Publié le 1er mai 2017 | Mis à jour le 3 octobre 2017
Le bulletin de sécurité Android contient des informations sur les failles de sécurité affectant les appareils Android. En plus de ce bulletin, nous avons publié une mise à jour de sécurité pour les appareils Nexus via une mise à jour Over The Air (OTA). Les images du micrologiciel des appareils Google ont également été publiées sur le site des développeurs Google. Les niveaux de correctifs de sécurité du 5 mai 2017 ou ultérieurs résolvent tous ces problèmes. Consultez le calendrier de mise à jour des Pixel et Nexus pour savoir comment vérifier le niveau du correctif de sécurité d'un appareil.
Les partenaires ont été informés des problèmes décrits dans le bulletin le 3 avril 2017 ou avant. Des correctifs de code source pour ces problèmes ont été publiés dans le dépôt du projet Android Open Source (AOSP) et sont disponibles en lien depuis ce bulletin. Ce bulletin inclut également des liens vers des correctifs en dehors d'AOSP.
Le plus grave de ces problèmes est une faille de sécurité critique qui pourrait permettre l'exécution de code à distance sur un appareil affecté via plusieurs méthodes, telles que la messagerie, la navigation sur le Web et les MMS lors du traitement de fichiers multimédias. L'évaluation de la gravité est basée sur l'impact potentiel de l'exploitation de la faille sur un appareil concerné, en supposant que les mesures d'atténuation de la plate-forme et du service soient désactivées à des fins de développement ou qu'elles soient contournées.
Nous n'avons reçu aucun signalement d'exploitation ou d'utilisation abusive active de ces problèmes récemment signalés par les clients. Consultez la section Mitigations des services Android et Google pour en savoir plus sur les protections de la plate-forme de sécurité Android et les protections de services telles que SafetyNet, qui améliorent la sécurité de la plate-forme Android.
Nous encourageons tous les clients à accepter ces mises à jour sur leurs appareils.
Annonces
- Ce bulletin contient deux chaînes de niveau de correctif de sécurité afin de permettre aux partenaires Android de corriger plus rapidement un sous-ensemble de failles similaires sur tous les appareils Android. Pour en savoir plus, consultez les questions fréquentes et réponses :
- 2017-05-01: chaîne partielle du niveau du correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2017-05-01 (et à toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
- 2017-05-05: chaîne complète du niveau du correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2017-05-01 et 2017-05-05 (et à toutes les chaînes de niveau de correctif de sécurité précédentes) sont résolus.
- Les appareils Google compatibles recevront une seule mise à jour OTA avec le niveau de correctif de sécurité du 5 mai 2017.
Stratégies d'atténuation pour les services Android et Google
Voici un résumé des mesures d'atténuation fournies par la plate-forme de sécurité Android et les protections de service telles que SafetyNet. Ces fonctionnalités réduisent la probabilité que des failles de sécurité puissent être exploitées avec succès sur Android.
- Les améliorations apportées aux versions plus récentes de la plate-forme Android rendent l'exploitation de nombreux problèmes sur Android plus difficile. Nous encourageons tous les utilisateurs à passer à la dernière version d'Android dans la mesure du possible.
- L'équipe Android Security surveille activement les utilisations abusives à l'aide de Verify Apps et SafetyNet, qui sont conçus pour avertir les utilisateurs des applications potentiellement dangereuses. Vérifier les applications est activé par défaut sur les appareils équipés des services mobiles Google. Il est particulièrement important pour les utilisateurs qui installent des applications en dehors de Google Play. Les outils de rootage d'appareils sont interdits sur Google Play, mais Vérifier les applications avertit les utilisateurs lorsqu'ils tentent d'installer une application de rootage détectée, quelle que soit son origine. De plus, Verify Apps tente d'identifier et de bloquer l'installation d'applications malveillantes connues qui exploitent une faille d'escalade de privilèges. Si une telle application a déjà été installée, Vérifier les applications en informe l'utilisateur et tente de la supprimer.
- Le cas échéant, les applications Google Hangouts et Messenger ne transfèrent pas automatiquement les contenus multimédias à des processus tels que Mediaserver.
