Publié le 03 avril 2017 | Mis à jour le 17 août 2017
Le bulletin de sécurité Android contient des détails sur les vulnérabilités de sécurité affectant les appareils Android. Parallèlement au bulletin, nous avons publié une mise à jour de sécurité pour les appareils Nexus via une mise à jour en direct (OTA). Les images du micrologiciel de l'appareil Google ont également été publiées sur le site Google Developer . Les niveaux de correctifs de sécurité du 5 avril 2017 ou ultérieurs résolvent tous ces problèmes. Reportez-vous au calendrier de mise à jour Pixel et Nexus pour savoir comment vérifier le niveau de correctif de sécurité d'un appareil.
Les partenaires ont été avisés des problèmes décrits dans le bulletin le 6 mars 2017 ou avant. Les correctifs de code source pour ces problèmes ont été publiés dans le référentiel Android Open Source Project (AOSP) et liés à partir de ce bulletin. Ce bulletin comprend également des liens vers des correctifs extérieurs à AOSP.
Le plus grave de ces problèmes est une vulnérabilité de sécurité critique qui pourrait permettre l'exécution de code à distance sur un appareil affecté via plusieurs méthodes telles que la messagerie électronique, la navigation Web et les MMS lors du traitement de fichiers multimédias. L' évaluation de la gravité est basée sur l'effet que l'exploitation de la vulnérabilité pourrait avoir sur un appareil affecté, en supposant que les atténuations de la plate-forme et du service sont désactivées à des fins de développement ou si elles sont contournées avec succès.
Nous n'avons eu aucun rapport d'exploitation ou d'abus actif de la part des clients de ces problèmes nouvellement signalés. Reportez-vous à la section Atténuations des services Android et Google pour plus de détails sur les protections de la plate-forme de sécurité Android et les protections de service telles que SafetyNet , qui améliorent la sécurité de la plate-forme Android.
Nous encourageons tous les clients à accepter ces mises à jour sur leurs appareils.
Annonces
- Ce bulletin contient deux chaînes de niveau de correctif de sécurité pour fournir aux partenaires Android la flexibilité de corriger plus rapidement un sous-ensemble de vulnérabilités similaires sur tous les appareils Android. Voir Questions et réponses courantes pour plus d'informations :
- 2017-04-01 : chaîne de niveau de correctif de sécurité partielle. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés au 01/04/2017 (et toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
- 2017-04-05 : chaîne complète de niveau de correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2017-04-01 et 2017-04-05 (et toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
- Les appareils Google pris en charge recevront une seule mise à jour OTA avec le niveau de correctif de sécurité du 5 avril 2017.
Atténuations des services Android et Google
Il s'agit d'un résumé des mesures d'atténuation fournies par la plate- forme de sécurité Android et les protections de service telles que SafetyNet. Ces fonctionnalités réduisent la probabilité que les vulnérabilités de sécurité puissent être exploitées avec succès sur Android.
- L'exploitation de nombreux problèmes sur Android est rendue plus difficile par les améliorations apportées aux nouvelles versions de la plate-forme Android. Nous encourageons tous les utilisateurs à mettre à jour la dernière version d'Android dans la mesure du possible.
- L'équipe de sécurité Android surveille activement les abus avec Verify Apps et SafetyNet , qui sont conçus pour avertir les utilisateurs des applications potentiellement dangereuses . Vérifier les applications est activé par défaut sur les appareils avec Google Mobile Services et est particulièrement important pour les utilisateurs qui installent des applications en dehors de Google Play. Les outils d'enracinement d'appareil sont interdits dans Google Play, mais Verify Apps avertit les utilisateurs lorsqu'ils tentent d'installer une application d'enracinement détectée, quelle que soit son origine. De plus, Verify Apps tente d'identifier et de bloquer l'installation d'applications malveillantes connues qui exploitent une vulnérabilité d'élévation de privilèges. Si une telle application a déjà été installée, Verify Apps avertira l'utilisateur et tentera de supprimer l'application détectée.
- Le cas échéant, les applications Google Hangouts et Messenger ne transmettent pas automatiquement les médias à des processus tels que Mediaserver.
