Bulletin de sécurité Android – Mars 2017

Publié le 06 mars 2017 | Mis à jour le 07 mars 2017

Le bulletin de sécurité Android contient des détails sur les vulnérabilités de sécurité affectant les appareils Android. Parallèlement au bulletin, nous avons publié une mise à jour de sécurité pour les appareils Google via une mise à jour en direct (OTA). Les images du micrologiciel de l'appareil Google ont également été publiées sur le site Google Developer . Les niveaux de correctifs de sécurité du 5 mars 2017 ou ultérieurs résolvent tous ces problèmes. Reportez-vous au calendrier de mise à jour Pixel et Nexus pour savoir comment vérifier le niveau de correctif de sécurité d'un appareil.

Les partenaires ont été avisés des problèmes décrits dans le bulletin le 6 février 2017 ou avant. Les correctifs de code source pour ces problèmes ont été publiés dans le référentiel Android Open Source Project (AOSP) et liés à partir de ce bulletin. Ce bulletin comprend également des liens vers des correctifs extérieurs à AOSP.

Le plus grave de ces problèmes est une vulnérabilité de sécurité critique qui pourrait permettre l'exécution de code à distance sur un appareil affecté via plusieurs méthodes telles que la messagerie électronique, la navigation Web et les MMS lors du traitement de fichiers multimédias. L' évaluation de la gravité est basée sur l'effet que l'exploitation de la vulnérabilité pourrait avoir sur un appareil affecté, en supposant que les atténuations de la plate-forme et du service sont désactivées à des fins de développement ou si elles sont contournées avec succès.

Nous n'avons eu aucun rapport d'exploitation ou d'abus actif de la part des clients de ces problèmes nouvellement signalés. Reportez-vous à la section Atténuations des services Android et Google pour plus de détails sur les protections de la plate-forme de sécurité Android et les protections de service telles que SafetyNet , qui améliorent la sécurité de la plate-forme Android.

Nous encourageons tous les clients à accepter ces mises à jour sur leurs appareils.

Annonces

• Ce bulletin contient deux chaînes de niveau de correctif de sécurité pour fournir aux partenaires Android la flexibilité de corriger plus rapidement un sous-ensemble de vulnérabilités similaires sur tous les appareils Android. Voir Questions et réponses courantes pour plus d'informations :
  • 2017-03-01 : Chaîne de niveau de correctif de sécurité partielle. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés au 01/03/2017 (et toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
  • 2017-03-05 : chaîne complète de niveau de correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2017-03-01 et 2017-03-05 (et toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
• Les appareils Google pris en charge recevront une seule mise à jour OTA avec le niveau de correctif de sécurité du 5 mars 2017.

Atténuations des services Android et Google

Il s'agit d'un résumé des mesures d'atténuation fournies par la plate- forme de sécurité Android et les protections de service, telles que SafetyNet. Ces fonctionnalités réduisent la probabilité que les vulnérabilités de sécurité puissent être exploitées avec succès sur Android.

• L'exploitation de nombreux problèmes sur Android est rendue plus difficile par les améliorations apportées aux nouvelles versions de la plate-forme Android. Nous encourageons tous les utilisateurs à mettre à jour la dernière version d'Android dans la mesure du possible.
• L'équipe de sécurité Android surveille activement les abus avec Verify Apps et SafetyNet , qui sont conçus pour avertir les utilisateurs des applications potentiellement dangereuses . Vérifier les applications est activé par défaut sur les appareils avec Google Mobile Services et est particulièrement important pour les utilisateurs qui installent des applications en dehors de Google Play. Les outils d'enracinement d'appareil sont interdits dans Google Play, mais Verify Apps avertit les utilisateurs lorsqu'ils tentent d'installer une application d'enracinement détectée, quelle que soit son origine. De plus, Verify Apps tente d'identifier et de bloquer l'installation d'applications malveillantes connues qui exploitent une vulnérabilité d'élévation de privilèges. Si une telle application a déjà été installée, Verify Apps avertira l'utilisateur et tentera de supprimer l'application détectée.
• Le cas échéant, les applications Google Hangouts et Messenger ne transmettent pas automatiquement les médias à des processus tels que Mediaserver.