Remerciements
Nous tenons à remercier ces chercheurs pour leur contribution:
- ADlab de Venustech: CVE-2017-0630
- Di Shen (@returnsme) de KeenLab (@keen_lab), Tencent : CVE-2016-10287
- Ecular Xu (徐健) de Trend Micro: CVE-2017-0599, CVE-2017-0635
- En He (@heeeeen4x) et Bo Liu de la MS509Team: CVE-2017-0601
- Ethan Yonker du Team Win Recovery Project : CVE-2017-0493
- Gengjia Chen (@chengjia4574) et pjf du laboratoire IceSword, Qihoo 360 Technology Co., Ltd. : CVE-2016-10285, CVE-2016-10288, CVE-2016-10290, CVE-2017-0624, CVE-2017-0616, CVE-2017-0617, CVE-2016-10294, CVE-2016-10295, CVE-2016-10296
- godzheng (郑文选 @VirtualSeekers) de Tencent PC Manager: CVE-2017-0602
- Güliz Seray Tuncay de l'Université de l'Illinois à Urbana-Champaign: CVE-2017-0593
- Hao Chen et Guang Gong de l'équipe Alpha, Qihoo 360 Technology Co. Ltd : CVE-2016-10283
- Juhu Nie, Yang Cheng, Nan Li et Qiwu Huang de Xiaomi Inc. : CVE-2016-10276
- Michał Bednarski : CVE-2017-0598
- Nathan Crandall (@natecray) de l'équipe chargée de la sécurité des produits de Tesla: CVE-2017-0331, CVE-2017-0606
- Niky1235 (@jiych_guru): CVE-2017-0603
- Peng Xiao, Chengming Yang, Ning You, Chao Yang et Yang Song du groupe de sécurité mobile d'Alibaba: CVE-2016-10281, CVE-2016-10280
- Roee Hay (@roeehay) de Aleph Research: CVE-2016-10277
- Scott Bauer (@ScottyBauer1): CVE-2016-10274
- Tong Lin, Yuan-Tsung Lo et Xuxian Jiang de l'équipe C0RE: CVE-2016-10291
- Vasily Vasiliev: CVE-2017-0589
- V.E.O (@VYSEa) de la Mobile Threat Response Team, Trend Micro : CVE-2017-0590, CVE-2017-0587, CVE-2017-0600
- Xiling Gong du département de la plate-forme de sécurité de Tencent: CVE-2017-0597
- Xingyuan Lin de l'équipe 360 Marvel: CVE-2017-0627
- Yong Wang (王勇) (@ThomasKing2014) d'Alibaba Inc. : CVE-2017-0588
- Yonggang Guo (@guoygang) du laboratoire IceSword, Qihoo 360 Technology Co. Ltd: CVE-2016-10289, CVE-2017-0465
- Yu Pan de l'équipe Vulpecker, Qihoo 360 Technology Co. Ltd: CVE-2016-10282, CVE-2017-0615
- Yu Pan et Peide Zhang de l'équipe Vulpecker, Qihoo 360 Technology Co. Ltd : CVE-2017-0618, CVE-2017-0625
Niveau du correctif de sécurité 01/05/2017 : détails de la faille
Dans les sections ci-dessous, nous fournissons des informations sur chacune des failles de sécurité qui s'appliquent au niveau de correctif 01/05/2017. Vous trouverez une description du problème, une justification de la gravité et un tableau contenant l'ID de la faille CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsque disponible, nous associerons la modification publique qui a résolu le problème à l'ID du bug, comme dans la liste des modifications AOSP. Lorsque plusieurs modifications concernent un même bug, des références supplémentaires sont associées à des numéros qui suivent l'ID du bug.
Vulnérabilité d'exécution de code à distance dans Mediaserver
Une faille d'exécution de code à distance dans Mediaserver peut permettre à un pirate informatique utilisant un fichier spécialement conçu de corrompre la mémoire lors du traitement des fichiers multimédias et des données. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans le contexte du processus Mediaserver.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0587 | A-35219737 | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | 4 janvier 2017 |
| CVE-2017-0588 | A-34618607 | Critical (Critique) | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | 21 janvier 2017 |
| CVE-2017-0589 | A-34897036 | Critical (Critique) | Tous | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | 1er février 2017 |
| CVE-2017-0590 | A-35039946 | Critical (Critique) | Tous | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | 6 février 2017 |
| CVE-2017-0591 | A-34097672 | Critical (Critique) | Tous | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | Réservé à Google |
| CVE-2017-0592 | A-34970788 | Critical (Critique) | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | Réservé à Google |
Vulnérabilité d'escalade de privilèges dans les API du framework
Une faille d'escalade de privilèges dans les API du framework peut permettre à une application malveillante locale d'obtenir l'accès à des autorisations personnalisées. Ce problème est classé comme "Élevé", car il s'agit d'un contournement général des protections du système d'exploitation qui isolent les données d'application des autres applications.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0593 | A-34114230 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | 5 janvier 2017 |
Faille d'élévation des droits dans Mediaserver
Une faille d'escalade de privilèges dans Mediaserver peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme critique, car il pourrait être utilisé pour accéder localement à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0594 | A-34617444 | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | 22 janvier 2017 |
| CVE-2017-0595 | A-34705519 | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 24 janvier 2017 |
| CVE-2017-0596 | A-34749392 | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 | 24 janvier 2017 |
Faille d'élévation des droits dans Audioserver
Une faille d'escalade de privilèges dans Audioserver peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme critique, car il pourrait être utilisé pour accéder localement à des fonctionnalités élevées, qui ne sont normalement pas accessibles à une application tierce.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0597 | A-34749571 | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | 25 janvier 2017 |
Faille de divulgation d'informations dans les API du framework