Remerciements
Nous tenons à remercier ces chercheurs pour leurs contributions :
- Aravind Machiry (donfos) de l'équipe Shellphish Grill : CVE-2016-5349
- Daxing Guo ( @freener0 ) du laboratoire Xuanwu, Tencent : CVE-2017-0585, CVE-2017-0553
- Derrek ( @derrekr6 ) et Scott Bauer : CVE-2017-0576
- Gal Beniamini de Project Zero : CVE-2017-0571, CVE-2017-0570, CVE-2017-0572, CVE-2017-0569, CVE-2017-0561
- Gengjia Chen ( @chengjia4574 ) et pjf de IceSword Lab, Qihoo 360 Technology Co. Ltd. : CVE-2017-6426, CVE-2017-0581, CVE-2017-0329, CVE-2017-0332, CVE-2017-0566, CVE-2017-0573
- Guang Gong (龚广) ( @oldfresher ) de l'équipe Alpha, Qihoo 360 Technology Co. Ltd. : CVE-2017-0547
- Hao Chen et Guang Gong de l'équipe Alpha, Qihoo 360 Technology Co. Ltd. : CVE-2017-6424, CVE-2017-0584, CVE-2017-0454, CVE-2017-0574, CVE-2017-0575, CVE-2017 -0567
- Ian Foster ( @lanrat ): CVE-2017-0554
- Jack Tang de Trend Micro Inc. : CVE-2017-0579
- Jianjun Dai ( @Jioun_dai ) de Qihoo 360 Skyeye Labs : CVE-2017-0559, CVE-2017-0541
- Jianqiang Zhao ( @jianqiangzhao ) et pjf de IceSword Lab, Qihoo 360 : CVE-2017-6425, CVE-2016-5346
- Lubo Zhang ( zlbzlb815@163.com ) de l'équipe C0RE et Yonggang Guo ( @guoygang ) de IceSword Lab, Qihoo 360 Technology Co. Ltd. : CVE-2017-0564
- Mark Salyzyn de Google : CVE-2017-0558
- Mike Andereson ( @manderbot ) et Nathan Crandall ( @natecray ) de l'équipe de sécurité des produits de Tesla : CVE-2017-0327, CVE-2017-0328
- Peng Xiao, Chengming Yang, Ning You, Chao Yang et Yang song d'Alibaba Mobile Security Group : CVE-2017-0565
- Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮) et Lenx Wei (韦韬) de Baidu X-Lab (百度安全实验室) : CVE-2016-10236
- Qidan He (何淇丹 - @flanker_hqd ) de KeenLab, Tencent : CVE-2017-0544, CVE-2017-0325
- Roee Hay ( @roeehay ) de Aleph Research, HCL Technologies : CVE-2017-0582, CVE-2017-0563
- Scott Bauer ( @ScottyBauer1 ): CVE-2017-0562, CVE-2017-0339
- Seven Shen ( @lingtongshen ) de l'équipe de recherche sur les menaces mobiles de TrendMicro : CVE-2016-10231, CVE-2017-0578, CVE-2017-0586
- Tim Becker : CVE-2017-0546
- Uma Sankar Pradhan ( @umasankar_iitd ): CVE-2017-0560
- VEO ( @VYSEa ) de l'équipe de réponse aux menaces mobiles , Trend Micro : CVE-2017-0555, CVE-2017-0538, CVE-2017-0539, CVE-2017-0557, CVE-2017-0556
- Weichao Sun ( @sunblate ) d'Alibaba Inc : CVE-2017-0549
- Wenlin Yang ( @wenlin_yang ), Guang Gong ( @oldfresher ) et Hao Chen de l'équipe Alpha, Qihoo 360 Technology Co. Ltd. : CVE-2017-0580, CVE-2017-0577
- Zinuo Han du centre de réponse de sécurité de Chengdu de Qihoo 360 Technology Co. Ltd. : CVE-2017-0548
- Zubin Mithra de Google : CVE-2017-0462
2017-04-01 niveau du correctif de sécurité—Détails de la vulnérabilité
Dans les sections ci-dessous, nous fournissons des détails pour chacune des vulnérabilités de sécurité qui s'appliquent au niveau de correctif 2017-04-01. Il y a une description du problème, une justification de la gravité et un tableau avec le CVE, les références associées, la gravité, appareils Google mis à jour, versions AOSP mises à jour (le cas échéant) et date de signalement. Lorsqu'elle sera disponible, nous lierons la modification publique qui a résolu le problème à l'ID de bogue, comme la liste des modifications AOSP. Lorsque plusieurs modifications concernent un seul bogue, des références supplémentaires sont liées aux numéros suivant l'ID du bogue.
