualcomm SPCom
Une faille d'élévation des privilèges dans le pilote Qualcomm SPCom peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-5856 | A-32610665 QC-CR#1094078 |
Élevée | Aucun* | Réservé à Google |
| CVE-2016-5857 | A-34386529 QC-CR#1094140 |
Élevée | Aucun* | Réservé à Google |
* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.
Faille de divulgation d'informations dans le sous-système de mise en réseau du kernel
Une faille de divulgation d'informations dans le sous-système de mise en réseau du kernel peut permettre à un pirate informatique local à proximité d'accéder à des informations sensibles. Ce problème est classé comme grave, car il pourrait être utilisé pour accéder aux données sans autorisation.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2014-8709 | A-34077221 Noyau en amont |
Élevée | Nexus Player | 9 novembre 2014 |
Faille de divulgation d'informations dans le pilote MediaTek
Une faille de divulgation d'informations dans le pilote MediaTek peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour accéder à des données sensibles sans l'autorisation explicite de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0529 | A-28449427* M-ALPS02710042 |
Élevée | Aucun** | 27 avril 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Faille de divulgation d'informations dans le bootloader Qualcomm
Une faille de divulgation d'informations dans le bootloader Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du bootloader. Ce problème est classé comme "Élevé", car il s'agit d'un contournement général d'une technologie de défense en profondeur ou de mitigation d'exploitation au niveau du bootloader.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0455 | A-32370952 QC-CR#1082755 |
Élevée | Pixel, Pixel XL | 21 oct. 2016 |
Faille de divulgation d'informations dans le pilote d'alimentation Qualcomm
Une faille de divulgation d'informations dans le pilote d'alimentation Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme étant grave, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation explicite de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-8483 | A-33745862 QC-CR#1035099 |
Élevée | Nexus 5X, Nexus 6P | 19 décembre 2016 |
Faille de divulgation d'informations dans le pilote de GPU NVIDIA
Une faille de divulgation d'informations dans le pilote de GPU NVIDIA peut permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour accéder à des données sensibles sans l'autorisation explicite de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0334 | A-33245849* N-CVE-2017-0334 |
Élevée | Pixel C | Nov 30, 2016 |
| CVE-2017-0336 | A-33042679* N-CVE-2017-0336 |
Élevée | Pixel C | Réservé à Google |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité de déni de service dans le sous-système cryptographique du kernel
Une faille de déni de service dans le sous-système cryptographique du noyau peut permettre à un pirate informatique à distance d'utiliser un paquet réseau spécialement conçu pour provoquer un blocage ou un redémarrage de l'appareil. Ce problème est classé comme grave en raison de la possibilité d'une attaque par déni de service à distance.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-8650 | A-33401771 Noyau en amont |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 12 oct. 2016 |
Vulnérabilité d'élévation de privilège dans le pilote de l'appareil photo Qualcomm (spécifique à l'appareil)
Une faille d'élévation des privilèges dans le pilote de la caméra Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié et est atténué par les configurations de plate-forme actuelles.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-8417 | A-32342399 QC-CR#1088824 |
Modérée | Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel et Pixel XL | 21 oct. 2016 |
Faille de divulgation d'informations dans le pilote Wi-Fi Qualcomm
Une faille de divulgation d'informations dans le pilote Wi-Fi Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0461 | A-32073794 QC-CR#1100132 |
Modérée | Android One, Nexus 5X, Pixel, Pixel XL | 9 oct. 2016 |
| CVE-2017-0459 | A-32644895 QC-CR#1091939 |
Modérée | Pixel, Pixel XL | 3 nov. 2016 |
| CVE-2017-0531 | A-32877245 QC-CR#1087469 |
Modérée | Android One, Nexus 5X, Nexus 6P, Pixel, Pixel XL | Nov 13, 2016 |
Vulnérabilité de divulgation d'informations dans le pilote du codec vidéo MediaTek
Une faille de divulgation d'informations dans le pilote du codec vidéo MediaTek peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0532 | A-32370398* M-ALPS03069985 |
Modérée | Aucun** | 22 oct. 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Faille de divulgation d'informations dans le pilote vidéo Qualcomm
Une faille de divulgation d'informations dans le pilote vidéo Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0533 | A-32509422 QC-CR#1088206 |
Modérée | Pixel, Pixel XL | 27 octobre 2016 |
| CVE-2017-0534 | A-32508732 QC-CR#1088206 |
Modérée | Pixel, Pixel XL | 28 octobre 2016 |
| CVE-2016-8416 | A-32510746 QC-CR#1088206 |
Modérée | Pixel, Pixel XL | 28 octobre 2016 |
| CVE-2016-8478 | A-32511270 QC-CR#1088206 |
Modérée | Pixel, Pixel XL | 28 octobre 2016 |
Faille de divulgation d'informations dans le pilote de la caméra Qualcomm
Une faille de divulgation d'informations dans le pilote de l'appareil photo Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-8413 | A-32709702 QC-CR#518731 |
Modérée | Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel et Pixel XL | Nov 4, 2016 |
| CVE-2016-8477 | A-32720522 QC-CR#1090007 [2] |
Modérée | Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel et Pixel XL | Nov 7, 2016 |
Faille de divulgation d'informations dans le pilote du codec audio HTC
Une faille de divulgation d'informations dans le pilote du codec audio HTC peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0535 | A-33547247* | Modérée | Nexus 9 | Dec 11, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité de divulgation d'informations dans le pilote d'écran tactile Synaptics
Une faille de divulgation d'informations dans le pilote de l'écran tactile Synaptics peut permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0536 | A-33555878* | Modérée | Android One, Nexus 5X, Nexus 6P, Nexus 9, Pixel, Pixel XL | Dec 12, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille de divulgation d'informations dans le pilote de gadget USB du kernel
Une faille de divulgation d'informations dans le pilote de gadget USB du noyau pourrait permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0537 | A-31614969* | Modérée | Pixel C | Réservé à Google |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille de divulgation d'informations dans le pilote de la caméra Qualcomm
Une faille de divulgation d'informations dans le pilote de l'appareil photo Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme faible, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0452 | A-32873615* QC-CR#1093693 |
Faible | Nexus 5X, Nexus 6P, Android One | 10 novembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Questions fréquentes et réponses
Cette section répond aux questions fréquentes qui peuvent se poser après la lecture de ce bulletin.