Une faille de divulgation d'informations dans les API du framework peut permettre à une application malveillante locale de contourner les protections du système d'exploitation qui isolent les données d'application des autres applications. Ce problème est classé comme "Élevé", car il pourrait être utilisé pour accéder à des données auxquelles l'application n'a pas accès.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0598 | A-34128677 [2] | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | 6 janvier 2017 |
Faille de déni de service dans Mediaserver
Une faille de déni de service à distance dans Mediaserver peut permettre à un pirate informatique d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme étant de gravité élevée en raison de la possibilité d'un déni de service à distance.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0599 | A-34672748 | Élevée | Tous | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | Jan 23, 2017 |
| CVE-2017-0600 | A-35269635 | Élevée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | 10 février 2017 |
Faille d'élévation des droits dans Bluetooth
Une faille d'escalade de privilèges dans le Bluetooth pourrait potentiellement permettre à une application malveillante locale d'accepter des fichiers dangereux partagés via Bluetooth sans l'autorisation de l'utilisateur. Ce problème est classé comme modéré en raison du contournement local des exigences d'interaction avec l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0601 | A-35258579 | Modérée | Tous | 7.0, 7.1.1, 7.1.2 | 9 février 2017 |
Faille de divulgation d'informations dans le chiffrement basé sur les fichiers
Une faille de divulgation d'informations dans le chiffrement basé sur les fichiers peut permettre à un pirate informatique local malveillant de contourner les protections du système d'exploitation pour l'écran de verrouillage. Ce problème est classé comme modéré, car il est possible de contourner l'écran de verrouillage.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0493 | A-32793550 [2] [3] | Modérée | Tous | 7.0, 7.1.1 | Nov 9, 2016 |
Faille de divulgation d'informations dans le Bluetooth
Une faille de divulgation d'informations dans le Bluetooth peut permettre à une application malveillante locale de contourner les protections du système d'exploitation qui isolent les données de l'application des autres applications. Ce problème est classé comme modéré en raison de détails spécifiques à la faille.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0602 | A-34946955 | Modérée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | 5 décembre 2016 |
Faille de divulgation d'informations dans OpenSSL et BoringSSL
Une faille de divulgation d'informations dans OpenSSL et BoringSSL peut permettre à un pirate informatique à distance d'accéder à des informations sensibles. Ce problème est classé comme modéré en raison de détails spécifiques à la faille.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2016-7056 | A-33752052 | Modérée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | 19 décembre 2016 |
Vulnérabilité de déni de service dans Mediaserver
Une faille de déni de service dans Mediaserver peut permettre à un pirate informatique d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme modéré, car il nécessite une configuration d'appareil inhabituelle.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0603 | A-35763994 | Modérée | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | 23 février 2017 |
Vulnérabilité de déni de service dans Mediaserver
Une faille de déni de service à distance dans Mediaserver peut permettre à un pirate informatique d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme faible en raison de détails spécifiques à la faille.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2017-0635 | A-35467107 | Faible | Tous | 7.0, 7.1.1, 7.1.2 | Feb 16, 2017 |
Niveau du correctif de sécurité 2017-05-05 : détails de la faille
Dans les sections ci-dessous, nous fournissons des informations sur chacune des failles de sécurité qui s'appliquent au niveau de correctif 2017-05-05. Vous trouverez une description du problème, une justification de la gravité et un tableau contenant l'ID de la faille CVE, les références associées, la gravité, les appareils Google mis à jour, les versions AOSP mises à jour (le cas échéant) et la date de signalement. Lorsque disponible, nous associerons la modification publique qui a résolu le problème à l'ID du bug, comme dans la liste des modifications AOSP. Lorsque plusieurs modifications concernent un même bug, des références supplémentaires sont associées à des numéros qui suivent l'ID du bug.
Vulnérabilité d'exécution de code à distance dans GIFLIB
Une faille d'exécution de code à distance dans GIFLIB peut permettre à un pirate informatique utilisant un fichier spécialement conçu de provoquer une corruption de la mémoire lors du traitement des fichiers multimédias et des données. Ce problème est classé comme critique en raison de la possibilité d'exécution de code à distance dans le contexte du processus Mediaserver.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2015-7555 | A-34697653 | Critical (Critique) | Tous | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 | 13 avril 2016 |
Vulnérabilité d'élévation de privilège dans le pilote d'écran tactile MediaTek
Une faille d'élévation des privilèges dans le pilote de l'écran tactile MediaTek peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10274 | A-30202412* M-ALPS02897901 |
Critical (Critique) | Aucun** | Jul 16, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.1.1 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas concernés par cette faille.
