Android Güvenlik Bülteni - Nisan 2017

Yayınlanma tarihi: 3 Nisan 2017 | Güncellenme tarihi: 17 Ağustos 2017

Android Güvenlik Bülteni, Android cihazları etkileyen güvenlik açıklarının ayrıntılarını içerir. Bültenin yanı sıra, Nexus cihazlara kablosuz (OTA) güncelleme aracılığıyla bir güvenlik güncellemesi yayınladık. Google cihaz donanım yazılımı görüntüleri de Google geliştirici sitesinde yayınlandı. 05 Nisan 2017 veya sonraki güvenlik yaması düzeyleri bu sorunların tümünü giderir. Bir cihazın güvenlik yaması düzeyini nasıl kontrol edeceğinizi öğrenmek için Pixel ve Nexus güncelleme programına bakın.

İş ortakları, bültende açıklanan sorunlar hakkında 6 Mart 2017'de veya daha önce bilgilendirilmiştir. Bu sorunların kaynak kodundaki düzeltmeleri Android Açık Kaynak Projesi (AOSP) deposunda yayınlandı ve bu bültenden bağlantısı verildi. Bu bülten, AOSP dışındaki yamalar için bağlantılar da içerir.

Bu sorunların en ciddisi, medya dosyaları işlenirken e-posta, web tarayıcısı ve MMS gibi birden fazla yöntemle etkilenen cihazda uzaktan kod çalıştırmayı etkinleştirebilecek kritik bir güvenlik açığıdır. Önem değerlendirmesi, platform ve hizmet azaltmalarının geliştirme amacıyla devre dışı bırakıldığı veya başarılı bir şekilde atlandığı varsayılarak, güvenlik açığından yararlanmanın etkilenen bir cihaz üzerinde oluşturabileceği etkiye dayanır.

Yeni bildirilen bu sorunların müşteriler tarafından aktif olarak istismar edildiğine dair bir bildirim almadık. Android platformunun güvenliğini artıran Android güvenlik platformu korumaları ve SafetyNet gibi hizmet korumaları hakkında ayrıntılı bilgi için Android ve Google hizmet çözümleri bölümüne bakın.

Tüm müşterilerimizi, cihazlarındaki bu güncellemeleri kabul etmeye teşvik ediyoruz.

Duyurular

  • Bu bülten, Android iş ortaklarına tüm Android cihazlarda benzer olan bir güvenlik açığı alt kümesini daha hızlı düzeltme esnekliği sunmak için iki güvenlik yaması düzeyi dizesi içerir. Daha fazla bilgi için Sık sorulan sorular ve yanıtları bölümüne göz atın:
    • 2017-04-01: Kısmi güvenlik yaması seviyesi dizesi. Bu güvenlik yaması düzeyi dizesi, 2017-04-01 ile ilişkili tüm sorunların (ve önceki tüm güvenlik yaması düzeyi dizelerinin) giderildiğini gösterir.
    • 2017-04-05: Güvenlik yaması düzeyi dizesinin tamamı. Bu güvenlik yaması düzeyi dizesi, 01.04.2017 ve 05.04.2017 (ve önceki tüm güvenlik yaması düzeyi dizeleri) ile ilişkili tüm sorunların giderildiğini gösterir.
  • Desteklenen Google cihazları, 5 Nisan 2017 güvenlik yaması düzeyini içeren tek bir kablosuz güncelleme alır.

Android ve Google Hizmeti Azaltma

Bu, Android güvenlik platformu ve SafetyNet gibi hizmet korumaları tarafından sağlanan azaltıcı önlemlerin özetidir. Bu özellikler, Android'de güvenlik açıklarının başarılı bir şekilde kötüye kullanılması olasılığını azaltır.

  • Android platformunun yeni sürümlerindeki iyileştirmeler, Android'deki birçok sorunun kötüye kullanımını zorlaştırmaktadır. Tüm kullanıcıların mümkün olduğunda Android'in en son sürümüne güncelleme yapmalarını öneririz.
  • Android Güvenlik Ekibi, kullanıcıları Potansiyel Zararlı Uygulamalar hakkında uyarmak için tasarlanmış Uygulamaları Doğrulama ve SafetyNet ile kötüye kullanım olup olmadığını etkin bir şekilde izler. Uygulama Doğrulama, Google Mobil Hizmetleri'nin yüklü olduğu cihazlarda varsayılan olarak etkindir ve özellikle Google Play dışından uygulama yükleyen kullanıcılar için önemlidir. Cihaz köklendirme araçları Google Play'de yasaktır ancak Uygulama Doğrulama, tespit edilen bir köklendirme uygulamasını yüklemeye çalışan kullanıcıları uyarır. Ayrıca Uygulama Doğrulama, ayrıcalık yükseltme güvenlik açıklarından yararlanan bilinen zararlı uygulamaları tespit edip yüklemesini engellemeye çalışır. Bu tür bir uygulama zaten yüklüyse Uygulama Doğrulama, kullanıcıyı bilgilendirir ve tespit edilen uygulamayı kaldırmaya çalışır.
  • Google Hangouts ve Messenger uygulamaları, uygun olduğu durumlarda medyayı Mediaserver gibi işlemlere otomatik olarak iletmez.