Remerciements

Nous tenons à remercier ces chercheurs pour leurs contributions :

• Alexander Potapenko de l'équipe Google Dynamic Tools : CVE-2017-0537
• Baozeng Ding, Chengming Yang, Peng Xiao et Yang Song d'Alibaba Mobile Security Group : CVE-2017-0506
• Baozeng Ding, Ning You, Chengming Yang, Peng Xiao et Yang Song d'Alibaba Mobile Security Group : CVE-2017-0463
• Billy Lau d'Android Security : CVE-2017-0335, CVE-2017-0336, CVE-2017-0338, CVE-2017-0460
• derrek ( @derrekr6 ): CVE-2016-8413, CVE-2016-8477, CVE-2017-0531
• derrek ( @derrekr6 ) et Scott Bauer ( @ScottyBauer1 ): CVE-2017-0521
• Di Shen ( @returnsme ) de KeenLab ( @keen_lab ), Tencent : CVE-2017-0334, CVE-2017-0456, CVE-2017-0457, CVE-2017-0525
• En He ( @heeeeen4x ) et Bo Liu de MS509Team : CVE-2017-0490
• Gengjia Chen ( @chengjia4574 ) et pjf de IceSword Lab, Qihoo 360 Technology Co. Ltd. : CVE-2017-0500, CVE-2017-0501, CVE-2017-0502, CVE-2017-0503, CVE-2017-0509, CVE-2017-0524, CVE-2017-0529, CVE-2017-0536
• Hao Chen et Guang Gong de l'équipe Alpha, Qihoo 360 Technology Co. Ltd. : CVE-2017-0453, CVE-2017-0461, CVE-2017-0464
• Hiroki Yamamoto et Fang Chen de Sony Mobile Communications Inc. : CVE-2017-0481
• IBM Security X-Force Chercheurs Sagi Kedmi et Roee Hay : CVE-2017-0510
• Jianjun Dai ( @Jioun_dai ) de Qihoo 360 Skyeye Labs : CVE-2017-0478
• Jianqiang Zhao ( @jianqiangzhao ) et pjf de IceSword Lab, Qihoo 360 : CVE-2016-8416, CVE-2016-8478, CVE-2017-0458, CVE-2017-0459, CVE-2017-0518, CVE-2017-0519 , CVE-2017-0533, CVE-2017-0534
• Lubo Zhang , Tong Lin , Yuan-Tsung Lo et Xuxian Jiang de l'équipe C0RE : CVE-2016-8479
• Makoto Onuki de Google : CVE-2017-0491
• Mingjian Zhou ( @Mingjian_Zhou ), Hanxiang Wen et Xuxian Jiang de l'équipe C0RE : CVE-2017-0479, CVE-2017-0480
• Nathan Crandall ( @natecray ): CVE-2017-0535
• Nathan Crandall ( @natecray ) de l'équipe de sécurité des produits de Tesla Motors : CVE-2017-0306
• Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮), Lenx Wei (韦韬) de Baidu X-Lab (百度安全实验室) : CVE-2016-8417
• Qidan He (何淇丹) ( @flanker_hqd ) de KeenLab, Tencent : CVE-2017-0337, CVE-2017-0476
• Qing Zhang de Qihoo 360 et Guangdong Bai de l'Institut de technologie de Singapour (SIT) : CVE-2017-0496
• Quhe et wanchouchou de Ant-financial Light-Year Security Lab (蚂蚁金服巴斯光年安全实验室) : CVE-2017-0522
• Sahara des communications sécurisées dans DarkMatter : CVE-2017-0528
• salls ( @chris_salls ) de l'équipe Shellphish Grill, UC Santa Barbara : CVE-2017-0505
• Scott Bauer ( @ScottyBauer1 ): CVE-2017-0504, CVE-2017-0516
• Sean Beaupré (beaups) : CVE-2017-0455
• Sept Shen ( @lingtongshen ) de Trend Micro : CVE-2017-0452
• Shinichi Matsumoto de Fujitsu : CVE-2017-0498
• Stéphane Marques de ByteRev : CVE-2017-0489
• Svetoslav Ganov de Google : CVE-2017-0492
• Tong Lin , Yuan-Tsung Lo et Xuxian Jiang de l'équipe C0RE : CVE-2017-0333
• VEO ( @VYSEa ) de l'équipe de réponse aux menaces mobiles , Trend Micro : CVE-2017-0466, CVE-2017-0467, CVE-2017-0468, CVE-2017-0469, CVE-2017-0470, CVE-2017-0471, CVE-2017-0472, CVE-2017-0473, CVE-2017-0482, CVE-2017-0484, CVE-2017-0485, CVE-2017-0486, CVE-2017-0487, CVE-2017-0494, CVE- 2017-0495
• Wish Wu (吴潍浠 此彼) ( @wish_wu ) de Ant-financial Light-Year Security Lab (蚂蚁金服巴斯光年安全实验室) : CVE-2017-0477
• Yu Pan de l'équipe Vulpecker, Qihoo 360 Technology Co. Ltd : CVE-2017-0517, CVE-2017-0532
• Yuan-Tsung Lo et Xuxian Jiang de l'équipe C0RE : CVE-2017-0526, CVE-2017-0527
• Yuqi Lu ( @nikos233 ), Wenke Dou , Dacheng Shao , Mingjian Zhou ( @Mingjian_Zhou ) et Xuxian Jiang de l'équipe C0RE : CVE-2017-0483
• Zinuo Han ( weibo.com/ele7enxxh ) du centre de réponse de sécurité de Chengdu, Qihoo 360 Technology Co. Ltd. : CVE-2017-0475, CVE-2017-0497