Faille d'élévation des droits dans le bootloader Qualcomm
Une faille d'élévation des privilèges dans le bootloader Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10275 | A-34514954 QC-CR#1009111 |
Critical (Critique) | Nexus 5X, Nexus 6, Pixel, Pixel XL, Android One | 13 septembre 2016 |
| CVE-2016-10276 | A-32952839 QC-CR#1094105 |
Critical (Critique) | Nexus 5X, Nexus 6P, Pixel, Pixel XL | Nov 16, 2016 |
Vulnérabilité d'élévation des droits dans le sous-système audio du kernel
Une faille d'élévation de privilège dans le sous-système audio du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-9794 | A-34068036 Noyau en amont |
Critical (Critique) | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Android One et Nexus Player | 3 décembre 2016 |
Faille d'élévation des droits dans le bootloader Motorola
Une faille d'élévation des privilèges dans le bootloader Motorola pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du bootloader. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10277 | A-33840490* |
Critical (Critique) | Nexus 6 | Dec 21, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation de privilège dans le pilote vidéo NVIDIA
Une faille d'escalade de privilèges dans le pilote vidéo NVIDIA pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0331 | A-34113000* N-CVE-2017-0331 |
Critical (Critique) | Nexus 9 | 4 janvier 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation des droits dans le pilote d'alimentation Qualcomm
Une faille d'élévation des privilèges dans le pilote d'alimentation Qualcomm du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission locale permanente de l'appareil, ce qui peut nécessiter de flasher à nouveau le système d'exploitation pour réparer l'appareil.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0604 | A-35392981 QC-CR#826589 |
Critical (Critique) | Aucun* | Feb 15, 2017 |
* Les appareils Google compatibles équipés d'Android 7.1.1 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas concernés par cette faille.
Failles dans les composants Qualcomm
Ces failles affectent les composants Qualcomm et sont décrites plus en détail dans les bulletins de sécurité Qualcomm AMSS d'août, de septembre, d'octobre et de décembre 2016.
| CVE | Références | Gravité* | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10240 | A-32578446** QC-CR#955710 |
Critical (Critique) | Nexus 6P | Interne Qualcomm |
| CVE-2016-10241 | A-35436149** QC-CR#1068577 |
Critical (Critique) | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL | Interne Qualcomm |
| CVE-2016-10278 | A-31624008** QC-CR#1043004 |
Élevée | Pixel, Pixel XL | Interne Qualcomm |
| CVE-2016-10279 | A-31624421** QC-CR#1031821 |
Élevée | Pixel, Pixel XL | Interne Qualcomm |
* Le niveau de gravité de ces failles a été déterminé par le fournisseur.
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille d'exécution de code à distance dans libxml2
Une faille d'exécution de code à distance dans libxml2 peut permettre à un pirate informatique d'utiliser un fichier spécialement conçu pour exécuter du code arbitraire dans le contexte d'un processus non privilégié. Ce problème est classé comme "Élevé" en raison de la possibilité d'exécution de code à distance dans une application qui utilise cette bibliothèque.
| CVE | Références | Niveau | Appareils Google mis à jour | Versions AOSP mises à jour | Date de signalement |
|---|---|---|---|---|---|
| CVE-2016-5131 | A-32956747* | Élevée | Aucun** | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 23 juillet 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developers.
** Les appareils Google compatibles équipés d'Android 7.1.1 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas concernés par cette faille.
Vulnérabilité d'élévation de privilège dans le pilote thermique MediaTek
Une faille d'escalade de privilèges dans le pilote thermique MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10280 | A-28175767* M-ALPS02696445 |
Élevée | Aucun** | 11 avril 2016 |
| CVE-2016-10281 | A-28175647* M-ALPS02696475 |
Élevée | Aucun** | 11 avril 2016 |
| CVE-2016-10282 | A-33939045* M-ALPS03149189 |
Élevée | Aucun** | 27 décembre 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.1.1 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas concernés par cette faille.
Vulnérabilité d'élévation de privilège dans le pilote Wi-Fi Qualcomm
Une faille d'élévation des privilèges dans le pilote Wi-Fi Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10283 | A-32094986 QC-CR#2002052 |
Élevée | Nexus 5X, Pixel, Pixel XL, Android One | 11 octobre 2016 |
Vulnérabilité d'escalade de privilèges dans le pilote vidéo Qualcomm
Une faille d'élévation des privilèges dans le pilote vidéo Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10284 | A-32402303* QC-CR#2000664 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | 24 octobre 2016 |
| CVE-2016-10285 | A-33752702 QC-CR#1104899 |
Élevée | Pixel, Pixel XL | 19 décembre 2016 |
| CVE-2016-10286 | A-35400904 QC-CR#1090237 |
Élevée | Pixel, Pixel XL | Feb 15, 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité d'élévation de privilège dans le sous-système de performances du noyau
Une faille d'élévation des privilèges dans le sous-système de performances du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2015-9004 | A-34515362 Noyau en amont |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Android One et Nexus Player | 23 novembre 2016 |
Vulnérabilité d'élévation de privilège dans le pilote audio Qualcomm
Une faille d'élévation des privilèges dans le pilote audio Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10287 | A-33784446 QC-CR#1112751 |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One | Dec 20, 2016 |
| CVE-2017-0606 | A-34088848 QC-CR#1116015 |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One | 3 janvier 2017 |
| CVE-2016-5860 | A-34623424 QC-CR#1100682 |
Élevée | Pixel, Pixel XL | 22 janvier 2017 |
| CVE-2016-5867 | A-35400602 QC-CR#1095947 |
Élevée | Aucun* | Feb 15, 2017 |
| CVE-2017-0607 | A-35400551 QC-CR#1085928 |
Élevée | Pixel, Pixel XL | Feb 15, 2017 |
| CVE-2017-0608 | A-35400458 QC-CR#1098363 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | Feb 15, 2017 |
| CVE-2017-0609 | A-35399801 QC-CR#1090482 |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One | Feb 15, 2017 |
| CVE-2016-5859 | A-35399758 QC-CR#1096672 |
Élevée | Aucun* | Feb 15, 2017 |
| CVE-2017-0610 | A-35399404 QC-CR#1094852 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | Feb 15, 2017 |
| CVE-2017-0611 | A-35393841 QC-CR#1084210 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | Feb 15, 2017 |
| CVE-2016-5853 | A-35392629 QC-CR#1102987 |
Élevée | Aucun* | Feb 15, 2017 |
* Les appareils Google compatibles équipés d'Android 7.1.1 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas concernés par cette faille.