Teşekkür ederiz

Katkılarından dolayı aşağıdaki araştırmacılara teşekkür ederiz:

  • Shellphish Grill Ekibi'nden Aravind Machiry (donfos): CVE-2016-5349
  • Tencent Xuanwu Lab'den Daxing Guo (@freener0): CVE-2017-0585, CVE-2017-0553
  • Derrek (@derrekr6) ve Scott Bauer: CVE-2017-0576
  • Project Zero'dan Gal Beniamini: CVE-2017-0571, CVE-2017-0570, CVE-2017-0572, CVE-2017-0569, CVE-2017-0561
  • Gengjia Chen (@chengjia4574) ve Qihoo 360 Technology Co. Ltd.'nin IceSword Lab'den pjf : CVE-2017-6426, CVE-2017-0581, CVE-2017-0329, CVE-2017-0332, CVE-2017-0566, CVE-2017-0573
  • Guang Gong (龚广) (@oldfresher) of Alpha Team, Qihoo 360 Technology Co. Ltd.: CVE-2017-0547
  • Qihoo 360 Technology Co. Ltd. Alpha Ekibi'nden Hao Chen ve Guang Gong: CVE-2017-6424, CVE-2017-0584, CVE-2017-0454, CVE-2017-0574, CVE-2017-0575, CVE-2017-0567
  • Ian Foster (@lanrat): CVE-2017-0554
  • Trend Micro Inc.'den Jack Tang: CVE-2017-0579
  • Qihoo 360 Skyeye Labs'den Jianjun Dai (@Jioun_dai): CVE-2017-0559, CVE-2017-0541
  • Jianqiang Zhao (@jianqiangzhao) ve Qihoo 360'taki IceSword Lab'den pjf: CVE-2017-6425, CVE-2016-5346
  • C0RE Ekibi'nden Lubo Zhang (zlbzlb815@163.com) ve Qihoo 360 Technology Co. Ltd.'nin IceSword Lab'den Yonggang Guo (@guoygang): CVE-2017-0564
  • Google'dan Mark Salyzyn: CVE-2017-0558
  • Tesla Ürün Güvenliği Ekibi'nden Mike Andereson (@manderbot) ve Nathan Crandall (@natecray): CVE-2017-0327, CVE-2017-0328
  • Peng Xiao, Chengming Yang, Ning You, Chao Yang ve Alibaba Mobil Güvenlik Grubu'ndan Yang song: CVE-2017-0565
  • Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮) ve Lenx Wei (韦韬) Baidu X-Lab (百度安全实验室): CVE-2016-10236
  • Tencent'in KeenLab ekibinden Qidan He (何淇丹 - @flanker_hqd): CVE-2017-0544, CVE-2017-0325
  • Aleph Research, HCL Technologies'den Roee Hay (@roeehay): CVE-2017-0582, CVE-2017-0563
  • Scott Bauer (@ScottyBauer1): CVE-2017-0562, CVE-2017-0339
  • TrendMicro Mobil Tehdit Araştırma Ekibi'nden Seven Shen (@lingtongshen): CVE-2016-10231, CVE-2017-0578, CVE-2017-0586
  • Tim Becker: CVE-2017-0546
  • Uma Sankar Pradhan (@umasankar_iitd): CVE-2017-0560
  • Trend Micro Mobil Tehdit Yanıt Ekibi'nin V.E.O'su (@VYSEa): CVE-2017-0555, CVE-2017-0538, CVE-2017-0539, CVE-2017-0557, CVE-2017-0556
  • Alibaba Inc.'den Weichao Sun (@sunblate): CVE-2017-0549
  • Wenlin Yang (@wenlin_yang), Guang Gong (@oldfresher) ve Hao Chen, Alpha Ekibi, Qihoo 360 Technology Co. Ltd.: CVE-2017-0580, CVE-2017-0577
  • Qihoo 360 Technology Co. Ltd. Chengdu Güvenlik Yanıt Merkezi'nden Zinuo Han: CVE-2017-0548
  • Google'dan Zubin Mithra: CVE-2017-0462

2017-04-01 güvenlik yaması seviyesi—Zayıflık ayrıntıları

Aşağıdaki bölümlerde, 01.04.2017 yama düzeyi için geçerli olan güvenlik açıklarının her biri hakkında ayrıntılı bilgi verilmektedir. Sorunun açıklaması, önem düzeyi gerekçesi ve CVE, ilişkili referanslar, önem düzeyi, güncellenen Google cihazlar, güncellenen AOSP sürümleri (geçerli olduğunda) ve bildirilme tarihi içeren bir tablo bulunmaktadır. Mümkün olduğunda, sorunu gideren herkese açık değişikliği AOSP değişiklik listesi gibi bir hata kimliğine bağlarız. Tek bir hatayla ilgili birden fazla değişiklik olduğunda, ek referanslar hata kimliğinin ardından gelen sayılara bağlanır.

Mediaserver'da uzaktan kod yürütme güvenlik açığı

Mediaserver'daki uzaktan kod yürütme güvenlik açığı, bir saldırganın özel olarak hazırlanmış bir dosyayı kullanarak medya dosyası ve veri işleme sırasında bellek bozulmasına neden olmasını sağlayabilir. Bu sorun, Mediaserver işlemi bağlamında uzaktan kod çalıştırma olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2017-0538 A-33641588 Kritik (Critical) Tümü 6.0, 6.0.1, 7.0, 7.1.1 13 Aralık 2016
CVE-2017-0539 A-33864300 Kritik (Critical) Tümü 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 23 Aralık 2016
CVE-2017-0541 A-34031018 Kritik (Critical) Tümü 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 1 Ocak 2017
CVE-2017-0542 A-33934721 Kritik (Critical) Tümü 6.0, 6.0.1, 7.0, 7.1.1 Yalnızca Google
CVE-2017-0543 A-34097866 Kritik (Critical) Tümü 6.0, 6.0.1, 7.0, 7.1.1 Yalnızca Google