2017-03-01 niveau du correctif de sécurité—Détails de la vulnérabilité

Dans les sections ci-dessous, nous fournissons des détails pour chacune des vulnérabilités de sécurité qui s'appliquent au niveau de correctif 2017-03-01. Il y a une description du problème, une justification de la gravité et un tableau avec le CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsqu'elle sera disponible, nous lierons la modification publique qui a résolu le problème à l'ID de bogue, comme la liste des modifications AOSP. Lorsque plusieurs modifications concernent un seul bogue, des références supplémentaires sont liées aux numéros suivant l'ID du bogue.

Vulnérabilité d'exécution de code à distance dans OpenSSL et BoringSSL

Une vulnérabilité d'exécution de code à distance dans OpenSSL et BoringSSL pourrait permettre à un attaquant utilisant un fichier spécialement conçu de provoquer une corruption de la mémoire lors du traitement des fichiers et des données. Ce problème est classé critique en raison de la possibilité d'exécution de code à distance dans le contexte d'un processus privilégié.

Vulnérabilité d'exécution de code à distance dans Mediaserver

Une vulnérabilité d'exécution de code à distance dans Mediaserver pourrait permettre à un attaquant utilisant un fichier spécialement conçu de provoquer une corruption de la mémoire lors du traitement du fichier multimédia et des données. Ce problème est classé critique en raison de la possibilité d'exécution de code à distance dans le contexte du processus Mediaserver.

Vulnérabilité d'élévation de privilèges dans le vérificateur de récupération

Une vulnérabilité d'élévation des privilèges dans le vérificateur de récupération pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

Vulnérabilité d'exécution de code à distance dans la messagerie AOSP

Une vulnérabilité d'exécution de code à distance dans AOSP Messaging pourrait permettre à un attaquant utilisant un fichier spécialement conçu de provoquer une corruption de la mémoire lors du traitement des fichiers multimédias et des données. Ce problème est classé comme élevé en raison de la possibilité d'exécution de code à distance dans le contexte d'un processus non privilégié.

Vulnérabilité d'exécution de code à distance dans libgdx

Une vulnérabilité d'exécution de code à distance dans libgdx pourrait permettre à un attaquant utilisant un fichier spécialement conçu d'exécuter du code arbitraire dans le contexte d'un processus non privilégié. Ce problème est classé comme élevé en raison de la possibilité d'exécution de code à distance dans une application qui utilise cette bibliothèque.

Vulnérabilité d'exécution de code à distance dans la bibliothèque Framesequence

Une vulnérabilité d'exécution de code à distance dans la bibliothèque Framesequence pourrait permettre à un attaquant utilisant un fichier spécialement conçu d'exécuter du code arbitraire dans le contexte d'un processus non privilégié. Ce problème est classé comme élevé en raison de la possibilité d'exécution de code à distance dans une application qui utilise la bibliothèque Framesequence.

Vulnérabilité d'élévation de privilèges dans NFC

Une vulnérabilité d'élévation des privilèges dans NFC pourrait permettre à un attaquant immédiat d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme élevé car il pourrait être utilisé pour obtenir un accès local à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.

Vulnérabilité d'élévation de privilèges dans Audioserver

Une vulnérabilité d'élévation des privilèges dans Audioserver pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme élevé car il pourrait être utilisé pour obtenir un accès local à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.

Vulnérabilité de déni de service dans Mediaserver

Une vulnérabilité de déni de service dans Mediaserver pourrait permettre à un attaquant d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme étant de gravité élevée en raison de la possibilité d'un déni de service à distance.