Vulnérabilité d'élévation de privilège dans le pilote de LED Qualcomm
Une faille d'élévation des privilèges dans le pilote de LED Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10288 | A-33863909 QC-CR#1109763 |
Élevée | Pixel, Pixel XL | 23 décembre 2016 |
Vulnérabilité d'escalade de privilèges dans le pilote de cryptographie Qualcomm
Une faille d'élévation des privilèges dans le pilote de cryptographie Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10289 | A-33899710 QC-CR#1116295 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | 24 décembre 2016 |
Vulnérabilité d'élévation de privilège dans le pilote de mémoire partagée Qualcomm
Une faille d'escalade de privilèges dans le pilote de mémoire partagée Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10290 | A-33898330 QC-CR#1109782 |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL | 24 décembre 2016 |
Vulnérabilité d'élévation de privilège dans le pilote Qualcomm Slimbus
Une faille d'élévation des privilèges dans le pilote Qualcomm Slimbus peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10291 | A-34030871 QC-CR#986837 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P et Android One | 31 décembre 2016 |
Vulnérabilité d'élévation des droits dans le pilote Qualcomm ADSPRPC
Une faille d'élévation de privilège dans le pilote ADSPRPC de Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0465 | A-34112914 QC-CR#1110747 |
Élevée | Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One | 5 janvier 2017 |
Faille d'élévation des privilèges dans le pilote du communicateur de l'environnement d'exécution sécurisé Qualcomm
Une faille d'élévation des privilèges dans le pilote du communicateur d'environnement d'exécution sécurisé Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0612 | A-34389303 QC-CR#1061845 |
Élevée | Pixel, Pixel XL | 10 janv. 2017 |
| CVE-2017-0613 | A-35400457 QC-CR#1086140 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | Feb 15, 2017 |
| CVE-2017-0614 | A-35399405 QC-CR#1080290 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | Feb 15, 2017 |
Vulnérabilité d'élévation de privilège dans le pilote d'alimentation MediaTek
Une faille d'escalade de privilèges dans le pilote d'alimentation MediaTek peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0615 | A-34259126* M-ALPS03150278 |
Élevée | Aucun** | 12 janvier 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.1.1 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité d'élévation des privilèges dans le pilote d'interruption de gestion système MediaTek
Une faille d'escalade de privilèges dans le pilote d'interruption de gestion du système MediaTek peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0616 | A-34470286* M-ALPS03149160 |
Élevée | Aucun** | 19 janvier 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.1.1 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas concernés par cette faille.
Vulnérabilité d'élévation de privilège dans le pilote vidéo MediaTek
Une faille d'escalade de privilèges dans le pilote vidéo MediaTek peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0617 | A-34471002* M-ALPS03149173 |
Élevée | Aucun** | 19 janvier 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.1.1 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas concernés par cette faille.
Vulnérabilité d'élévation des droits dans le pilote de file d'attente de commandes MediaTek
Une faille d'escalade de privilèges dans le pilote de file d'attente de commandes MediaTek peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0618 | A-35100728* M-ALPS03161536 |
Élevée | Aucun** | 7 février 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.1.1 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas concernés par cette faille.
