Publié le 3 avril 2017 | Mis à jour le 17 août 2017
Le bulletin de sécurité Android contient des informations sur les failles de sécurité affectant les appareils Android. En plus de ce bulletin, nous avons publié une mise à jour de sécurité pour les appareils Nexus via une mise à jour Over The Air (OTA). Les images du micrologiciel des appareils Google ont également été publiées sur le site des développeurs Google. Les niveaux de correctifs de sécurité du 5 avril 2017 ou ultérieurs résolvent tous ces problèmes. Consultez le calendrier de mise à jour des Pixel et Nexus pour savoir comment vérifier le niveau du correctif de sécurité d'un appareil.
Les partenaires ont été informés des problèmes décrits dans le bulletin le 6 mars 2017 ou avant. Des correctifs de code source pour ces problèmes ont été publiés dans le dépôt du projet Android Open Source (AOSP) et sont disponibles en lien depuis ce bulletin. Ce bulletin inclut également des liens vers des correctifs en dehors d'AOSP.
Le plus grave de ces problèmes est une faille de sécurité critique qui pourrait permettre l'exécution de code à distance sur un appareil affecté via plusieurs méthodes, telles que la messagerie, la navigation sur le Web et les MMS lors du traitement de fichiers multimédias. L'évaluation de la gravité est basée sur l'impact potentiel de l'exploitation de la faille sur un appareil concerné, en supposant que les mesures d'atténuation de la plate-forme et du service soient désactivées à des fins de développement ou qu'elles soient contournées.
Nous n'avons reçu aucun signalement d'exploitation ou d'utilisation abusive active de ces problèmes récemment signalés par les clients. Consultez la section Mitigations des services Android et Google pour en savoir plus sur les protections de la plate-forme de sécurité Android et les protections de services telles que SafetyNet, qui améliorent la sécurité de la plate-forme Android.
Nous encourageons tous les clients à accepter ces mises à jour sur leurs appareils.
Annonces
- Ce bulletin contient deux chaînes de niveau de correctif de sécurité afin de permettre aux partenaires Android de corriger plus rapidement un sous-ensemble de failles similaires sur tous les appareils Android. Pour en savoir plus, consultez les questions fréquentes et réponses :
- 2017-04-01: chaîne partielle du niveau du correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2017-04-01 (et à toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
- 2017-04-05: chaîne complète du niveau du correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2017-04-01 et 2017-04-05 (et à toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
- Les appareils Google compatibles recevront une seule mise à jour OTA avec le niveau du correctif de sécurité du 5 avril 2017.
Stratégies d'atténuation pour les services Android et Google
Voici un résumé des mesures d'atténuation fournies par la plate-forme de sécurité Android et les protections de service telles que SafetyNet. Ces fonctionnalités réduisent la probabilité que des failles de sécurité puissent être exploitées avec succès sur Android.
- L'exploitation de nombreux problèmes sur Android est rendue plus difficile par les améliorations apportées aux versions plus récentes de la plate-forme Android. Nous encourageons tous les utilisateurs à passer à la dernière version d'Android dans la mesure du possible.
- L'équipe Android Security surveille activement les utilisations abusives à l'aide de Verify Apps et SafetyNet, qui sont conçus pour avertir les utilisateurs des applications potentiellement dangereuses. Vérifier les applications est activé par défaut sur les appareils équipés des services mobiles Google. Il est particulièrement important pour les utilisateurs qui installent des applications en dehors de Google Play. Les outils de rootage d'appareils sont interdits sur Google Play, mais Vérifier les applications avertit les utilisateurs lorsqu'ils tentent d'installer une application de rootage détectée, quelle que soit son origine. De plus, Verify Apps tente d'identifier et de bloquer l'installation d'applications malveillantes connues qui exploitent une faille d'escalade de privilèges. Si une telle application a déjà été installée, Vérifier les applications en informe l'utilisateur et tente de la supprimer.
- Le cas échéant, les applications Google Hangouts et Messenger ne transfèrent pas automatiquement les contenus multimédias à des processus tels que Mediaserver.