Vulnérabilité d'exécution de code à distance dans Mediaserver
Une vulnérabilité d'exécution de code à distance dans Mediaserver pourrait permettre à un attaquant utilisant un fichier spécialement conçu de provoquer une corruption de la mémoire lors du traitement du fichier multimédia et des données. Ce problème est classé critique en raison de la possibilité d'exécution de code à distance dans le contexte du processus Mediaserver.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2017-0538 | A-33641588 | Critique | Tout | 6.0, 6.0.1, 7.0, 7.1.1 | 13 décembre 2016 |
CVE-2017-0539 | A-33864300 | Critique | Tout | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 23 décembre 2016 |
CVE-2017-0541 | A-34031018 | Critique | Tout | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 1 janvier 2017 |
CVE-2017-0542 | A-33934721 | Critique | Tout | 6.0, 6.0.1, 7.0, 7.1.1 | Google interne |
CVE-2017-0543 | A-34097866 | Critique | Tout | 6.0, 6.0.1, 7.0, 7.1.1 | Google interne |
Vulnérabilité d'élévation de privilèges dans CameraBase
Une vulnérabilité d'élévation des privilèges dans CameraBase pourrait permettre à une application malveillante locale d'exécuter du code arbitraire. Ce problème est classé comme élevé car il s'agit d'une exécution locale de code arbitraire dans un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2017-0544 | A-31992879 | Haute | Tout | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 6 octobre 2016 |
Vulnérabilité d'élévation de privilèges dans Audioserver
Une vulnérabilité d'élévation des privilèges dans Audioserver pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme élevé car il pourrait être utilisé pour obtenir un accès local à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2017-0545 | A-32591350 | Haute | Tout | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 31 octobre 2016 |
Vulnérabilité d'élévation de privilèges dans SurfaceFlinger
Une vulnérabilité d'élévation des privilèges dans SurfaceFlinger pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme élevé car il pourrait être utilisé pour obtenir un accès local à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2017-0546 | A-32628763 | Haute | Tout | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 2 novembre 2016 |
Vulnérabilité de divulgation d'informations dans Mediaserver
Une vulnérabilité de divulgation d'informations dans Mediaserver pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme élevé car il s'agit d'un contournement général des protections du système d'exploitation qui isolent les données d'application des autres applications.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2017-0547 | A-33861560 | Haute | Tout | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 22 décembre 2016 |
Vulnérabilité de déni de service dans libskia
Une vulnérabilité de déni de service à distance dans libskia pourrait permettre à un attaquant d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un périphérique. Ce problème est classé comme étant de gravité élevée en raison de la possibilité d'un déni de service à distance.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2017-0548 | A-33251605 | Haute | Tout | 7.0, 7.1.1 | 29 novembre 2016 |
Vulnérabilité de déni de service dans Mediaserver
Une vulnérabilité de déni de service à distance dans Mediaserver pourrait permettre à un attaquant d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme étant de gravité élevée en raison de la possibilité d'un déni de service à distance.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2017-0549 | A-33818508 | Haute | Tout | 6.0, 6.0.1, 7.0, 7.1.1 | 20 décembre 2016 |
CVE-2017-0550 | A-33933140 | Haute | Tout | 6.0, 6.0.1, 7.0, 7.1.1 | Google interne |
CVE-2017-0551 | A-34097231 [ 2 ] | Haute | Tout | 6.0, 6.0.1, 7.0, 7.1.1 | Google interne |
CVE-2017-0552 | A-34097915 | Haute | Tout | 6.0, 6.0.1, 7.0, 7.1.1 | Google interne |
Vulnérabilité d'élévation de privilèges dans libnl
Une vulnérabilité d'élévation des privilèges dans libnl pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du service Wi-Fi. Ce problème est classé comme modéré car il nécessite d'abord de compromettre un processus privilégié et est atténué par les configurations de plate-forme actuelles.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2017-0553 | A-32342065 | Modéré | Tout | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 21 octobre 2016 |
Vulnérabilité d'élévation de privilèges dans la téléphonie
Une vulnérabilité d'élévation des privilèges dans le composant de téléphonie pourrait permettre à une application malveillante locale d'accéder à des fonctionnalités en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré car il pourrait être utilisé pour accéder à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2017-0554 | A-33815946 [ 2 ] | Modéré | Tout | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 20 décembre 2016 |
Vulnérabilité de divulgation d'informations dans Mediaserver
Une vulnérabilité de divulgation d'informations dans Mediaserver pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder à des données sans autorisation.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2017-0555 | A-33551775 | Modéré | Tout | 6.0, 6.0.1, 7.0, 7.1.1 | 12 décembre 2016 |
CVE-2017-0556 | A-34093952 | Modéré | Tout | 6.0, 6.0.1, 7.0, 7.1.1 | 4 janvier 2017 |
CVE-2017-0557 | A-34093073 | Modéré | Tout | 6.0, 6.0.1, 7.0, 7.1.1 | 4 janvier 2017 |
CVE-2017-0558 | A-34056274 | Modéré | Tout | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Google interne |
Vulnérabilité de divulgation d'informations dans libskia
Une vulnérabilité de divulgation d'informations dans libskia pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder à des données sans autorisation.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2017-0559 | A-33897722 | Modéré | Tout | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 25 décembre 2016 |
Vulnérabilité de divulgation d'informations dans Factory Reset
Une vulnérabilité de divulgation d'informations dans le processus de réinitialisation d'usine pourrait permettre à un attaquant malveillant local d'accéder aux données du propriétaire précédent. Ce problème est classé comme modéré en raison de la possibilité de contourner la protection de l'appareil.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2017-0560 | A-30681079 | Modéré | Tout | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | Google interne |
2017-04-05 niveau du correctif de sécurité—Détails de la vulnérabilité
Dans les sections ci-dessous, nous fournissons des détails pour chacune des vulnérabilités de sécurité qui s'appliquent au niveau de correctif 2017-04-05. Il y a une description du problème, une justification de la gravité et un tableau avec le CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsqu'elle sera disponible, nous lierons la modification publique qui a résolu le problème à l'ID de bogue, comme la liste des modifications AOSP. Lorsque plusieurs modifications concernent un seul bogue, des références supplémentaires sont liées aux numéros suivant l'ID du bogue.