Vulnérabilité d'élévation de privilège dans le pilote du contrôleur de broche Qualcomm
Une faille d'élévation de privilège dans le pilote du contrôleur de broche Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0619 | A-35401152 QC-CR#826566 |
Élevée | Nexus 6, Android One | Feb 15, 2017 |
Vulnérabilité d'escalade de privilèges dans le pilote du Gestionnaire de canaux sécurisés Qualcomm
Une faille d'élévation des privilèges dans le pilote du Gestionnaire de canaux sécurisés Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0620 | A-35401052 QC-CR#1081711 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | Feb 15, 2017 |
Vulnérabilité d'élévation de privilège dans le pilote du codec audio Qualcomm
Une faille d'élévation des privilèges dans le pilote du codec audio Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-5862 | A-35399803 QC-CR#1099607 |
Élevée | Pixel, Pixel XL | Feb 15, 2017 |
Vulnérabilité d'élévation des droits dans le pilote du régulateur de tension du noyau
Une faille d'élévation des privilèges dans le pilote du régulateur de tension du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2014-9940 | A-35399757 Noyau en amont |
Élevée | Nexus 6, Nexus 9, Pixel C, Android One, Nexus Player | Feb 15, 2017 |
Vulnérabilité d'élévation des droits dans le pilote de la caméra Qualcomm
Une faille d'élévation des privilèges dans le pilote de la caméra Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0621 | A-35399703 QC-CR#831322 |
Élevée | Android One | Feb 15, 2017 |
Vulnérabilité d'escalade de privilèges dans le pilote réseau Qualcomm
Une faille d'escalade de privilèges dans le pilote réseau Qualcomm peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-5868 | A-35392791 QC-CR#1104431 |
Élevée | Nexus 5X, Pixel, Pixel XL | Feb 15, 2017 |
Vulnérabilité d'élévation des privilèges dans le sous-système de mise en réseau du noyau
Une faille d'élévation des privilèges dans le sous-système de mise en réseau du noyau peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-7184 | A-36565222 Noyau en amont [2] |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL et Android One | Mar 23, 2017 |
Vulnérabilité d'élévation des droits dans le pilote de l'écran tactile Goodix
Une faille d'élévation des privilèges dans le pilote de l'écran tactile Goodix peut permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0622 | A-32749036 QC-CR#1098602 |
Élevée | Android One | Réservé à Google |
Faille d'élévation des droits dans le bootloader HTC
Une faille d'escalade de privilèges dans le bootloader HTC pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du bootloader. Ce problème est classé comme "Élevé", car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0623 | A-32512358* |
Élevée | Pixel, Pixel XL | Interne Google |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille de divulgation d'informations dans le pilote Wi-Fi Qualcomm
Une faille de divulgation d'informations dans le pilote Wi-Fi Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme étant grave, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation explicite de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0624 | A-34327795* QC-CR#2005832 |
Élevée | Nexus 5X, Pixel, Pixel XL | 16 janvier 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité de divulgation d'informations dans le pilote de file d'attente de commandes MediaTek
Une faille de divulgation d'informations dans le pilote de la file d'attente de commandes MediaTek peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme étant grave, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation explicite de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0625 | A-35142799* M-ALPS03161531 |
Élevée | Aucun** | 8 février 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
** Les appareils Google compatibles équipés d'Android 7.1.1 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Vulnérabilité de divulgation d'informations dans le pilote du moteur de cryptographie Qualcomm
Une faille de divulgation d'informations dans le pilote du moteur de cryptographie Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme étant grave, car il pourrait être utilisé pour accéder à des données sensibles sans autorisation explicite de l'utilisateur.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0626 | A-35393124 QC-CR#1088050 |
Élevée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | Feb 15, 2017 |
Vulnérabilité de déni de service dans le pilote Wi-Fi Qualcomm
Une faille de déni de service dans le pilote Wi-Fi Qualcomm peut permettre à un pirate informatique à proximité de provoquer un déni de service dans le sous-système Wi-Fi. Ce problème est classé comme grave en raison de la possibilité d'un déni de service à distance.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10292 | A-34514463* QC-CR#1065466 |
Élevée | Nexus 5X, Pixel, Pixel XL | Dec 16, 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille de divulgation d'informations dans le pilote UVC du kernel
Une faille de divulgation d'informations dans le pilote UVC du noyau pourrait permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0627 | A-33300353* |
Modérée | Nexus 5X, Nexus 6P, Nexus 9, Pixel C et Nexus Player | 2 déc. 2016 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille de divulgation d'informations dans le pilote vidéo Qualcomm
Une faille de divulgation d'informations dans le pilote vidéo Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10293 | A-33352393 QC-CR#1101943 |
Modérée | Nexus 5X, Nexus 6P, Android One | Dec 4, 2016 |
Vulnérabilité de divulgation d'informations dans le pilote d'alimentation Qualcomm (spécifique à l'appareil)
Une faille de divulgation d'informations dans le pilote d'alimentation Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10294 | A-33621829 QC-CR#1105481 |
Modérée | Nexus 5X, Nexus 6P, Pixel, Pixel XL | Dec 14, 2016 |
Faille de divulgation d'informations dans le pilote LED Qualcomm
Une faille de divulgation d'informations dans le pilote de LED Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10295 | A-33781694 QC-CR#1109326 |
Modérée | Pixel, Pixel XL | Dec 20, 2016 |
Vulnérabilité de divulgation d'informations dans le pilote de mémoire partagée Qualcomm