Remerciements
Nous tenons à remercier ces chercheurs pour leur contribution:
- Aravind Machiry (donfos) de l'équipe Shellphish Grill: CVE-2016-5349
- Daxing Guo (@freener0) du laboratoire Xuanwu, Tencent: CVE-2017-0585, CVE-2017-0553
- Derrek (@derrekr6) et Scott Bauer : CVE-2017-0576
- Gal Beniamini du projet Zero: CVE-2017-0571, CVE-2017-0570, CVE-2017-0572, CVE-2017-0569, CVE-2017-0561
- Gengjia Chen (@chengjia4574) et pjf de l'IceSword Lab, Qihoo 360 Technology Co., Ltd.: CVE-2017-6426, CVE-2017-0581, CVE-2017-0329, CVE-2017-0332, CVE-2017-0566, CVE-2017-0573
- Guang Gong (龚广) (@oldfresher) de l'équipe Alpha, Qihoo 360 Technology Co. Ltd.: CVE-2017-0547
- Hao Chen et Guang Gong de l'équipe Alpha, Qihoo 360 Technology Co. Ltd. CVE-2017-6424, CVE-2017-0584, CVE-2017-0454, CVE-2017-0574, CVE-2017-0575, CVE-2017-0567
- Ian Foster (@lanrat): CVE-2017-0554
- Jack Tang de Trend Micro Inc.: CVE-2017-0579
- Jianjun Dai (@Jioun_dai) de Qihoo 360 Skyeye Labs: CVE-2017-0559, CVE-2017-0541
- Jianqiang Zhao (@jianqiangzhao) et pjf de l'IceSword Lab, Qihoo 360: CVE-2017-6425, CVE-2016-5346
- Lubo Zhang (zlbzlb815@163.com) de l'équipe C0RE et Yonggang Guo (@guoygang) du laboratoire IceSword, Qihoo 360 Technology Co. Ltd.: CVE-2017-0564
- Mark Salyzyn de Google : CVE-2017-0558
- Mike Andereson (@manderbot) et Nathan Crandall (@natecray) de l'équipe chargée de la sécurité des produits Tesla: CVE-2017-0327, CVE-2017-0328
- Peng Xiao, Chengming Yang, Ning You, Chao Yang et Yang Song du groupe de sécurité mobile d'Alibaba: CVE-2017-0565
- Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮) et Lenx Wei (韦韬) de Baidu X-Lab (百度安全实验室): CVE-2016-10236
- Qidan He (何淇丹 - @flanker_hqd) de KeenLab, Tencent: CVE-2017-0544, CVE-2017-0325
- Roee Hay (@roeehay) d'Aleph Research, HCL Technologies: CVE-2017-0582, CVE-2017-0563
- Scott Bauer (@ScottyBauer1): CVE-2017-0562, CVE-2017-0339
- Seven Shen (@lingtongshen) de l'équipe de recherche sur les menaces mobiles de TrendMicro: CVE-2016-10231, CVE-2017-0578, CVE-2017-0586
- Tim Becker: CVE-2017-0546
- Uma Sankar Pradhan (@umasankar_iitd): CVE-2017-0560
- V.E.O (@VYSEa) de l'équipe Mobile Threat Response de Trend Micro : CVE-2017-0555, CVE-2017-0538, CVE-2017-0539, CVE-2017-0557, CVE-2017-0556
- Weichao Sun (@sunblate) d'Alibaba Inc. : CVE-2017-0549
- Wenlin Yang (@wenlin_yang), Guang Gong (@oldfresher) et Hao Chen de l'équipe Alpha de Qihoo 360 Technology Co. Ltd.: CVE-2017-0580, CVE-2017-0577
- Zinuo Han du centre de réponse à la sécurité de Chengdu de Qihoo 360 Technology Co. Ltd.: CVE-2017-0548
- Zubin Mithra de Google: CVE-2017-0462
Niveau du correctif de sécurité 2017-04-01 : détails de la faille
Dans les sections ci-dessous, nous fournissons des informations sur chacune des failles de sécurité qui s'appliquent au niveau de correctif 2017-04-01.Vous trouverez une description du problème, une justification de la gravité et un tableau contenant l'ID de la faille CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsque disponible, nous associerons la modification publique qui a résolu le problème à l'ID du bug, comme dans la liste des modifications AOSP. Lorsque plusieurs modifications concernent un même bug, des références supplémentaires sont associées à des numéros qui suivent l'ID du bug.