Vulnérabilité d'exécution de code à distance dans le micrologiciel Wi-Fi Broadcom
Une vulnérabilité d'exécution de code à distance dans le micrologiciel Wi-Fi de Broadcom pourrait permettre à un attaquant distant d'exécuter du code arbitraire dans le contexte du SoC Wi-Fi. Ce problème est classé critique en raison de la possibilité d'exécution de code à distance dans le contexte du SoC Wi-Fi.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0561 | A-34199105* B-RB#110814 | Critique | Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player | 9 janvier 2017 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
Vulnérabilité d'exécution de code à distance dans le pilote du moteur de chiffrement Qualcomm
Une vulnérabilité d'exécution de code à distance dans le pilote du moteur de chiffrement Qualcomm pourrait permettre à un attaquant distant d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé critique en raison de la possibilité d'exécution de code à distance dans le contexte du noyau.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2016-10230 | A-34389927 QC-CR#1091408 | Critique | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One | 10 janvier 2017 |
Vulnérabilité d'exécution de code à distance dans le sous-système de mise en réseau du noyau
Une vulnérabilité d'exécution de code à distance dans le sous-système réseau du noyau pourrait permettre à un attaquant distant d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé critique en raison de la possibilité d'exécution de code à distance dans le contexte du noyau.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2016-10229 | A-32813456 Noyau en amont | Critique | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Pixel C, Android One, Nexus Player | Google interne |
Vulnérabilité d'élévation de privilèges dans le pilote d'écran tactile MediaTek
Une vulnérabilité d'élévation des privilèges dans le pilote d'écran tactile MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0562 | A-30202425* M-ALPS02898189 | Critique* | Aucun** | 16 juil. 2016 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.
Vulnérabilité d'élévation de privilèges dans le pilote d'écran tactile HTC
Une vulnérabilité d'élévation des privilèges dans le pilote de l'écran tactile HTC pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0563 | A-32089409* | Critique | Nexus 9 | 9 octobre 2016 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
Vulnérabilité d'élévation de privilèges dans le sous-système ION du noyau
Une vulnérabilité d'élévation des privilèges dans le sous-système ION du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0564 | A-34276203* | Critique | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Pixel C, Android One, Nexus Player | 12 janvier 2017 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
Vulnérabilités dans les composants Qualcomm
Ces vulnérabilités affectent les composants Qualcomm et sont décrites plus en détail dans le bulletin de sécurité Qualcomm AMSS d'octobre 2016.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2016-10237 | A-31628601** QC-CR#1046751 | Critique | Aucun** | Qualcomm interne |
CVE-2016-10238 | A-35358527** QC-CR#1042558 | Critique | Aucun*** | Qualcomm interne |
CVE-2016-10239 | A-31624618** QC-CR#1032929 | Haute | Pixel, PixelXL | Qualcomm interne |
* L'indice de gravité de ces vulnérabilités a été déterminé par le fournisseur.
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
*** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.
Vulnérabilité d'exécution de code à distance dans la v8
Une vulnérabilité d'exécution de code à distance dans la v8 pourrait permettre à des attaquants distants d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme élevé en raison de la possibilité d'exécution de code à distance sur les sites Web.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2016-5129 | A-29178923 | Haute | Aucun* | 6.0, 6.0.1, 7.0 | 20 juil. 2016 |
* Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.
Vulnérabilité d'exécution de code à distance dans Freetype
Une vulnérabilité d'exécution de code à distance dans Freetype pourrait permettre à une application malveillante locale de charger une police spécialement conçue pour provoquer une corruption de la mémoire dans un processus non privilégié. Ce problème est classé comme élevé en raison de la possibilité d'exécution de code à distance dans une application qui utilise cette bibliothèque.
CVE | Références | Gravité | Appareils Google mis à jour | Versions AOSP mises à jour | Date du rapport |
---|---|---|---|---|---|
CVE-2016-10244 | A-31470908 | Haute | Aucun* | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 13 septembre 2016 |
* Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.