CameraBase'te ayrıcalık yükseltme güvenlik açığı

CameraBase'teki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, ayrıcalıklı bir işlemde yerel olarak rastgele kod çalıştırıldığı için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2017-0544 A-31992879 Yüksek Tümü 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 6 Ekim 2016

Audioserver'da ayrıcalık yükseltme güvenlik açığı

Audioserver'da ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın ayrıcalıklı bir süreç bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, normalde üçüncü taraf uygulamaları tarafından erişilemeyen yüksek düzeyli özelliklere yerel erişim elde etmek için kullanılabileceğinden yüksek olarak değerlendirilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2017-0545 A-32591350 Yüksek Tümü 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 31 Ekim 2016

SurfaceFlinger'da ayrıcalık yükseltme güvenlik açığı

SurfaceFlinger'da ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın ayrıcalıklı bir süreç bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, normalde üçüncü taraf uygulamaları tarafından erişilemeyen yüksek düzeyli özelliklere yerel erişim elde etmek için kullanılabileceğinden yüksek olarak değerlendirilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2017-0546 A-32628763 Yüksek Tümü 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 2 Kasım 2016

Mediaserver'da bilgi ifşa güvenlik açığı

Mediaserver'da bulunan bir bilgi ifşa etme güvenlik açığı, yerel bir kötü amaçlı uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, uygulama verilerini diğer uygulamalardan izole eden işletim sistemi korumalarının genel bir atlaması olduğu için yüksek olarak değerlendirilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2017-0547 A-33861560 Yüksek Tümü 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 22 Aralık 2016

libskia'da hizmet reddi güvenlik açığı

libskia'daki uzaktan hizmet reddi güvenlik açığı, saldırganların özel olarak hazırlanmış bir dosyayı kullanarak cihazın donmasına veya yeniden başlatılmasına neden olmasına olanak tanıyabilir. Bu sorun, uzaktan hizmet reddi olasılığı nedeniyle yüksek önem düzeyinde olarak değerlendirilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2017-0548 A-33251605 Yüksek Tümü 7.0, 7.1.1 29 Kasım 2016

Mediaserver'da hizmet reddi güvenlik açığı

Mediaserver'daki uzak hizmet reddi güvenlik açığı, saldırganın cihazın donmasına veya yeniden başlatılmasına neden olmak için özel olarak hazırlanmış bir dosya kullanmasına olanak tanıyabilir. Bu sorun, uzaktan hizmet reddi olasılığı nedeniyle yüksek önem düzeyinde olarak değerlendirilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2017-0549 A-33818508 Yüksek Tümü 6.0, 6.0.1, 7.0, 7.1.1 20 Aralık 2016
CVE-2017-0550 A-33933140 Yüksek Tümü 6.0, 6.0.1, 7.0, 7.1.1 Yalnızca Google
CVE-2017-0551 A-34097231 [2] Yüksek Tümü 6.0, 6.0.1, 7.0, 7.1.1 Yalnızca Google
CVE-2017-0552 A-34097915 Yüksek Tümü 6.0, 6.0.1, 7.0, 7.1.1 Yalnızca Google

libnl'de ayrıcalık yükseltme güvenlik açığı

libnl'de ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın kablosuz ağ hizmeti bağlamında keyfi kod yürütmesine olanak tanıyabilir. Öncelikle ayrıcalıklı bir işlemden ödün verilmesini gerektirdiği ve mevcut platform yapılandırmaları tarafından azaltıldığı için bu sorun Orta düzey olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2017-0553 A-32342065 Orta seviye Tümü 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 21 Ekim 2016

Telefon uygulamasında ayrıcalık yükseltme güvenlik açığı

Telefon bileşeninde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın izin düzeylerinin dışındaki özelliklere erişmesine olanak tanıyabilir. Bu sorun, normalde üçüncü taraf uygulamaların erişemediği gelişmiş özelliklere erişim elde etmek için kullanılabileceğinden Orta olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2017-0554 A-33815946 [2] Orta seviye Tümü 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 20 Aralık 2016

Mediaserver'da bilgi ifşa güvenlik açığı

Mediaserver'da bulunan bir bilgi ifşa etme güvenlik açığı, yerel bir kötü amaçlı uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. İzinsiz verilere erişmek için kullanılabileceğinden bu sorun Orta olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2017-0555 A-33551775 Orta seviye Tümü 6.0, 6.0.1, 7.0, 7.1.1 12 Aralık 2016
CVE-2017-0556 A-34093952 Orta seviye Tümü 6.0, 6.0.1, 7.0, 7.1.1 4 Ocak 2017
CVE-2017-0557 A-34093073 Orta seviye Tümü 6.0, 6.0.1, 7.0, 7.1.1 4 Ocak 2017
CVE-2017-0558 A-34056274 Orta seviye Tümü 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Yalnızca Google

libskia'da bilgi ifşa güvenlik açığı

libskia'daki bir bilgi açığı, yerel kötü amaçlı bir uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. İzinsiz verilere erişmek için kullanılabileceğinden bu sorun Orta olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2017-0559 A-33897722 Orta seviye Tümü 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25 Aralık 2016