Une faille de divulgation d'informations dans le pilote de mémoire partagée Qualcomm peut permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-10296 | A-33845464 QC-CR#1109782 |
Modérée | Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One | Dec 22, 2016 |
Faille de divulgation d'informations dans le pilote de la caméra Qualcomm
Une faille de divulgation d'informations dans le pilote de l'appareil photo Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0628 | A-34230377 QC-CR#1086833 |
Modérée | Nexus 5X, Nexus 6, Pixel, Pixel XL | 10 janv. 2017 |
| CVE-2017-0629 | A-35214296 QC-CR#1086833 |
Modérée | Nexus 5X, Nexus 6, Pixel, Pixel XL | 8 février 2017 |
Faille de divulgation d'informations dans le sous-système de suivi du kernel
Une faille de divulgation d'informations dans le sous-système de suivi du noyau peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0630 | A-34277115* |
Modérée | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Android One et Nexus Player | 11 janvier 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Faille de divulgation d'informations dans le pilote du codec audio Qualcomm
Une faille de divulgation d'informations dans le pilote du codec audio Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-5858 | A-35400153 QC-CR#1096799 [2] |
Modérée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | Feb 15, 2017 |
Faille de divulgation d'informations dans le pilote de la caméra Qualcomm
Une faille de divulgation d'informations dans le pilote de l'appareil photo Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0631 | A-35399756 QC-CR#1093232 |
Modérée | Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One | Feb 15, 2017 |
Faille de divulgation d'informations dans le pilote audio Qualcomm
Une faille de divulgation d'informations dans le pilote audio Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-5347 | A-35394329 QC-CR#1100878 |
Modérée | Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL et Android One | Feb 15, 2017 |
Faille de divulgation d'informations dans le pilote Qualcomm SPCom
Une faille de divulgation d'informations dans le pilote Qualcomm SPCom peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2016-5854 | A-35392792 QC-CR#1092683 |
Modérée | Aucun* | Feb 15, 2017 |
| CVE-2016-5855 | A-35393081 QC-CR#1094143 |
Modérée | Aucun* | Feb 15, 2017 |
* Les appareils Google compatibles équipés d'Android 7.1.1 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas concernés par cette faille.
Vulnérabilité de divulgation d'informations dans le pilote du codec audio Qualcomm
Une faille de divulgation d'informations dans le pilote du codec audio Qualcomm peut permettre à une application malveillante locale d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0632 | A-35392586 QC-CR#832915 |
Modérée | Android One | Feb 15, 2017 |
Faille de divulgation d'informations dans le pilote Wi-Fi Broadcom
Une faille de divulgation d'informations dans le pilote Wi-Fi Broadcom peut permettre à un composant malveillant local d'accéder aux données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0633 | A-36000515* B-RB#117131 |
Modérée | Nexus 6, Nexus 6P, Nexus 9, Pixel C et Nexus Player | 23 février 2017 |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Vulnérabilité de divulgation d'informations dans le pilote d'écran tactile Synaptics
Une faille de divulgation d'informations dans le pilote de l'écran tactile Synaptics peut permettre à une application malveillante locale d'accéder à des données en dehors de ses niveaux d'autorisation. Ce problème est classé comme modéré, car il nécessite d'abord de compromettre un processus privilégié.
| CVE | Références | Niveau | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2017-0634 | A-32511682* |
Modérée | Pixel, Pixel XL | Réservé à Google |
* Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
Failles dans les composants Qualcomm
Ces failles affectant les composants Qualcomm ont été publiées dans les bulletins de sécurité AMSS de Qualcomm entre 2014 et 2016. Ils sont inclus dans ce bulletin de sécurité Android pour associer leurs correctifs à un niveau de correctif de sécurité Android.
| CVE | Références | Gravité* | Appareils Google mis à jour | Date de signalement |
|---|---|---|---|---|
| CVE-2014-9923 | A-35434045** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2014-9924 | A-35434631** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2014-9925 | A-35444657** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2014-9926 | A-35433784** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2014-9927 | A-35433785** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2014-9928 | A-35438623** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2014-9929 | A-35443954** QC-CR#644783 |
Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2014-9930 | A-35432946** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2015-9005 | A-36393500** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2015-9006 | A-36393450** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2015-9007 | A-36393700** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2016-10297 | A-36393451** | Critical (Critique) | Aucun*** | Interne Qualcomm |
| CVE-2014-9941 | A-36385125** | Élevée | Aucun*** | Interne Qualcomm |
| CVE-2014-9942 | A-36385319** | Élevée | Aucun*** | Interne Qualcomm |
| CVE-2014-9943 | A-36385219** | Élevée | Aucun*** | Interne Qualcomm |
| CVE-2014-9944 | A-36384534** | Élevée | Aucun*** | Interne Qualcomm |
| CVE-2014-9945 | A-36386912** | Élevée | Aucun*** | Interne Qualcomm |
| CVE-2014-9946 | A-36385281** | Élevée | Aucun*** | Interne Qualcomm |
| CVE-2014-9947 | A-36392400** | Élevée | Aucun*** | Interne Qualcomm |
| CVE-2014-9948 | A-36385126** | Élevée | Aucun*** | Interne Qualcomm |
| CVE-2014-9949 | A-36390608** | Élevée | Aucun*** | Interne Qualcomm |
| CVE-2014-9950 | A-36385321** | Élevée | Aucun*** | Interne Qualcomm |
| CVE-2014-9951 | A-36389161** | Élevée | Aucun*** | Interne Qualcomm |
| CVE-2014-9952 | A-36387019** | Élevée | Aucun*** | Interne Qualcomm |
* Le niveau de gravité de ces failles a été déterminé par le fournisseur.