Vulnérabilité d'élévation de privilèges dans le sous-système audio du noyau
Une vulnérabilité d'élévation des privilèges dans le sous-système audio du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2014-4656 | A-34464977 Noyau en amont | Haute | Nexus 6, lecteur Nexus | 26 juin 2014 |
Vulnérabilité d'élévation de privilèges dans le pilote de chiffrement NVIDIA
Une vulnérabilité d'élévation des privilèges dans le pilote de chiffrement NVIDIA pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0339 | A-27930566* N-CVE-2017-0339 | Haute | Nexus 9 | 29 mars 2016 |
CVE-2017-0332 | A-33812508* N-CVE-2017-0332 | Haute | Nexus 9 | 21 décembre 2016 |
CVE-2017-0327 | A-33893669* N-CVE-2017-0327 | Haute | Nexus 9 | 24 décembre 2016 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
Vulnérabilité d'élévation de privilèges dans le pilote thermique MediaTek
Une vulnérabilité d'élévation des privilèges dans le pilote thermique MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0565 | A-28175904* M-ALPS02696516 | Haute | Aucun** | 11 avril 2016 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.
Vulnérabilité d'élévation de privilèges dans le pilote de caméra MediaTek
Une vulnérabilité d'élévation des privilèges dans le pilote de caméra MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0566 | A-28470975* M-ALPS02696367 | Haute | Aucun** | 29 avril 2016 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.
Vulnérabilité d'élévation de privilèges dans le pilote Wi-Fi Broadcom
Une vulnérabilité d'élévation des privilèges dans le pilote Wi-Fi Broadcom pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0567 | A-32125310* B-RB#112575 | Haute | Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player | 12 octobre 2016 |
CVE-2017-0568 | A-34197514* B-RB#112600 | Haute | Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player | 9 janvier 2017 |
CVE-2017-0569 | A-34198729* B-RB#110666 | Haute | Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player | 9 janvier 2017 |
CVE-2017-0570 | A-34199963* B-RB#110688 | Haute | Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player | 9 janvier 2017 |
CVE-2017-0571 | A-34203305* B-RB#111541 | Haute | Nexus 6, Nexus 6P, Pixel C, Nexus Player | 9 janvier 2017 |
CVE-2017-0572 | A-34198931* B-RB#112597 | Haute | Aucun** | 9 janvier 2017 |
CVE-2017-0573 | A-34469904* B-RB#91539 | Haute | Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player | 18 janvier 2017 |
CVE-2017-0574 | A-34624457* B-RB#113189 | Haute | Nexus 6, Nexus 6P, Nexus 9, Pixel C | 22 janvier 2017 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.
Vulnérabilité d'élévation de privilèges dans le pilote Wi-Fi Qualcomm
Une vulnérabilité d'élévation des privilèges dans le pilote Wi-Fi Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0575 | A-32658595* QC-CR#1103099 | Haute | Nexus 5X, Pixel, Pixel XL | 3 novembre 2016 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
Vulnérabilité d'élévation de privilèges dans le pilote NVIDIA I2C HID
Une vulnérabilité d'élévation des privilèges dans le pilote NVIDIA I2C HID pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0325 | A-33040280* N-CVE-2017-0325 | Haute | Nexus 9, Pixel C | 20 novembre 2016 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
Vulnérabilité d'élévation de privilèges dans le pilote audio Qualcomm
Une vulnérabilité d'élévation des privilèges dans le pilote audio Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0454 | A-33353700 QC-CR#1104067 | Haute | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 5 décembre 2016 |
Vulnérabilité d'élévation de privilèges dans le pilote du moteur de chiffrement Qualcomm
Une vulnérabilité d'élévation des privilèges dans le pilote du moteur de chiffrement Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0576 | A-33544431 QC-CR#1103089 | Haute | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One | 9 décembre 2016 |
Vulnérabilité d'élévation de privilèges dans le pilote d'écran tactile HTC
Une vulnérabilité d'élévation des privilèges dans le pilote de l'écran tactile HTC pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0577 | A-33842951* | Haute | Aucun** | 21 décembre 2016 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.
Vulnérabilité d'élévation de privilèges dans le pilote audio DTS
Une vulnérabilité d'élévation des privilèges dans le pilote audio DTS pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0578 | A-33964406* | Haute | Aucun** | 28 décembre 2016 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.