Fabrika ayarlarına sıfırlama özelliğinde bilgi ifşa güvenlik açığı

Fabrika ayarlarına sıfırlama işleminde bilgi açığa çıkarma güvenlik açığı, yerel bir kötü amaçlı saldırganın önceki sahibin verilerine erişmesine olanak tanıyabilir. Cihaz korumasının atlanama olasılığı nedeniyle bu sorun Orta önem düzeyinde olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2017-0560 A-30681079 Orta seviye Tümü 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Yalnızca Google

2017-04-05 güvenlik yaması düzeyi—Zayıflık ayrıntıları

Aşağıdaki bölümlerde, 2017-04-05 yaması düzeyi için geçerli olan güvenlik açıklarının her biri hakkında ayrıntılı bilgi verilmektedir. Sorunun açıklaması, önem düzeyi gerekçesi ve CVE, ilişkili referanslar, önem düzeyi, güncellenmiş Google cihazları, güncellenmiş AOSP sürümleri (geçerli olduğunda) ve raporlama tarihi içeren bir tablo bulunur. Mümkün olduğunda, sorunu gideren herkese açık değişikliği AOSP değişiklik listesi gibi bir hata kimliğine bağlarız. Tek bir hatayla ilgili birden fazla değişiklik olduğunda, ek referanslar hata kimliğinin ardından gelen sayılara bağlanır.

Broadcom kablosuz donanım yazılımında uzaktan kod yürütme güvenlik açığı

Broadcom kablosuz ağ donanım yazılımındaki uzaktan kod yürütme güvenlik açığı, uzaktaki bir saldırganın kablosuz ağ SoC bağlamında istediği kodu yürütmesine olanak tanıyabilir. Bu sorun, kablosuz ağ SoC bağlamında uzaktan kod yürütme olasılığı nedeniyle Kritik olarak değerlendirilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0561 A-34199105*
B-RB#110814		 Kritik (Critical) Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 9 Ocak 2017

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Qualcomm kripto motoru sürücüsünde uzaktan kod yürütme güvenlik açığı

Qualcomm şifreleme motoru sürücüsündeki uzaktan kod yürütme güvenlik açığı, uzaktaki bir saldırganın çekirdek bağlamında istediği kodu yürütmesine olanak tanıyabilir. Bu sorun, çekirdek bağlamında uzaktan kod çalıştırma olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2016-10230 A-34389927
QC-CR#1091408		 Kritik (Critical) Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One 10 Ocak 2017

Çekirdek ağ iletişimi alt sisteminde uzaktan kod yürütme güvenlik açığı

Çekirdek ağ iletişimi alt sisteminde bulunan uzaktan kod yürütme güvenlik açığı, uzaktaki bir saldırganın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, çekirdek bağlamında uzaktan kod çalıştırma olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2016-10229 A-32813456
Yukarı yönlü çekirdek		 Kritik (Critical) Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Pixel C, Android One, Nexus Player Yalnızca Google

MediaTek dokunmatik ekran sürücüsünde yetki yükseltme güvenlik açığı

MediaTek dokunmatik ekran sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0562 A-30202425*
M-ALPS02898189		 Kritik* Yok** 16 Temmuz 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş desteklenen Google cihazları bu güvenlik açığından etkilenmez.

HTC dokunmatik ekran sürücüsünde ayrıcalık yükseltme güvenlik açığı

HTC dokunmatik ekran sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0563 A-32089409*
 Kritik (Critical) Nexus 9 9 Ekim 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Çekirdek ION alt sisteminde ayrıcalık yükseltme güvenlik açığı

Çekirdek ION alt sisteminde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik olarak değerlendirilir. Bu durumda, cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekebilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0564 A-34276203*
 Kritik (Critical) Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Pixel C, Android One, Nexus Player 12 Ocak 2017

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Qualcomm bileşenlerindeki güvenlik açıkları

Bu güvenlik açıkları Qualcomm bileşenlerini etkiler ve Qualcomm AMSS Ekim 2016 güvenlik bülteninde daha ayrıntılı olarak açıklanmaktadır.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2016-10237 A-31628601**
QC-CR#1046751		 Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2016-10238 A-35358527**
QC-CR#1042558		 Kritik (Critical) Yok*** Qualcomm'un dahili
CVE-2016-10239 A-31624618**
QC-CR#1032929		 Yüksek Pixel, Pixel XL Qualcomm'un dahili

* Bu güvenlik açıklarının önem derecesi tedarikçi firma tarafından belirlenmiştir.

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

*** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş desteklenen Google cihazları bu güvenlik açığından etkilenmez.

v8'de uzaktan kod yürütme güvenlik açığı

v8'deki uzaktan kod yürütme güvenlik açığı, uzaktaki saldırganların ayrıcalıklı bir işlem bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, web sitelerinde uzaktan kod çalıştırma olasılığı nedeniyle yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2016-5129 A-29178923 Yüksek Yok* 6.0, 6.0.1, 7.0 20 Temmuz 2016

* Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş olan desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Freetype'ta uzaktan kod yürütme güvenlik açığı

Freetype'taki uzaktan kod yürütme güvenlik açığı, yerel bir kötü amaçlı uygulamanın, ayrıcalıksız bir işlemde bellek bozulmasına neden olmak için özel olarak hazırlanmış bir yazı tipi yüklemesine olanak tanıyabilir. Bu kitaplığı kullanan bir uygulamada uzaktan kod yürütme olasılığı nedeniyle bu sorun yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Güncellenen AOSP sürümleri Bildirim tarihi
CVE-2016-10244 A-31470908 Yüksek Yok* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 13 Eylül 2016

* Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş olan desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Çekirdek ses alt sisteminde ayrıcalık yükseltme güvenlik açığı

Çekirdek ses alt sisteminde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2014-4656 A-34464977
Yukarı yönlü çekirdek		 Yüksek Nexus 6, Nexus Player 26 Haziran 2014

NVIDIA kripto sürücüsünde ayrıcalık yükseltme güvenlik açığı

NVIDIA kripto sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0339 A-27930566*
N-CVE-2017-0339		 Yüksek Nexus 9 29 Mart 2016
CVE-2017-0332 A-33812508*
N-CVE-2017-0332		 Yüksek Nexus 9 21 Aralık 2016
CVE-2017-0327 A-33893669*
N-CVE-2017-0327		 Yüksek Nexus 9 24 Aralık 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

MediaTek termal sürücüsünde ayrıcalık yükseltme güvenlik açığı

MediaTek termal sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0565 A-28175904*
M-ALPS02696516		 Yüksek Yok** 11 Nisan 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş desteklenen Google cihazları bu güvenlik açığından etkilenmez.

MediaTek kamera sürücüsünde ayrıcalık yükseltme güvenlik açığı

MediaTek kamera sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0566 A-28470975*
M-ALPS02696367		 Yüksek Yok** 29 Nisan 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Broadcom kablosuz ağ sürücüsünde ayrıcalık yükseltme güvenlik açığı

Broadcom kablosuz sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0567 A-32125310*
B-RB#112575		 Yüksek Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 12 Ekim 2016
CVE-2017-0568 A-34197514*
B-RB#112600		 Yüksek Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 9 Ocak 2017
CVE-2017-0569 A-34198729*
B-RB#110666		 Yüksek Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 9 Ocak 2017
CVE-2017-0570 A-34199963*
B-RB#110688		 Yüksek Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 9 Ocak 2017
CVE-2017-0571 A-34203305*
B-RB#111541		 Yüksek Nexus 6, Nexus 6P, Pixel C, Nexus Player 9 Ocak 2017
CVE-2017-0572 A-34198931*
B-RB#112597		 Yüksek Yok** 9 Ocak 2017
CVE-2017-0573 A-34469904*
B-RB#91539		 Yüksek Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 18 Ocak 2017
CVE-2017-0574 A-34624457*
B-RB#113189		 Yüksek Nexus 6, Nexus 6P, Nexus 9, Pixel C 22 Ocak 2017

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Qualcomm kablosuz ağ sürücüsünde ayrıcalık yükseltme güvenlik açığı

Qualcomm Wi-Fi sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0575 A-32658595*
QC-CR#1103099		 Yüksek Nexus 5X, Pixel, Pixel XL 3 Kasım 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

NVIDIA I2C HID sürücüsünde ayrıcalık yükseltme güvenlik açığı

NVIDIA I2C HID sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0325 A-33040280*
N-CVE-2017-0325		 Yüksek Nexus 9, Pixel C 20 Kasım 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Qualcomm ses sürücüsünde ayrıcalık yükseltme güvenlik açığı

Qualcomm ses sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0454 A-33353700
QC-CR#1104067		 Yüksek Nexus 5X, Nexus 6P, Pixel, Pixel XL 5 Aralık 2016

Qualcomm kripto motoru sürücüsünde yetki yükseltme güvenlik açığı

Qualcomm şifreleme motoru sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0576 A-33544431
QC-CR#1103089		 Yüksek Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One 9 Aralık 2016

HTC dokunmatik ekran sürücüsünde yetki yükseltme güvenlik açığı

HTC dokunmatik ekran sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0577 A-33842951*
 Yüksek Yok** 21 Aralık 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş desteklenen Google cihazları bu güvenlik açığından etkilenmez.

DTS ses sürücüsünde ayrıcalık yükseltme güvenlik açığı

DTS ses sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Öncelikle ayrıcalıklı bir işlemin güvenliğinin ihlal edilmesini gerektirdiği için bu sorun yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0578 A-33964406*
 Yüksek Yok** 28 Aralık 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Qualcomm ses codec sürücüsünde ayrıcalık yükseltme güvenlik açığı

Qualcomm ses codec sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2016-10231 A-33966912
QC-CR#1096799		 Yüksek Pixel, Pixel XL 29 Aralık 2016

Qualcomm video sürücüsünde ayrıcalık yükseltme güvenlik açığı

Qualcomm video sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0579 A-34125463*
QC-CR#1115406		 Yüksek Nexus 5X, Nexus 6P, Pixel, Pixel XL 5 Ocak 2017
CVE-2016-10232 A-34386696
QC-CR#1024872 [2]		 Yüksek Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One 10 Ocak 2017
CVE-2016-10233 A-34389926
QC-CR#897452		 Yüksek Yok** 10 Ocak 2017

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş desteklenen Google cihazları bu güvenlik açığından etkilenmez.