Vulnérabilité d'exécution de code à distance dans Mediaserver
Une faille d'exécution de code à distance dans Mediaserver peut permettre à un pirate informatique utilisant un fichier spécialement conçu de corrompre la mémoire lors du traitement des fichiers multimédias et des données. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans le contexte du processus Mediaserver.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0538 | A-33641588 | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 13 décembre 2016 |
| CVE-2017-0539 | A-33864300 | Critical (Critique) | Tous | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 23 décembre 2016 |
| CVE-2017-0541 | A-34031018 | Critical (Critique) | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 1er janvier 2017 |
| CVE-2017-0542 | A-33934721 | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Réservé à Google |
| CVE-2017-0543 | A-34097866 | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Réservé à Google |
Faille d'élévation des droits dans CameraBase
Une faille d'élévation des privilèges dans CameraBase peut permettre à une application malveillante locale d'exécuter du code arbitraire. Ce problème est classé comme "Élevé", car il s'agit d'une exécution de code arbitraire locale dans un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0544 | A-31992879 | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 6 oct. 2016 |
Faille d'élévation des droits dans Audioserver
Une faille d'escalade de privilèges dans Audioserver peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme critique, car il pourrait être utilisé pour accéder localement à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0545 | A-32591350 | Élevée | Tous | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 31 octobre 2016 |
Faille d'élévation des droits dans SurfaceFlinger
Une faille d'escalade de privilèges dans SurfaceFlinger peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme critique, car il pourrait être utilisé pour accéder localement à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0546 | A-32628763 | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 2 nov. 2016 |
Faille de divulgation d'informations dans Mediaserver
Une faille de divulgation d'informations dans Mediaserver peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme "Élevé", car il s'agit d'un contournement général des protections du système d'exploitation qui isolent les données d'application des autres applications.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0547 | A-33861560 | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Dec 22, 2016 |
Vulnérabilité de déni de service dans libskia
Une faille de déni de service à distance dans libskia peut permettre à un pirate informatique d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme étant de gravité élevée en raison de la possibilité d'un déni de service à distance.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0548 | A-33251605 | Élevée | Tous | 7.0, 7.1.1 | Nov 29, 2016 |
Faille de déni de service dans Mediaserver
Une faille de déni de service à distance dans Mediaserver peut permettre à un pirate informatique d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme étant de gravité élevée en raison de la possibilité d'un déni de service à distance.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0549 | A-33818508 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Dec 20, 2016 |
| CVE-2017-0550 | A-33933140 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Réservé à Google |
| CVE-2017-0551 | A-34097231 [2] | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Réservé à Google |
| CVE-2017-0552 | A-34097915 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Réservé à Google |
Faille d'élévation des droits dans libnl
Une faille d'élévation des privilèges dans libnl peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du service Wi-Fi. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié et est atténué par les configurations actuelles de la plate-forme.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0553 | A-32342065 | Modérée | Tous | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 21 oct. 2016 |
Faille d'élévation des droits dans Telephony
Une faille d'élévation des privilèges dans le composant Telephony peut permettre à une application malveillante locale d'accéder à des fonctionnalités en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0554 | A-33815946 [2] | Modérée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Dec 20, 2016 |
Faille de divulgation d'informations dans Mediaserver
Une faille de divulgation d'informations dans Mediaserver peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder aux données sans autorisation.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0555 | A-33551775 | Modérée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | Dec 12, 2016 |
| CVE-2017-0556 | A-34093952 | Modérée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 4 janvier 2017 |
| CVE-2017-0557 | A-34093073 | Modérée | Tous | 6.0, 6.0.1, 7.0, 7.1.1 | 4 janvier 2017 |
| CVE-2017-0558 | A-34056274 | Modérée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Réservé à Google |
Faille de divulgation d'informations dans libskia
Une faille de divulgation d'informations dans libskia peut permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder aux données sans autorisation.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0559 | A-33897722 | Modérée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Dec 25, 2016 |
Faille de divulgation d'informations dans la restauration des paramètres d'usine
Une faille de divulgation d'informations dans le processus de réinitialisation d'usine peut permettre à un pirate informatique local malveillant d'accéder aux données de l'ancien propriétaire. Ce problème est classé comme modéré, car il est possible de contourner la protection de l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0560 | A-30681079 | Modérée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Réservé à Google |
Niveau du correctif de sécurité 2017-04-05 : détails de la faille
Dans les sections ci-dessous, nous fournissons des informations sur chacune des failles de sécurité qui s'appliquent au niveau de correctif 2017-04-05. Vous trouverez une description du problème, une justification de la gravité et un tableau contenant l'ID de la faille CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsque disponible, nous associerons la modification publique qui a résolu le problème à l'ID du bug, comme dans la liste des modifications AOSP. Lorsque plusieurs modifications concernent un même bug, des références supplémentaires sont associées à des numéros qui suivent l'ID du bug.