Vulnérabilité d'élévation de privilèges dans le pilote de codec audio Qualcomm
Une vulnérabilité d'élévation des privilèges dans le pilote du codec audio Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2016-10231 | A-33966912 QC-CR#1096799 | Haute | Pixel, PixelXL | 29 décembre 2016 |
Vulnérabilité d'élévation de privilèges dans le pilote vidéo Qualcomm
Une vulnérabilité d'élévation des privilèges dans le pilote vidéo Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0579 | A-34125463* QC-CR#1115406 | Haute | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 5 janvier 2017 |
CVE-2016-10232 | A-34386696 QC-CR#1024872 [2] | Haute | Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One | 10 janvier 2017 |
CVE-2016-10233 | A-34389926 QC-CR#897452 | Haute | Aucun** | 10 janvier 2017 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.
Vulnérabilité d'élévation de privilèges dans le pilote du processeur de démarrage et de gestion de l'alimentation NVIDIA
Une vulnérabilité d'élévation des privilèges dans le pilote du processeur de démarrage et de gestion de l'alimentation NVIDIA pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du processeur de démarrage et de gestion de l'alimentation. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0329 | A-34115304* N-CVE-2017-0329 | Haute | Pixel C | 5 janvier 2017 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
Vulnérabilité d'élévation de privilèges dans le pilote d'écran tactile Synaptics
Une vulnérabilité d'élévation des privilèges dans le pilote Synaptics Touchscreen pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0580 | A-34325986* | Haute | Aucun** | 16 janvier 2017 |
CVE-2017-0581 | A-34614485* | Haute | Aucun** | 22 janvier 2017 |
* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .
** Les appareils Google pris en charge sur Android 7.0 ou version ultérieure qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.
Vulnérabilité d'élévation de privilèges dans le pilote Qualcomm Seemp
Une vulnérabilité d'élévation des privilèges dans le pilote Qualcomm Seemp pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-0462 | A-33353601 QC-CR#1102288 | Haute | Pixel, PixelXL | Google interne |
Vulnérabilité d'élévation de privilèges dans le pilote Qualcomm Kyro L2
Une vulnérabilité d'élévation des privilèges dans le pilote Qualcomm Kyro L2 pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2017-6423 | A-32831370 QC-CR#1103158 | Haute | Pixel, PixelXL | Google interne |
Vulnérabilité d'élévation de privilèges dans le système de fichiers du noyau
Une vulnérabilité d'élévation des privilèges dans le système de fichiers du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2014-9922 | A-32761463 Noyau en amont | Haute | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Android One, Nexus Player | 24 octobre 2014 |
Vulnérabilité de divulgation d'informations dans le sous-système de mémoire du noyau
Une vulnérabilité de divulgation d'informations dans le sous-système de mémoire du noyau pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme élevé car il pourrait être utilisé pour accéder à des données sensibles sans l'autorisation explicite de l'utilisateur.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2014-0206 | A-34465735 Noyau en amont | Haute | Nexus 6, lecteur Nexus | 6 mai 2014 |
Vulnérabilité de divulgation d'informations dans le sous-système de mise en réseau du noyau
Une vulnérabilité de divulgation d'informations dans le sous-système réseau du noyau pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme élevé car il pourrait être utilisé pour accéder à des données sensibles sans l'autorisation explicite de l'utilisateur.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2014-3145 | A-34469585 Noyau amont [2] | Haute | Nexus 6, lecteur Nexus | 9 mai 2014 |
Vulnérabilité de divulgation d'informations dans Qualcomm TrustZone
Une vulnérabilité de divulgation d'informations dans la Qualcomm TrustZone pourrait permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme élevé car il pourrait être utilisé pour accéder à des données sensibles sans l'autorisation explicite de l'utilisateur.
CVE | Références | Gravité | Appareils Google mis à jour | Date du rapport |
---|---|---|---|---|
CVE-2016-5349 | A-29083830 QC-CR#1021945 [2] [3] [4] | Haute | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One | Jun 1, 2016 |
Information disclosure vulnerability in Qualcomm IPA driver
An information disclosure vulnerability in the Qualcomm IPA driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as High because it could be used to access sensitive data without explicit user permission.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2016-10234 | A-34390017 QC-CR#1069060 [2] | Haute | Nexus 5X, Nexus 6P, Pixel, Pixel XL | Jan 10, 2017 |
Denial of service vulnerability in kernel networking subsystem
A denial of service vulnerability in the kernel networking subsystem could enable a remote attacker to use a specially crafted network packet to cause a device hang or reboot. This issue is rated as High due to the possibility of remote denial of service.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2014-2706 | A-34160553 Noyau en amont | Haute | Nexus Player | Apr 1, 2014 |
Denial of service vulnerability in Qualcomm Wi-Fi driver
A denial of service vulnerability in the Qualcomm Wi-Fi driver could enable a proximate attacker to cause a denial of service in the Wi-Fi subsystem. This issue is rated as High due to the possibility of remote denial of service.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2016-10235 | A-34390620 QC-CR#1046409 | Haute | None** | Jan 10, 2017 |
** Supported Google devices on Android 7.0 or later that have installed all available updates are not affected by this vulnerability.