Vulnérabilité d'élévation de privilèges dans Location Manager

Une vulnérabilité d'élévation des privilèges dans Location Manager pourrait permettre à une application malveillante locale de contourner les protections du système d'exploitation pour les données de localisation. Ce problème est classé comme modéré car il pourrait être utilisé pour générer des données inexactes.

Vulnérabilité d'élévation de privilèges dans le Wi-Fi

Une vulnérabilité d'élévation des privilèges dans le Wi-Fi pourrait permettre à une application malveillante locale de supprimer des données utilisateur. Ce problème est classé comme modéré car il s'agit d'un contournement local des exigences d'interaction de l'utilisateur qui nécessiterait normalement une initiation de l'utilisateur ou une autorisation de l'utilisateur.

Vulnérabilité d'élévation de privilèges dans le gestionnaire de packages

Une vulnérabilité d'élévation des privilèges dans Package Manager pourrait permettre à une application malveillante locale d'empêcher les utilisateurs de désinstaller des applications ou de supprimer des autorisations d'applications. Ce problème est classé comme modéré car il s'agit d'un contournement local des exigences d'interaction de l'utilisateur.

Vulnérabilité d'élévation de privilèges dans l'interface utilisateur système

Une vulnérabilité d'élévation des privilèges dans l'interface utilisateur système pourrait permettre à une application malveillante locale de créer une superposition d'interface utilisateur couvrant tout l'écran. Ce problème est classé comme modéré car il s'agit d'un contournement local des exigences d'interaction de l'utilisateur qui nécessiterait normalement une initiation de l'utilisateur ou une autorisation de l'utilisateur.

Vulnérabilité de divulgation d'informations dans la messagerie AOSP

Une vulnérabilité de divulgation d'informations dans AOSP Messaging pourrait permettre à un attaquant distant utilisant un fichier spécialement conçu d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré car il pourrait être utilisé pour accéder à des données sensibles sans autorisation.

Vulnérabilité de divulgation d'informations dans Mediaserver

Une vulnérabilité de divulgation d'informations dans Mediaserver pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré car il pourrait être utilisé pour accéder à des données sensibles sans autorisation.

Vulnérabilité de déni de service dans l'assistant de configuration

Une vulnérabilité de déni de service dans l'assistant de configuration pourrait permettre à une application malveillante locale de bloquer temporairement l'accès à un appareil affecté. Ce problème est classé comme modéré car il peut nécessiter une réinitialisation d'usine pour réparer l'appareil.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Google disponibles sur le site Google Developer .

** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.

Vulnérabilité de déni de service dans Mediaserver

Une vulnérabilité de déni de service dans Mediaserver pourrait permettre à un attaquant d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme modéré car il nécessite une configuration de périphérique inhabituelle.

Vulnérabilité de déni de service dans l'assistant de configuration

Une vulnérabilité de déni de service dans l'assistant de configuration pourrait permettre à un attaquant local d'exiger la connexion à un compte Google après une réinitialisation d'usine. Ce problème est classé comme modéré car il peut nécessiter une réinitialisation d'usine pour réparer l'appareil.

Vulnérabilité de déni de service dans Audioserver

Une vulnérabilité de déni de service dans Audioserver pourrait permettre à une application malveillante locale de provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme faible en raison de la possibilité d'un déni de service temporaire.

2017-03-05 niveau du correctif de sécurité—Détails de la vulnérabilité

Dans les sections ci-dessous, nous fournissons des détails pour chacune des vulnérabilités de sécurité qui s'appliquent au niveau de correctif 2017-03-05. Il y a une description du problème, une justification de la gravité et un tableau avec le CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsqu'elle sera disponible, nous lierons la modification publique qui a résolu le problème à l'ID de bogue, comme la liste des modifications AOSP. Lorsque plusieurs modifications concernent un seul bogue, des références supplémentaires sont liées aux numéros suivant l'ID du bogue.

Vulnérabilité d'élévation de privilèges dans les composants MediaTek

Une vulnérabilité d'élévation des privilèges dans les composants MediaTek, notamment le pilote M4U, le pilote audio, le pilote d'écran tactile, le pilote GPU et le pilote de file d'attente de commandes, pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.