Vulnérabilité d'exécution de code à distance dans le micrologiciel Wi-Fi Broadcom
Une faille d'exécution de code à distance dans le micrologiciel Wi-Fi Broadcom pourrait permettre à un pirate informatique distant d'exécuter du code arbitraire dans le contexte du SoC Wi-Fi. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans le contexte du SoC Wi-Fi.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0561 | A-34199105* B-RB#110814 |
Critical (Critique) | Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player | 9 janvier 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'exécution de code à distance dans le pilote du moteur de cryptographie Qualcomm
Une faille d'exécution de code à distance dans le pilote du moteur de cryptographie Qualcomm pourrait permettre à un pirate informatique à distance d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans le contexte du noyau.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10230 | A-34389927 QC-CR#1091408 |
Critical (Critique) | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | 10 janv. 2017 |
Vulnérabilité d'exécution de code à distance dans le sous-système réseau du kernel
Une faille d'exécution de code à distance dans le sous-système réseau du noyau peut permettre à un pirate informatique à distance d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans le contexte du noyau.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10229 | A-32813456 Noyau en amont |
Critical (Critique) | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Pixel C, Android One et Nexus Player | Réservé à Google |
Vulnérabilité d'élévation de privilège dans le pilote d'écran tactile MediaTek
Une faille d'élévation des privilèges dans le pilote de l'écran tactile MediaTek peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0562 | A-30202425* M-ALPS02898189 |
Critique* | Aucun** | Jul 16, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'escalade de privilèges dans le pilote de l'écran tactile HTC
Une faille d'élévation des privilèges dans le pilote de l'écran tactile HTC peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0563 | A-32089409* |
Critical (Critique) | Nexus 9 | 9 oct. 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation des droits dans le sous-système ION du kernel
Une faille d'élévation des privilèges dans le sous-système ION du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0564 | A-34276203* |
Critical (Critique) | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Pixel C, Android One et Nexus Player | 12 janvier 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Failles dans les composants Qualcomm
Ces failles affectent les composants Qualcomm et sont décrites plus en détail dans le bulletin de sécurité Qualcomm AMSS d'octobre 2016.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10237 | A-31628601** QC-CR#1046751 |
Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2016-10238 | A-35358527** QC-CR#1042558 |
Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2016-10239 | A-31624618** QC-CR#1032929 |
Élevée | Pixel, Pixel XL | Interne Qualcomm |
* Le niveau de gravité de ces failles a été déterminé par le fournisseur.
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
*** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.
Faille d'exécution de code à distance dans la version 8
Une faille d'exécution de code à distance dans la version 8 pourrait permettre à des pirates informatiques distants d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme "Élevé" en raison de la possibilité d'exécution de code à distance sur les sites Web.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2016-5129 | A-29178923 | Élevée | Aucun* | 6.0, 6.0.1, 7.0 | 20 juillet 2016 |
* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.
Vulnérabilité d'exécution de code à distance dans Freetype
Une faille d'exécution de code à distance dans Freetype peut permettre à une application malveillante locale de charger une police spécialement conçue pour corrompre la mémoire dans un processus non privilégié. Ce problème est classé comme "Élevé" en raison de la possibilité d'exécution de code à distance dans une application qui utilise cette bibliothèque.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2016-10244 | A-31470908 | Élevée | Aucun* | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 13 septembre 2016 |
* Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.