Elevation of privilege vulnerability in kernel file system
An elevation of privilege vulnerability in the kernel file system could enable a local malicious application to execute arbitrary code outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process and is mitigated by current platform configurations.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2016-7097 | A-32458736 Noyau en amont | Modéré | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Nexus Player | Aug 28, 2016 |
Elevation of privilege vulnerability in Qualcomm Wi-Fi driver
An elevation of privilege vulnerability in the Qualcomm Wi-Fi driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as Moderate because it first requires compromising a privileged process and because of vulnerability specific details which limit the impact of the issue.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2017-6424 | A-32086742 QC-CR#1102648 | Modéré | Nexus 5X, Pixel, Pixel XL, Android One | Oct 9, 2016 |
Elevation of privilege vulnerability in Broadcom Wi-Fi driver
An elevation of privilege vulnerability in the Broadcom Wi-Fi driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as Moderate because it first requires compromising a privileged process and is mitigated by current platform configurations.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2016-8465 | A-32474971* B-RB#106053 | Modéré | Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player | Oct 27, 2016 |
* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .
Elevation of privilege vulnerability in HTC OEM fastboot command
An elevation of privilege vulnerability in the HTC OEM fastboot command could enable a local malicious application to execute arbitrary code within the context of the sensor hub. This issue is rated as Moderate because it first requires exploitation of separate vulnerabilities.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2017-0582 | A-33178836* | Modéré | Nexus 9 | Nov 28, 2016 |
* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .
Elevation of privilege vulnerability in Qualcomm CP access driver
An elevation of privilege vulnerability in the Qualcomm CP access driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as Moderate because it first requires compromising a privileged process and because of vulnerability specific details which limit the impact of the issue.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2017-0583 | A-32068683 QC-CR#1103788 | Modéré | Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One | Google internal |
Information disclosure vulnerability in kernel media driver
An information disclosure vulnerability in the kernel media driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2014-1739 | A-34460642 Noyau en amont | Modéré | Nexus 6, Nexus 9, Nexus Player | Jun 15, 2014 |
Information disclosure vulnerability in Qualcomm Wi-Fi driver
An information disclosure vulnerability in the Qualcomm Wi-Fi driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2017-0584 | A-32074353* QC-CR#1104731 | Modéré | Nexus 5X, Pixel, Pixel XL | Oct 9, 2016 |
* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .
Information disclosure vulnerability in Broadcom Wi-Fi driver
An information disclosure vulnerability in the Broadcom Wi-Fi driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2017-0585 | A-32475556* B-RB#112953 | Modéré | Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player | Oct 27, 2016 |
* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .
Information disclosure vulnerability in Qualcomm Avtimer driver
An information disclosure vulnerability in the Qualcomm Avtimer driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2016-5346 | A-32551280 QC-CR#1097878 | Modéré | Pixel, Pixel XL | Oct 29, 2016 |
Information disclosure vulnerability in Qualcomm video driver
An information disclosure vulnerability in the Qualcomm video driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2017-6425 | A-32577085 QC-CR#1103689 | Modéré | Pixel, Pixel XL | Oct 29, 2016 |
Information disclosure vulnerability in Qualcomm USB driver
An information disclosure vulnerability in the Qualcomm USB driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2016-10236 | A-33280689 QC-CR#1102418 | Modéré | Pixel, Pixel XL | Nov 30, 2016 |
Information disclosure vulnerability in Qualcomm sound driver
An information disclosure vulnerability in the Qualcomm sound driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2017-0586 | A-33649808 QC-CR#1097569 | Modéré | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One | Dec 13, 2016 |
Information disclosure vulnerability in Qualcomm SPMI driver
An information disclosure vulnerability in the Qualcomm SPMI driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2017-6426 | A-33644474 QC-CR#1106842 | Modéré | Pixel, Pixel XL | Dec 14, 2016 |
Information disclosure vulnerability in NVIDIA crypto driver
An information disclosure vulnerability in the NVIDIA crypto driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2017-0328 | A-33898322* N-CVE-2017-0328 | Modéré | None** | Dec 24, 2016 |
CVE-2017-0330 | A-33899858* N-CVE-2017-0330 | Modéré | None** | Dec 24, 2016 |
* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .
** Supported Google devices on Android 7.0 or later that have installed all available updates are not affected by this vulnerability.
Vulnerabilities in Qualcomm components
These vulnerabilities affecting Qualcomm components were released as part of Qualcomm AMSS security bulletins between 2014–2016. They are included in this Android security bulletin to associate their fixes with an Android security patch level.