NVIDIA önyükleme ve güç yönetimi işlemci sürücüsünde ayrıcalık güvenlik açığının yükseltilmesi

NVIDIA önyükleme ve güç yönetimi işlemci sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel kötü amaçlı bir uygulamanın önyükleme ve güç yönetimi işlemcisi bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin güvenliğinin ihlal edilmesini gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0329 A-34115304*
N-CVE-2017-0329		 Yüksek Pixel C 5 Ocak 2017

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Synaptics dokunmatik ekran sürücüsünde yetki yükseltme güvenlik açığı

Synaptics dokunmatik ekran sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0580 A-34325986*
 Yüksek Yok** 16 Ocak 2017
CVE-2017-0581 A-34614485*
 Yüksek Yok** 22 Ocak 2017

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Qualcomm Seemp sürücüsünde ayrıcalık yükseltme güvenlik açığı

Qualcomm Seemp sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0462 A-33353601
QC-CR#1102288		 Yüksek Pixel, Pixel XL Yalnızca Google

Qualcomm Kyro L2 sürücüsünde ayrıcalık yükseltme güvenlik açığı

Qualcomm Kyro L2 sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-6423 A-32831370
QC-CR#1103158		 Yüksek Pixel, Pixel XL Yalnızca Google

Çekirdek dosya sisteminde ayrıcalık yükseltme güvenlik açığı

Çekirdek dosya sisteminde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin tehlikeye atılmasını gerektirdiği için yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2014-9922 A-32761463
Yukarı yönlü çekirdek		 Yüksek Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Android One, Nexus Player 24 Ekim 2014

Çekirdek bellek alt sisteminde bilgi ifşa etme güvenlik açığı

Çekirdek bellek alt sisteminde bulunan bir bilgi açıklama güvenlik açığı, yerel kötü amaçlı bir uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, kullanıcının açık izni olmadan hassas verilere erişmek için kullanılabileceğinden yüksek olarak değerlendirilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2014-0206 A-34465735
Yukarı yönlü çekirdek		 Yüksek Nexus 6, Nexus Player 6 Mayıs 2014

Çekirdek ağ alt sisteminde bilgi ifşa etme güvenlik açığı

Çekirdek ağ alt sisteminde bulunan bir bilgi açığa çıkarma güvenlik açığı, yerel kötü amaçlı bir uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, kullanıcının açık izni olmadan hassas verilere erişmek için kullanılabileceğinden yüksek olarak değerlendirilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2014-3145 A-34469585
Yukarı yönlü çekirdek [2]		 Yüksek Nexus 6, Nexus Player 9 Mayıs 2014

Qualcomm TrustZone'da bilgi ifşa etme güvenlik açığı

Qualcomm TrustZone'daki bir bilgi ifşa etme güvenlik açığı, yerel bir kötü amaçlı uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, kullanıcının açık izni olmadan hassas verilere erişmek için kullanılabileceğinden yüksek olarak değerlendirilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2016-5349 A-29083830
QC-CR#1021945 [2] [3] [4]		 Yüksek Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One 1 Haziran 2016

Qualcomm IPA sürücüsünde bilginin açıklanmasına yol açan güvenlik açığı

Qualcomm IPA sürücüsündeki bir bilgi açığa çıkarma güvenlik açığı, yerel bir kötü amaçlı uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, kullanıcının açık izni olmadan hassas verilere erişmek için kullanılabileceğinden yüksek olarak değerlendirilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2016-10234 A-34390017
QC-CR#1069060 [2]		 Yüksek Nexus 5X, Nexus 6P, Pixel, Pixel XL 10 Ocak 2017

Çekirdek ağ alt sisteminde hizmet reddi güvenlik açığı

Çekirdek ağ alt sisteminde bulunan bir hizmet reddi güvenlik açığı, uzaktaki bir saldırganın özel olarak hazırlanmış bir ağ paketi kullanarak cihazın donmasına veya yeniden başlatılmasına neden olmasını sağlayabilir. Bu sorun, uzaktan hizmet reddi olasılığı nedeniyle yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2014-2706 A-34160553
Upstream çekirdek		 Yüksek Nexus Player 1 Nisan 2014

Qualcomm kablosuz sürücüsünde hizmet reddi güvenlik açığı

Qualcomm kablosuz sürücüsündeki bir hizmet reddi güvenlik açığı, yakınlardaki bir saldırganın kablosuz alt sisteminde hizmet reddi saldırısı yapmasına neden olabilir. Bu sorun, uzaktan hizmet reddi olasılığı nedeniyle yüksek olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2016-10235 A-34390620
QC-CR#1046409		 Yüksek Yok** 10 Ocak 2017

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Çekirdek dosya sisteminde ayrıcalık yükseltme güvenlik açığı

Çekirdek dosya sisteminde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın izin düzeylerinin dışında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, önce ayrıcalıklı bir sürecin tehlikeye atılmasını gerektirdiği ve mevcut platform yapılandırmaları tarafından azaltıldığı için Orta düzey olarak değerlendirilir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2016-7097 A-32458736
Yukarı yönlü çekirdek		 Orta seviye Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Nexus Player 28 Ağustos 2016

Qualcomm kablosuz ağ sürücüsünde ayrıcalık yükseltme güvenlik açığı

Qualcomm Wi-Fi sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin güvenliğinin ihlal edilmesini gerektirdiği ve sorunun etkisini sınırlayan güvenlik açığı ayrıntıları olduğu için Orta düzey olarak değerlendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-6424 A-32086742
QC-CR#1102648		 Orta seviye Nexus 5X, Pixel, Pixel XL, Android One 9 Ekim 2016

Broadcom kablosuz ağ sürücüsünde ayrıcalık yükseltme güvenlik açığı

Broadcom kablosuz sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemden ödün verilmesini gerektirdiği ve mevcut platform yapılandırmaları tarafından azaltıldığı için Orta olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2016-8465 A-32474971*
B-RB#106053		 Orta seviye Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 27 Ekim 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