Vulnérabilité d'élévation des droits dans le sous-système audio du kernel
Une faille d'élévation de privilège dans le sous-système audio du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2014-4656 | A-34464977 Kernel en amont |
Élevée | Nexus 6, Nexus Player | 26 juin 2014 |
Vulnérabilité d'élévation de privilège dans le pilote de cryptographie NVIDIA
Une faille d'élévation des privilèges dans le pilote de cryptographie NVIDIA peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0339 | A-27930566* N-CVE-2017-0339 |
Élevée | Nexus 9 | Mar 29, 2016 |
| CVE-2017-0332 | A-33812508* N-CVE-2017-0332 |
Élevée | Nexus 9 | Dec 21, 2016 |
| CVE-2017-0327 | A-33893669* N-CVE-2017-0327 |
Élevée | Nexus 9 | 24 décembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation de privilège dans le pilote thermique MediaTek
Une faille d'escalade de privilèges dans le pilote thermique MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0565 | A-28175904* M-ALPS02696516 |
Élevée | Aucun** | 11 avril 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Faille d'élévation des droits dans le pilote de la caméra MediaTek
Une faille d'escalade de privilèges dans le pilote de l'appareil photo MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0566 | A-28470975* M-ALPS02696367 |
Élevée | Aucun** | Apr 29, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom
Une faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0567 | A-32125310* B-RB#112575 |
Élevée | Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player | 12 oct. 2016 |
| CVE-2017-0568 | A-34197514* B-RB#112600 |
Élevée | Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player | 9 janvier 2017 |
| CVE-2017-0569 | A-34198729* B-RB#110666 |
Élevée | Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player | 9 janvier 2017 |
| CVE-2017-0570 | A-34199963* B-RB#110688 |
Élevée | Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player | 9 janvier 2017 |
| CVE-2017-0571 | A-34203305* B-RB#111541 |
Élevée | Nexus 6, Nexus 6P, Pixel C, Nexus Player | 9 janvier 2017 |
| CVE-2017-0572 | A-34198931* B-RB#112597 |
Élevée | Aucun** | 9 janvier 2017 |
| CVE-2017-0573 | A-34469904* B-RB#91539 |
Élevée | Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player | 18 janvier 2017 |
| CVE-2017-0574 | A-34624457* B-RB#113189 |
Élevée | Nexus 6, Nexus 6P, Nexus 9 et Pixel C | 22 janvier 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'élévation de privilège dans le pilote Wi-Fi Qualcomm
Une faille d'élévation des privilèges dans le pilote Wi-Fi Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0575 | A-32658595* QC-CR#1103099 |
Élevée | Nexus 5X, Pixel, Pixel XL | 3 nov. 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation des droits dans le pilote HID I2C NVIDIA
Une faille d'élévation des privilèges dans le pilote HID I2C de NVIDIA peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0325 | A-33040280* N-CVE-2017-0325 |
Élevée | Nexus 9, Pixel C | Nov 20, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation de privilège dans le pilote audio Qualcomm
Une faille d'élévation des privilèges dans le pilote audio Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0454 | A-33353700 QC-CR#1104067 |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 5 décembre 2016 |
Vulnérabilité d'escalade de privilèges dans le pilote du moteur de cryptographie Qualcomm
Une faille d'escalade de privilèges dans le pilote du moteur de cryptographie Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0576 | A-33544431 QC-CR#1103089 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | 9 décembre 2016 |
Vulnérabilité d'escalade de privilèges dans le pilote de l'écran tactile HTC
Une faille d'élévation des privilèges dans le pilote de l'écran tactile HTC peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0577 | A-33842951* |
Élevée | Aucun** | Dec 21, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'élévation des droits dans le pilote audio DTS
Une faille d'élévation des privilèges dans le pilote audio DTS peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0578 | A-33964406* |
Élevée | Aucun** | 28 décembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'élévation de privilège dans le pilote du codec audio Qualcomm
Une faille d'élévation des privilèges dans le pilote du codec audio Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10231 | A-33966912 QC-CR#1096799 |
Élevée | Pixel, Pixel XL | Dec 29, 2016 |
Vulnérabilité d'escalade de privilèges dans le pilote vidéo Qualcomm
Une faille d'élévation des privilèges dans le pilote vidéo Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0579 | A-34125463* QC-CR#1115406 |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 5 janvier 2017 |
| CVE-2016-10232 | A-34386696 QC-CR#1024872 [2] |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One | 10 janv. 2017 |
| CVE-2016-10233 | A-34389926 QC-CR#897452 |
Élevée | Aucun** | 10 janv. 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'escalade de privilèges dans le pilote du processeur de gestion de l'alimentation et du démarrage NVIDIA
Une faille d'escalade de privilèges dans le pilote du processeur de gestion de l'alimentation et du démarrage NVIDIA pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du processeur de gestion de l'alimentation et du démarrage. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0329 | A-34115304* N-CVE-2017-0329 |