Vulnérabilité d'élévation de privilèges dans le pilote NVIDIA GPU

Une vulnérabilité d'élévation des privilèges dans le pilote NVIDIA GPU pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le sous-système ION du noyau

Une vulnérabilité d'élévation des privilèges dans le sous-système ION du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote Wi-Fi Broadcom

Une vulnérabilité d'élévation des privilèges dans le pilote Wi-Fi Broadcom pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.

Vulnérabilité d'élévation de privilèges dans le débogueur FIQ du noyau

Une vulnérabilité d'élévation des privilèges dans le débogueur FIQ du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote GPU Qualcomm

Une vulnérabilité d'élévation des privilèges dans le pilote GPU Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le sous-système réseau du noyau

Une vulnérabilité d'élévation des privilèges dans le sous-système réseau du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

Vulnérabilités dans les composants Qualcomm

La vulnérabilité suivante affecte les composants Qualcomm et est décrite plus en détail dans le bulletin de sécurité Qualcomm AMSS de septembre 2016.

* L'indice de gravité de ces vulnérabilités a été déterminé par le fournisseur.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

*** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.

Vulnérabilité d'élévation de privilèges dans le sous-système réseau du noyau

Une vulnérabilité d'élévation des privilèges dans le sous-système réseau du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

Vulnérabilité d'élévation de privilèges dans le pilote de matériel d'entrée Qualcomm

Une vulnérabilité d'élévation des privilèges dans le pilote de matériel d'entrée Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote de capteur matériel MediaTek

Une vulnérabilité d'élévation des privilèges dans le pilote du capteur matériel MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.

Vulnérabilité d'élévation de privilèges dans le pilote Qualcomm ADSPRPC

Une vulnérabilité d'élévation des privilèges dans le pilote Qualcomm ADSPRPC pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote du capteur d'empreintes digitales Qualcomm

Une vulnérabilité d'élévation des privilèges dans le pilote du capteur d'empreintes digitales Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote du moteur de chiffrement Qualcomm

Une vulnérabilité d'élévation des privilèges dans le pilote du moteur de chiffrement Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

Vulnérabilité d'élévation de privilèges dans le pilote de caméra Qualcomm

Une vulnérabilité d'élévation des privilèges dans le pilote de caméra Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

Vulnérabilité d'élévation de privilèges dans MediaTek APK

Une vulnérabilité d'élévation des privilèges dans un APK MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme élevé en raison de la possibilité d'exécution de code arbitraire local dans un processus privilégié.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.

Vulnérabilité d'élévation de privilèges dans le pilote Wi-Fi Qualcomm

Une vulnérabilité d'élévation des privilèges dans le pilote Wi-Fi Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

* Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.

Vulnérabilité d'élévation de privilèges dans le pilote d'écran tactile Synaptics

Une vulnérabilité d'élévation des privilèges dans le pilote d'écran tactile Synaptics pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote Qualcomm IPA

Une vulnérabilité d'élévation des privilèges dans le pilote Qualcomm IPA pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans HTC Sensor Hub Driver

An elevation of privilege vulnerability in the HTC Sensor Hub Driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in NVIDIA GPU driver

An elevation of privilege vulnerability in the NVIDIA GPU driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as Critical due to the possibility of a local permanent device compromise, which may require reflashing the operating system to repair the device.

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

** Supported Google devices on Android 7.0 or later that have installed all available updates are not affected by this vulnerability.

Elevation of privilege vulnerability in Qualcomm networking driver

An elevation of privilege vulnerability in the Qualcomm networking driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in kernel security subsystem

An elevation of privilege vulnerability in the kernel security subsystem could enable a local malicious application to to execute code in the context of a privileged process. This issue is rated as High because it is a general bypass for a kernel level defense in depth or exploit mitigation technology.

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in Qualcomm SPCom driver

An elevation of privilege vulnerability in the Qualcomm SPCom driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

* Supported Google devices on Android 7.0 or later that have installed all available updates are not affected by this vulnerability.

Information disclosure vulnerability in kernel networking subsystem

An information disclosure vulnerability in the kernel networking subsystem could enable a local proximate attacker to gain access to sensitive information. This issue is rated as High because it could be used to access data without permission.

Information disclosure vulnerability in MediaTek driver

An information disclosure vulnerability in the MediaTek driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as High because it could be used to access sensitive data without explicit user permission.

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

** Supported Google devices on Android 7.0 or later that have installed all available updates are not affected by this vulnerability.

Information disclosure vulnerability in Qualcomm bootloader

An information disclosure vulnerability in the Qualcomm bootloader could help to enable a local malicious application to to execute arbitrary code within the context of the bootloader. This issue is rated as High because it is a general bypass for a bootloader level defense in depth or exploit mitigation technology.