HTC OEM fastboot komutunda ayrıcalık yükseltme güvenlik açığı

HTC OEM hızlı önyükleme komutunda ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın sensör merkezi bağlamında keyfi kod yürütmesine olanak tanıyabilir. Önce ayrı güvenlik açıklarının kötüye kullanılmasını gerektirdiği için bu sorun Orta önem düzeyinde olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0582 A-33178836*
 Orta seviye Nexus 9 28 Kasım 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Qualcomm CP erişim sürücüsünde ayrıcalık yükseltme güvenlik açığı

Qualcomm CP erişim sürücüsündeki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir işlemin güvenliğinin ihlal edilmesini gerektirdiği ve sorunun etkisini sınırlayan güvenlik açığı ayrıntıları olduğu için Orta düzey olarak değerlendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0583 A-32068683
QC-CR#1103788		 Orta seviye Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One Yalnızca Google

Çekirdek medya sürücüsünde bilgi ifşa güvenlik açığı

Çekirdek medya sürücüsündeki bilgi açığa çıkarma güvenlik açığı, yerel bir kötü amaçlı uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Öncelikle ayrıcalıklı bir işlemden ödün verilmesini gerektirdiği için bu sorun Orta olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2014-1739 A-34460642
Upstream çekirdek		 Orta seviye Nexus 6, Nexus 9, Nexus Player 15 Haziran 2014

Qualcomm kablosuz ağ sürücüsünde bilgi ifşa etme güvenlik açığı

Qualcomm kablosuz sürücüsündeki bilgi ifşa etme güvenlik açığı, yerel bir kötü amaçlı uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, önce ayrıcalıklı bir işlemden ödün verilmesini gerektirdiği için Orta olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0584 A-32074353*
QC-CR#1104731		 Orta seviye Nexus 5X, Pixel, Pixel XL 9 Ekim 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Broadcom kablosuz ağ sürücüsünde bilgi ifşa etme güvenlik açığı

Broadcom kablosuz sürücüsündeki bir bilgi açığı, yerel kötü amaçlı bir uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, önce ayrıcalıklı bir işlemden ödün verilmesini gerektirdiği için Orta olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0585 A-32475556*
B-RB#112953		 Orta seviye Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 27 Ekim 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Qualcomm Avtimer sürücüsünde bilgi ifşa güvenlik açığı

Qualcomm Avtimer sürücüsündeki bir bilgi açıklaması güvenlik açığı, yerel kötü amaçlı bir uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, önce ayrıcalıklı bir işlemden ödün verilmesini gerektirdiği için Orta olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2016-5346 A-32551280
QC-CR#1097878		 Orta seviye Pixel, Pixel XL 29 Ekim 2016

Qualcomm video sürücüsünde bilgi ifşa etme güvenlik açığı

Qualcomm video sürücüsündeki bir bilgi açıklaması güvenlik açığı, yerel kötü amaçlı bir uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, önce ayrıcalıklı bir işlemden ödün verilmesini gerektirdiği için Orta olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-6425 A-32577085
QC-CR#1103689		 Orta seviye Pixel, Pixel XL 29 Ekim 2016

Qualcomm USB sürücüsünde bilgi ifşa etme güvenlik açığı

Qualcomm USB sürücüsündeki bir bilgi ifşa etme güvenlik açığı, yerel bir kötü amaçlı uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Öncelikle ayrıcalıklı bir işlemden ödün verilmesini gerektirdiği için bu sorun Orta olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2016-10236 A-33280689
QC-CR#1102418		 Orta seviye Pixel, Pixel XL 30 Kasım 2016

Qualcomm ses sürücüsünde bilgi ifşa güvenlik açığı

Qualcomm ses sürücüsündeki bir bilgi açığı, yerel kötü amaçlı bir uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, önce ayrıcalıklı bir işlemden ödün verilmesini gerektirdiği için Orta olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0586 A-33649808
QC-CR#1097569		 Orta seviye Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One 13 Aralık 2016

Qualcomm SPMI sürücüsünde bilgi açığa çıkarma güvenlik açığı

Qualcomm SPMI sürücüsündeki bir bilgi açıklaması güvenlik açığı, yerel kötü amaçlı bir uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, önce ayrıcalıklı bir işlemden ödün verilmesini gerektirdiği için Orta olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-6426 A-33644474
QC-CR#1106842		 Orta seviye Pixel, Pixel XL 14 Aralık 2016

NVIDIA kripto sürücüsünde bilgi ifşa etme güvenlik açığı

NVIDIA kripto sürücüsündeki bir bilgi ifşa etme güvenlik açığı, yerel kötü amaçlı bir uygulamanın izin düzeylerinin dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, önce ayrıcalıklı bir işlemden ödün verilmesini gerektirdiği için Orta olarak derecelendirilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2017-0328 A-33898322*
N-CVE-2017-0328		 Orta seviye Yok** 24 Aralık 2016
CVE-2017-0330 A-33899858*
N-CVE-2017-0330		 Orta seviye Yok** 24 Aralık 2016

* Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Qualcomm bileşenlerindeki güvenlik açıkları

Qualcomm bileşenlerini etkileyen bu güvenlik açıkları, 2014-2016 yılları arasında Qualcomm AMSS güvenlik bültenleri kapsamında yayınlanmıştır. Bu düzeltmeler, Android güvenlik yaması düzeyiyle ilişkilendirilmek üzere bu Android güvenlik bültenine dahil edilmiştir.