Élevée | Pixel C | 5 janvier 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation de privilège dans le pilote d'écran tactile Synaptics
Une faille d'élévation des privilèges dans le pilote de l'écran tactile Synaptics peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0580 | A-34325986* |
Élevée | Aucun** | 16 janvier 2017 |
| CVE-2017-0581 | A-34614485* |
Élevée | Aucun** | 22 janvier 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'élévation de privilège dans le pilote Qualcomm Seemp
Une faille d'élévation des privilèges dans le pilote Qualcomm Seemp peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0462 | A-33353601 QC-CR#1102288 |
Élevée | Pixel, Pixel XL | Réservé à Google |
Vulnérabilité d'élévation des droits dans le pilote Qualcomm Kyro L2
Une faille d'élévation des privilèges dans le pilote Kyro L2 de Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-6423 | A-32831370 QC-CR#1103158 |
Élevée | Pixel, Pixel XL | Réservé à Google |
Vulnérabilité d'élévation des droits dans le système de fichiers du kernel
Une faille d'élévation des privilèges dans le système de fichiers du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2014-9922 | A-32761463 Noyau en amont |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Android One et Nexus Player | 24 octobre 2014 |
Vulnérabilité de divulgation d'informations dans le sous-système de mémoire du kernel
Une faille de divulgation d'informations dans le sous-système de mémoire du noyau peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme étant grave, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation explicite de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2014-0206 | A-34465735 Noyau en amont |
Élevée | Nexus 6, Nexus Player | 6 mai 2014 |
Faille de divulgation d'informations dans le sous-système de mise en réseau du kernel
Une faille de divulgation d'informations dans le sous-système de mise en réseau du noyau peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme étant grave, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation explicite de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2014-3145 | A-34469585 Noyau en amont [2] |
Élevée | Nexus 6, Nexus Player | 9 mai 2014 |
Faille de divulgation d'informations dans Qualcomm TrustZone
Une faille de divulgation d'informations dans Qualcomm TrustZone peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour accéder à des données sensibles sans l'autorisation explicite de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-5349 | A-29083830 QC-CR#1021945 [2] [3] [4] |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | 1er juin 2016 |
Faille de divulgation d'informations dans le pilote IPA Qualcomm
Une faille de divulgation d'informations dans le pilote IPA Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour accéder à des données sensibles sans l'autorisation explicite de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10234 | A-34390017 QC-CR#1069060 [2] |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 10 janv. 2017 |
Vulnérabilité de déni de service dans le sous-système de mise en réseau du kernel
Une faille de déni de service dans le sous-système réseau du kernel peut permettre à un pirate informatique à distance d'utiliser un paquet réseau spécialement conçu pour provoquer un blocage ou un redémarrage de l'appareil. Ce problème est classé comme grave en raison de la possibilité d'une attaque par déni de service à distance.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2014-2706 | A-34160553 Noyau en amont |
Élevée | Nexus Player | 1er avril 2014 |
Vulnérabilité de déni de service dans le pilote Wi-Fi Qualcomm
Une faille de déni de service dans le pilote Wi-Fi Qualcomm peut permettre à un pirate informatique à proximité de provoquer un déni de service dans le sous-système Wi-Fi. Ce problème est classé comme grave en raison de la possibilité d'un déni de service à distance.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10235 | A-34390620 QC-CR#1046409 |
Élevée | Aucun** | 10 janv. 2017 |
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'élévation des droits dans le système de fichiers du kernel
Une faille d'élévation des privilèges dans le système de fichiers du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié et est atténué par les configurations actuelles de la plate-forme.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-7097 | A-32458736 Noyau en amont |
Modérée | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C et Nexus Player | 28 août 2016 |
Vulnérabilité d'élévation de privilège dans le pilote Wi-Fi Qualcomm
Une faille d'élévation des privilèges dans le pilote Wi-Fi Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié et en raison de détails spécifiques à la faille qui limitent son impact.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-6424 | A-32086742 QC-CR#1102648 |
Modérée | Nexus 5X, Pixel, Pixel XL, Android One | 9 oct. 2016 |
Faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom
Une faille d'élévation des privilèges dans le pilote Wi-Fi Broadcom peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié et est atténué par les configurations de plate-forme actuelles.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-8465 | A-32474971* B-RB#106053 |
Modérée | Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player | 27 octobre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation des droits dans la commande fastboot de l'OEM HTC