CVE | Références | Gravité | Updated Google devices | Date reported |
---|---|---|---|---|
CVE-2014-9931 | A-35445101** | Critique | None** | Qualcomm internal |
CVE-2014-9932 | A-35434683** | Critique | Pixel, Pixel XL | Qualcomm internal |
CVE-2014-9933 | A-35442512** | Critique | None** | Qualcomm internal |
CVE-2014-9934 | A-35439275** | Critique | None** | Qualcomm internal |
CVE-2014-9935 | A-35444951** | Critique | None** | Qualcomm internal |
CVE-2014-9936 | A-35442420** | Critique | None** | Qualcomm internal |
CVE-2014-9937 | A-35445102** | Critique | None** | Qualcomm internal |
CVE-2015-8995 | A-35445002** | Critique | None** | Qualcomm internal |
CVE-2015-8996 | A-35444658** | Critique | None** | Qualcomm internal |
CVE-2015-8997 | A-35432947** | Critique | None** | Qualcomm internal |
CVE-2015-8998 | A-35441175** | Critique | None** | Qualcomm internal |
CVE-2015-8999 | A-35445401** | Critique | None** | Qualcomm internal |
CVE-2015-9000 | A-35441076** | Critique | None** | Qualcomm internal |
CVE-2015-9001 | A-35445400** | Critique | None** | Qualcomm internal |
CVE-2015-9002 | A-35442421** | Critique | None** | Qualcomm internal |
CVE-2015-9003 | A-35440626** | Critique | None** | Qualcomm internal |
CVE-2016-10242 | A-35434643** | Critique | None** | Qualcomm internal |
* The severity rating for these vulnerabilities was determined by the vendor.
** The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .
*** Supported Google devices on Android 7.0 or later that have installed all available updates are not affected by this vulnerability.
Common Questions and Answers
Cette section répond aux questions courantes qui peuvent survenir après la lecture de ce bulletin.
1. Comment puis-je déterminer si mon appareil est mis à jour pour résoudre ces problèmes ?
To learn how to check a device's security patch level, read the instructions on the Pixel and Nexus update schedule .
- Security patch levels of 2017-04-01 or later address all issues associated with the 2017-04-01 security patch level.
- Security patch levels of 2017-04-05 or later address all issues associated with the 2017-04-05 security patch level and all previous patch levels.
Les fabricants d'appareils qui incluent ces mises à jour doivent définir le niveau de chaîne de correctif sur :
- [ro.build.version.security_patch]:[2017-04-01]
- [ro.build.version.security_patch]:[2017-04-05]
2. Pourquoi ce bulletin comporte-t-il deux niveaux de correctifs de sécurité ?
Ce bulletin comporte deux niveaux de correctifs de sécurité afin que les partenaires Android aient la possibilité de corriger plus rapidement un sous-ensemble de vulnérabilités similaires sur tous les appareils Android. Les partenaires Android sont encouragés à résoudre tous les problèmes mentionnés dans ce bulletin et à utiliser le dernier niveau de correctif de sécurité.
- Devices that use the April 01, 2017 security patch level must include all issues associated with that security patch level, as well as fixes for all issues reported in previous security bulletins.
- Devices that use the security patch level of April 05, 2017 or newer must include all applicable patches in this (and previous) security bulletins.
Les partenaires sont encouragés à regrouper les correctifs pour tous les problèmes qu'ils traitent dans une seule mise à jour.
3. How do I determine which Google devices are affected by each issue?
In the 2017-04-01 and 2017-04-05 security vulnerability details sections, each table has an Updated Google devices column that covers the range of affected Google devices updated for each issue. This column has a few options:
- All Google devices : If an issue affects All and Pixel devices, the table will have "All" in the Updated Google devices column. "All" encapsulates the following supported devices : Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel, and Pixel XL.
- Some Google devices : If an issue doesn't affect all Google devices, the affected Google devices are listed in the Updated Google devices column.
- No Google devices : If no Google devices running Android 7.0 are affected by the issue, the table will have "None" in the Updated Google devices column.
4. What do the entries in the references column map to?
Les entrées sous la colonne Références du tableau des détails de la vulnérabilité peuvent contenir un préfixe identifiant l'organisation à laquelle appartient la valeur de référence. These prefixes map as follows:
Préfixe | Référence |
---|---|
UN- | ID de bogue Android |
QC- | Numéro de référence Qualcomm |
M- | Numéro de référence MediaTek |
N- | Numéro de référence NVIDIA |
B- | Numéro de référence Broadcom |
Revisions
- April 03, 2017: Bulletin published.
- April 05, 2017: Bulletin revised to include AOSP links.
- April 21, 2017: Attribution for CVE-2016-10231 and CVE-2017-0586 corrected.
- April 27, 2017: CVE-2017-0540 removed from bulletin.
- August 17, 2017: Bulletin revised to update reference numbers.