CVE Referanslar Önem derecesi Güncellenen Google cihazlar Bildirim tarihi
CVE-2014-9931 A-35445101** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2014-9932 A-35434683** Kritik (Critical) Pixel, Pixel XL Qualcomm'un dahili
CVE-2014-9933 A-35442512** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2014-9934 A-35439275** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2014-9935 A-35444951** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2014-9936 A-35442420** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2014-9937 A-35445102** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2015-8995 A-35445002** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2015-8996 A-35444658** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2015-8997 A-35432947** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2015-8998 A-35441175** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2015-8999 A-35445401** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2015-9000 A-35441076** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2015-9001 A-35445400** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2015-9002 A-35442421** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2015-9003 A-35440626** Kritik (Critical) Yok** Qualcomm'un dahili
CVE-2016-10242 A-35434643** Kritik (Critical) Yok** Qualcomm'un dahili

* Bu güvenlik açıklarının önem derecesi tedarikçi firma tarafından belirlenmiştir.

** Bu sorunun düzeltmesi herkese açık değildir. Güncelleme, Google Developers sitesinden indirilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

*** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemeleri yüklemiş desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Sık Sorulan Sorular ve Yanıtları

Bu bölümde, bu bülteni okuduktan sonra aklınıza gelebilecek yaygın sorular yanıtlanmaktadır.

1. Cihazımın bu sorunları giderecek şekilde güncellenip güncellenmediğini nasıl öğrenebilirim?

Bir cihazın güvenlik yaması düzeyini nasıl kontrol edeceğinizi öğrenmek için Pixel ve Nexus güncelleme programındaki talimatları okuyun.

  • 01.04.2017 veya sonraki güvenlik yaması düzeyleri, 01.04.2017 güvenlik yaması düzeyiyle ilişkili tüm sorunları giderir.
  • 05.04.2017 veya sonraki güvenlik yaması düzeyleri, 05.04.2017 güvenlik yaması düzeyi ve önceki tüm yamalar düzeyleriyle ilgili tüm sorunları giderir.

Bu güncellemeleri içeren cihaz üreticileri, yama dizesi düzeyini şu şekilde ayarlamalıdır:

  • [ro.build.version.security_patch]:[2017-04-01]
  • [ro.build.version.security_patch]:[2017-04-05]

2. Bu bültenin neden iki güvenlik yaması düzeyi var?

Bu bülten iki güvenlik yaması düzeyine sahiptir. Böylece Android iş ortakları, tüm Android cihazlarda benzer olan bir güvenlik açığı alt kümesini daha hızlı düzeltme esnekliğine sahip olur. Android iş ortaklarının bu bültendeki tüm sorunları düzeltmesi ve en son güvenlik yaması düzeyini kullanması önerilir.

  • 1 Nisan 2017 güvenlik yaması düzeyini kullanan cihazlar, bu güvenlik yaması düzeyiyle ilişkili tüm sorunların yanı sıra önceki güvenlik bültenlerinde bildirilen tüm sorunların düzeltmelerini içermelidir.
  • 05 Nisan 2017 veya daha yeni bir güvenlik yaması düzeyini kullanan cihazlarda bu (ve önceki) güvenlik bültenlerindeki tüm geçerli yamalar bulunmalıdır.

İş ortaklarının, ele aldıkları tüm sorunların düzeltmelerini tek bir güncellemede toplamalarının önerilir.

3. Her sorundan hangi Google cihazlarının etkilendiğini nasıl öğrenebilirim?

2017-04-01 ve 2017-04-05 güvenlik açığı ayrıntıları bölümlerinde, her tabloda her sorun için güncellenen etkilenen Google cihazlarının kapsamını gösteren bir Güncellenen Google cihazları sütunu bulunur. Bu sütunda birkaç seçenek vardır:

  • Tüm Google cihazları: Bir sorun Tüm ve Pixel cihazları etkiliyorsa tablonun Güncellenen Google cihazları sütununda "Tüm" ifadesi yer alır. "Tümü", aşağıdaki desteklenen cihazları kapsar: Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel ve Pixel XL.
  • Bazı Google cihazları: Bir sorun tüm Google cihazlarını etkilemiyorsa etkilenen Google cihazları Güncellenen Google cihazları sütununda listelenir.
  • Google cihaz yok: Android 7.0 çalıştıran hiçbir Google cihazı sorundan etkilenmiyorsa tablonun Güncellenen Google cihazları sütununda "Yok" ifadesi yer alır.

4. Referanslar sütunundaki girişler neyle eşlenir?

Güvenlik açığı ayrıntıları tablosunun Referanslar sütunundaki girişler, referans değerinin ait olduğu kuruluşu tanımlayan bir ön ek içerebilir. Bu önekler aşağıdaki şekilde eşlenir:

Ön numara Referans
A- Android hata kimliği
QC- Qualcomm referans numarası
M- MediaTek referans numarası
N- NVIDIA referans numarası
B- Broadcom referans numarası

Düzeltmeler

  • 3 Nisan 2017: Bülten yayınlandı.
  • 05 Nisan 2017: Bülten, AOSP bağlantılarını içerecek şekilde düzeltildi.
  • 21 Nisan 2017: CVE-2016-10231 ve CVE-2017-0586 için ilişkilendirme düzeltildi.
  • 27 Nisan 2017: CVE-2017-0540 bültenden kaldırıldı.
  • 17 Ağustos 2017: Referans numaralarını güncellemek için bülten düzeltildi.