Information disclosure vulnerability in Qualcomm power driver

An information disclosure vulnerability in the Qualcomm power driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as High because it could be used to access sensitive data without explicit user permission.

Information disclosure vulnerability in NVIDIA GPU driver

An information disclosure vulnerability in the NVIDIA GPU driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as High because it could be used to access sensitive data without explicit user permission.

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Denial of service vulnerability in kernel cryptographic subsystem

A denial of service vulnerability in the kernel cryptographic subsystem could enable a remote attacker to use a specially crafted network packet to cause a device hang or reboot. This issue is rated as High due to the possibility of remote denial of service.

Elevation of privilege vulnerability in Qualcomm camera driver (device specific)

An elevation of privilege vulnerability in the Qualcomm camera driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as Moderate because it first requires compromising a privileged process and is mitigated by current platform configurations.

Information disclosure vulnerability in Qualcomm Wi-Fi driver

An information disclosure vulnerability in the Qualcomm Wi-Fi driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

Information disclosure vulnerability in MediaTek video codec driver

An information disclosure vulnerability in the MediaTek video codec driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

** Supported Google devices on Android 7.0 or later that have installed all available updates are not affected by this vulnerability.

Information disclosure vulnerability in Qualcomm video driver

An information disclosure vulnerability in the Qualcomm video driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

Information disclosure vulnerability in Qualcomm camera driver

An information disclosure vulnerability in the Qualcomm camera driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

Information disclosure vulnerability in HTC sound codec driver

An information disclosure vulnerability in the HTC sound codec driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Information disclosure vulnerability in Synaptics touchscreen driver

An information disclosure vulnerability in the Synaptics touchscreen driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Information disclosure vulnerability in kernel USB gadget driver

An information disclosure vulnerability in the kernel USB gadget driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Information disclosure vulnerability in Qualcomm camera driver

An information disclosure vulnerability in the Qualcomm camera driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Low because it first requires compromising a privileged process.

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Common Questions and Answers

Cette section répond aux questions courantes qui peuvent survenir après la lecture de ce bulletin.

1. Comment puis-je déterminer si mon appareil est mis à jour pour résoudre ces problèmes ?

Pour savoir comment vérifier le niveau du correctif de sécurité d'un appareil, lisez les instructions du calendrier de mise à jour Pixel et Nexus .

• Security patch levels of 2017-03-01 or later address all issues associated with the 2017-03-01 security patch level.
• Security patch levels of 2017-03-05 or later address all issues associated with the 2017-03-05 security patch level and all previous patch levels.

Device manufacturers that include these updates should set the patch string level to:

• [ro.build.version.security_patch]:[2017-03-01]
• [ro.build.version.security_patch]:[2017-03-05]

2. Why does this bulletin have two security patch levels?

This bulletin has two security patch levels so that Android partners have the flexibility to fix a subset of vulnerabilities that are similar across all Android devices more quickly. Android partners are encouraged to fix all issues in this bulletin and use the latest security patch level.

• Devices that use the March 1, 2017 security patch level must include all issues associated with that security patch level, as well as fixes for all issues reported in previous security bulletins.
• Devices that use the security patch level of March 5, 2017 or newer must include all applicable patches in this (and previous) security bulletins.

Partners are encouraged to bundle the fixes for all issues they are addressing in a single update.

3. How do I determine which Google devices are affected by each issue?

In the 2017-03-01 and 2017-03-05 security vulnerability details sections, each table has an Updated Google devices column that covers the range of affected Google devices updated for each issue. This column has a few options:

• All Google devices : If an issue affects All and Pixel devices, the table will have "All" in the Updated Google devices column. "All" encapsulates the following supported devices : Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel, and Pixel XL.
• Some Google devices : If an issue doesn't affect all Google devices, the affected Google devices are listed in the Updated Google devices column.
• No Google devices : If no Google devices running Android 7.0 are affected by the issue, the table will have "None" in the Updated Google devices column.

4. What do the entries in the references column map to?

Les entrées sous la colonne Références du tableau des détails de la vulnérabilité peuvent contenir un préfixe identifiant l'organisation à laquelle appartient la valeur de référence. These prefixes map as follows:

Revisions

• March 06, 2017: Bulletin published.
• March 07, 2017: Bulletin revised to include AOSP links.