1. Comment savoir si mon appareil a été mis à jour pour résoudre ces problèmes ?
Pour savoir comment vérifier le niveau du correctif de sécurité d'un appareil, consultez les instructions sur le calendrier de mise à jour des Pixel et Nexus.
- Les niveaux de correctifs de sécurité du 1er mars 2017 ou version ultérieure corrigent tous les problèmes associés au niveau de correctif de sécurité du 1er mars 2017.
- Les niveaux de correctifs de sécurité du 5 mars 2017 ou version ultérieure corrigent tous les problèmes associés au niveau de correctif de sécurité du 5 mars 2017 et à tous les niveaux de correctifs précédents.
Les fabricants d'appareils qui incluent ces mises à jour doivent définir le niveau de la chaîne de correctif sur:
- [ro.build.version.security_patch]:[2017-03-01]
- [ro.build.version.security_patch]:[2017-03-05]
2. Pourquoi ce bulletin comporte-t-il deux niveaux de correctifs de sécurité ?
Ce bulletin comporte deux niveaux de correctifs de sécurité afin que les partenaires Android aient la possibilité de corriger plus rapidement un sous-ensemble de failles similaires sur tous les appareils Android. Nous encourageons les partenaires Android à corriger tous les problèmes de ce bulletin et à utiliser le dernier niveau de correctif de sécurité.
- Les appareils qui utilisent le niveau de correctif de sécurité du 1er mars 2017 doivent inclure tous les problèmes associés à ce niveau de correctif de sécurité, ainsi que les correctifs de tous les problèmes signalés dans les bulletins de sécurité précédents.
- Les appareils qui utilisent le niveau de correctif de sécurité du 5 mars 2017 ou version ultérieure doivent inclure tous les correctifs applicables dans ce bulletin de sécurité (et les précédents).
Les partenaires sont invités à regrouper les correctifs de tous les problèmes qu'ils résolvent dans une seule mise à jour.
3. Comment déterminer les appareils Google concernés par chaque problème ?
Dans les sections 01/03/2017 et 05/03/2017 sur les détails des failles de sécurité, chaque tableau comporte une colonne Appareils Google mis à jour qui couvre la plage d'appareils Google concernés par chaque problème. Cette colonne propose plusieurs options:
- Tous les appareils Google: si un problème affecte tous les appareils et les appareils Pixel, la colonne Appareils Google mis à jour indique "Tous". "Tous" encapsule les appareils compatibles suivants: Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel et Pixel XL.
- Certains appareils Google: si un problème n'affecte pas tous les appareils Google, les appareils Google concernés sont listés dans la colonne Appareils Google mis à jour.
- Aucun appareil Google: si aucun appareil Google équipé d'Android 7.0 n'est affecté par le problème, la colonne Appareils Google mis à jour indique "Aucun".
4. À quoi correspondent les entrées de la colonne "Références" ?
Les entrées de la colonne Références du tableau des détails des failles peuvent contenir un préfixe identifiant l'organisation à laquelle la valeur de référence appartient. Ces préfixes sont mappés comme suit:
| Préfixe | Référence |
|---|---|
| A- | ID du bug Android |
| QC- | Numéro de référence Qualcomm |
| M- | Numéro de référence MediaTek |
| N- | Numéro de référence NVIDIA |
| B- | Numéro de référence Broadcom |
Révisions
- 6 mars 2017: bulletin publié.
- 7 mars 2017: le bulletin a été mis à jour pour inclure des liens vers AOSP.