Une faille d'escalade de privilèges dans la commande fastboot de l'OEM HTC pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du hub de capteurs. Ce problème est classé comme modéré, car il nécessite d'abord l'exploitation de failles distinctes.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0582 | A-33178836* |
Modérée | Nexus 9 | 28 novembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation de privilège dans le pilote d'accès du processeur de contrôle Qualcomm
Une faille d'élévation des privilèges dans le pilote d'accès au CP Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié et en raison de détails spécifiques à la faille qui limitent son impact.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0583 | A-32068683 QC-CR#1103788 |
Modérée | Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One | Réservé à Google |
Faille de divulgation d'informations dans le pilote multimédia du kernel
Une faille de divulgation d'informations dans le pilote multimédia du kernel peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2014-1739 | A-34460642 Kernel en amont |
Modérée | Nexus 6, Nexus 9 et Nexus Player | 15 juin 2014 |
Faille de divulgation d'informations dans le pilote Wi-Fi Qualcomm
Une faille de divulgation d'informations dans le pilote Wi-Fi Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0584 | A-32074353* QC-CR#1104731 |
Modérée | Nexus 5X, Pixel, Pixel XL | 9 oct. 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille de divulgation d'informations dans le pilote Wi-Fi Broadcom
Une faille de divulgation d'informations dans le pilote Wi-Fi Broadcom peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0585 | A-32475556* B-RB#112953 |
Modérée | Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player | 27 octobre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille de divulgation d'informations dans le pilote Qualcomm Avtimer
Une faille de divulgation d'informations dans le pilote Qualcomm Avtimer peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-5346 | A-32551280 QC-CR#1097878 |
Modérée | Pixel, Pixel XL | 29 octobre 2016 |
Faille de divulgation d'informations dans le pilote vidéo Qualcomm
Une faille de divulgation d'informations dans le pilote vidéo Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-6425 | A-32577085 QC-CR#1103689 |
Modérée | Pixel, Pixel XL | 29 octobre 2016 |
Faille de divulgation d'informations dans le pilote USB Qualcomm
Une faille de divulgation d'informations dans le pilote USB Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10236 | A-33280689 QC-CR#1102418 |
Modérée | Pixel, Pixel XL | Nov 30, 2016 |
Faille de divulgation d'informations dans le pilote audio Qualcomm
Une faille de divulgation d'informations dans le pilote audio Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0586 | A-33649808 QC-CR#1097569 |
Modérée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | 13 décembre 2016 |
Faille de divulgation d'informations dans le pilote SPMI Qualcomm
Une faille de divulgation d'informations dans le pilote SPMI de Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-6426 | A-33644474 QC-CR#1106842 |
Modérée | Pixel, Pixel XL | Dec 14, 2016 |
Vulnérabilité de divulgation d'informations dans le pilote de cryptographie NVIDIA
Une faille de divulgation d'informations dans le pilote de cryptographie NVIDIA peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0328 | A-33898322* N-CVE-2017-0328 |
Modérée | Aucun** | 24 décembre 2016 |
| CVE-2017-0330 | A-33899858* N-CVE-2017-0330 |
Modérée | Aucun** | 24 décembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Failles dans les composants Qualcomm
Ces failles affectant les composants Qualcomm ont été publiées dans les bulletins de sécurité AMSS de Qualcomm entre 2014 et 2016. Ils sont inclus dans ce bulletin de sécurité Android pour associer leurs correctifs à un niveau de correctif de sécurité Android.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2014-9931 | A-35445101** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2014-9932 | A-35434683** | Critical (Critique) | Pixel, Pixel XL | Interne Qualcomm |
| CVE-2014-9933 | A-35442512** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2014-9934 | A-35439275** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2014-9935 | A-35444951** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2014-9936 | A-35442420** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2014-9937 | A-35445102** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2015-8995 | A-35445002** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2015-8996 | A-35444658** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2015-8997 | A-35432947** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2015-8998 | A-35441175** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2015-8999 | A-35445401** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2015-9000 | A-35441076** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2015-9001 | A-35445400** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2015-9002 | A-35442421** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2015-9003 | A-35440626** | Critical (Critique) | Aucun** | Interne Qualcomm |
| CVE-2016-10242 | A-35434643** | Critical (Critique) | Aucun** | Interne Qualcomm |
* Le niveau de gravité de ces failles a été déterminé par le fournisseur.
** Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
*** Les appareils Google compatibles équipés d'Android 7.0 ou version ultérieure et sur lesquels toutes les mises à jour disponibles ont été installées ne sont pas affectés par cette faille.
Questions fréquentes et réponses
Cette section répond aux questions fréquentes qui peuvent se poser après la lecture de ce bulletin.
1. Comment savoir si mon appareil a été mis à jour pour résoudre ces problèmes ?
Pour savoir comment vérifier le niveau du correctif de sécurité d'un appareil, consultez les instructions sur le calendrier de mise à jour des Pixel et Nexus.
- Les niveaux de correctifs de sécurité du 1er avril 2017 ou version ultérieure corrigent tous les problèmes associés au niveau de correctif de sécurité du 1er avril 2017.
- Les niveaux de correctifs de sécurité du 5 avril 2017 ou version ultérieure corrigent tous les problèmes associés au niveau de correctif de sécurité du 5 avril 2017 et à tous les niveaux de correctifs précédents.
Les fabricants d'appareils qui incluent ces mises à jour doivent définir le niveau de la chaîne de correctif sur:
- [ro.build.version.security_patch]:[2017-04-01]
- [ro.build.version.security_patch]:[2017-04-05]
2. Pourquoi ce bulletin comporte-t-il deux niveaux de correctifs de sécurité ?
Ce bulletin comporte deux niveaux de correctifs de sécurité afin que les partenaires Android aient la possibilité de corriger plus rapidement un sous-ensemble de failles similaires sur tous les appareils Android. Nous encourageons les partenaires Android à corriger tous les problèmes de ce bulletin et à utiliser le dernier niveau de correctif de sécurité.
- Les appareils qui utilisent le niveau de correctif de sécurité du 1er avril 2017 doivent inclure tous les problèmes associés à ce niveau de correctif de sécurité, ainsi que les correctifs de tous les problèmes signalés dans les bulletins de sécurité précédents.
- Les appareils qui utilisent le niveau de correctif de sécurité du 5 avril 2017 ou version ultérieure doivent inclure tous les correctifs applicables dans ce bulletin de sécurité (et les précédents).
Les partenaires sont invités à regrouper les correctifs de tous les problèmes qu'ils résolvent dans une seule mise à jour.
3. Comment déterminer les appareils Google concernés par chaque problème ?
Dans les sections 2017-04-01 et 2017-04-05 sur les détails des failles de sécurité, chaque tableau comporte une colonne Appareils Google mis à jour qui couvre la plage d'appareils Google concernés par chaque problème. Cette colonne propose plusieurs options:
- Tous les appareils Google: si un problème affecte tous les appareils et les appareils Pixel, la colonne Appareils Google mis à jour indique "Tous". "Tous" encapsule les appareils compatibles suivants: Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel et Pixel XL.
- Certains appareils Google: si un problème n'affecte pas tous les appareils Google, les appareils Google concernés sont listés dans la colonne Appareils Google mis à jour.
- Aucun appareil Google: si aucun appareil Google équipé d'Android 7.0 n'est concerné par le problème, la colonne Appareils Google mis à jour indique "Aucun".
4. À quoi correspondent les entrées de la colonne "Références" ?
Les entrées de la colonne Références du tableau des détails des failles peuvent contenir un préfixe identifiant l'organisation à laquelle la valeur de référence appartient. Ces préfixes sont mappés comme suit:
| Préfixe | Référence |
|---|---|
| A- | ID du bug Android |
| QC- | Numéro de référence Qualcomm |
| M- | Numéro de référence MediaTek |
| N- | Numéro de référence NVIDIA |
| B- | Numéro de référence Broadcom |
Révisions
- 3 avril 2017: bulletin publié.
- 5 avril 2017: le bulletin a été révisé pour inclure des liens vers AOSP.
- 21 avril 2017: attribution corrigée pour CVE-2016-10231 et CVE-2017-0586.
- 27 avril 2017: CVE-2017-0540 supprimé du bulletin.
- 17 août 2017: le bulletin a été révisé pour mettre à jour les numéros de référence.