** Le correctif de ce problème n'est pas disponible publiquement. La mise à jour est incluse dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Web des développeurs Google.
*** Les appareils Google compatibles équipés d'Android 7.1.1 ou version ultérieure et ayant installé toutes les mises à jour disponibles ne sont pas affectés par cette faille.
Questions fréquentes et réponses
Cette section répond aux questions fréquentes qui peuvent se poser après la lecture de ce bulletin.
1. Comment savoir si mon appareil a été mis à jour pour résoudre ces problèmes ?
Pour savoir comment vérifier le niveau du correctif de sécurité d'un appareil, consultez les instructions sur le calendrier de mise à jour des Pixel et Nexus.
- Les niveaux de correctif de sécurité du 1er mai 2017 ou version ultérieure corrigent tous les problèmes associés au niveau de correctif de sécurité du 1er mai 2017.
- Les niveaux de correctifs de sécurité du 5 mai 2017 ou version ultérieure corrigent tous les problèmes associés au niveau de correctif de sécurité du 5 mai 2017 et à tous les niveaux de correctifs précédents.
Les fabricants d'appareils qui incluent ces mises à jour doivent définir le niveau de la chaîne de correctif sur:
- [ro.build.version.security_patch]:[2017-05-01]
- [ro.build.version.security_patch]:[2017-05-05]
2. Pourquoi ce bulletin comporte-t-il deux niveaux de correctifs de sécurité ?
Ce bulletin comporte deux niveaux de correctifs de sécurité afin que les partenaires Android aient la possibilité de corriger plus rapidement un sous-ensemble de failles similaires sur tous les appareils Android. Nous encourageons les partenaires Android à corriger tous les problèmes de ce bulletin et à utiliser le dernier niveau de correctif de sécurité.
- Les appareils qui utilisent le niveau de correctif de sécurité du 1er mai 2017 doivent inclure tous les problèmes associés à ce niveau de correctif de sécurité, ainsi que les correctifs de tous les problèmes signalés dans les bulletins de sécurité précédents.
- Les appareils qui utilisent le niveau de correctif de sécurité du 5 mai 2017 ou version ultérieure doivent inclure tous les correctifs applicables dans ce bulletin de sécurité (et les précédents).
Les partenaires sont invités à regrouper les correctifs de tous les problèmes qu'ils résolvent dans une seule mise à jour.
3. Comment déterminer les appareils Google concernés par chaque problème ?
Dans les sections 01/05/2017 et 05/05/2017 sur les détails des failles de sécurité, chaque tableau comporte une colonne Appareils Google mis à jour qui couvre la plage d'appareils Google concernés par chaque problème. Cette colonne propose plusieurs options:
- Tous les appareils Google: si un problème affecte tous les appareils et les appareils Pixel, la colonne Appareils Google mis à jour indique "Tous". "Tous" encapsule les appareils compatibles suivants: Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel et Pixel XL.
- Certains appareils Google: si un problème n'affecte pas tous les appareils Google, les appareils Google concernés sont listés dans la colonne Appareils Google mis à jour.
- Aucun appareil Google: si aucun appareil Google équipé d'Android 7.0 n'est affecté par le problème, la colonne Appareils Google mis à jour indique "Aucun".
4. À quoi correspondent les entrées de la colonne "Références" ?
Les entrées de la colonne Références du tableau des détails des failles peuvent contenir un préfixe identifiant l'organisation à laquelle la valeur de référence appartient. Ces préfixes sont mappés comme suit:
| Préfixe | Référence |
|---|---|
| A- | ID du bug Android |
| QC- | Numéro de référence Qualcomm |
| M- | Numéro de référence MediaTek |
| N- | Numéro de référence NVIDIA |
| B- | Numéro de référence Broadcom |
Révisions
- 1er mai 2017: bulletin publié.
- 2 mai 2017: le bulletin a été mis à jour pour inclure des liens vers AOSP.
- 10 août 2017: Bulletin révisé pour inclure un lien AOSP supplémentaire pour CVE-2017-0493.
- 17 août 2017: le bulletin a été révisé pour mettre à jour les numéros de référence.
- 3 octobre 2017: le bulletin a été révisé pour supprimer CVE-2017-0605.