תאריך פרסום: 5 ביוני 2017 | תאריך עדכון: 17 באוגוסט 2017
עדכון האבטחה של Android מכיל פרטים על נקודות חולשה באבטחה שמשפיעות על מכשירי Android. רמות תיקוני האבטחה מ-5 ביוני 2017 ואילך מטפלות בכל הבעיות האלה. לוח הזמנים של עדכוני Pixel ו-Nexus מסביר איך בודקים את רמת תיקון האבטחה של המכשיר.
השותפים עודכנו לגבי הבעיות המתוארות בעדכון לפני לפחות חודש. תיקוני קוד המקור לבעיות האלה יפורסמו במאגר Android Open Source Project (AOSP) ויוקשר אליהם מהעדכון הזה. העדכון הזה כולל גם קישורים לתיקונים מחוץ ל-AOSP.
הבעיה החמורה ביותר היא נקודת חולשה קריטית באבטחה של Media Framework, שעלולה לאפשר לתוקף מרחוק להשתמש בקובץ שנוצר במיוחד כדי לגרום לפגיעה בזיכרון במהלך עיבוד נתונים וקובצי מדיה. הערכת החומרה מבוססת על ההשפעה שעלולה להיות לניצול נקודת החולשה על מכשיר מושפע, בהנחה שהאמצעי למזעור הפגיעות בפלטפורמה ובשירות מושבתים למטרות פיתוח או אם הם עוקפים בהצלחה.
לא קיבלנו דיווחים על ניצול פעיל של הבעיות החדשות האלה על ידי לקוחות או על ניצול לרעה שלהן. בקטע אמצעי המיטיגציה של Android ו-Google Play Protect מפורט מידע על אמצעי ההגנה של פלטפורמת האבטחה של Android ועל Google Play Protect, שמשפרים את האבטחה של פלטפורמת Android.
אנחנו ממליצים לכל הלקוחות לאשר את העדכונים האלה במכשירים שלהם.
הערה: מידע על קובצי האימג' של הקושחה והעדכון האווירי (OTA) האחרונים למכשירי Google זמין בקטע עדכונים למכשירי Google.
הודעות
- ערכנו שיפורים בעדכון האבטחה החודשי כדי שיהיה קל יותר לקרוא אותו. במסגרת העדכון הזה, פרטי נקודות החולשה מסווגים לפי הרכיב המושפע וממוינים לפי שם הרכיב ברמת תיקון האבטחה. פרטים ספציפיים למכשירי Google מתארחים בקטע ייעודי.
- בעדכון הזה יש שתי מחרוזות של רמת תיקון אבטחה, כדי לספק לשותפי Android גמישות לתקן במהירות קבוצת משנה של נקודות חולשה שדומות בכל מכשירי Android. למידע נוסף, אפשר לעיין בשאלות נפוצות ותשובות:
- 2017-06-01: מחרוזת חלקית של רמת תיקון האבטחה. מחרוזת רמת תיקון האבטחה הזו מציינת שכל הבעיות שמשויכות ל-2017-06-01 (וכל המחרוזות הקודמות של רמת תיקון האבטחה) טופלו.
- 2017-06-05: מחרוזת מלאה של רמת תיקון האבטחה. המחרוזת הזו של רמת תיקון האבטחה מציינת שכל הבעיות שמשויכות ל-2017-06-01 ול-2017-06-05 (וכל המחרוזות הקודמות של רמת תיקון האבטחה) טופלו.
אמצעי מיטיגציה ב-Android וב-Google Play Protect
זהו סיכום של אמצעי המיטיגציה שסופקו על ידי פלטפורמת האבטחה של Android והגנות שירות כמו Google Play Protect. היכולות האלה מפחיתות את הסבירות לניצול נקודות חולשה באבטחה ב-Android.
- שיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של בעיות רבות ב-Android. אנחנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
- צוות האבטחה של Android עוקב באופן פעיל אחרי התנהלות פוגעת באמצעות Google Play Protect, ומזהיר משתמשים לגבי אפליקציות שעלולות להזיק. Google Play Protect מופעל כברירת מחדל במכשירים עם Google Mobile Services, והוא חשוב במיוחד למשתמשים שמתקינים אפליקציות ממקורות שאינם Google Play.
רמת תיקון האבטחה מ-01 ביוני 2017 – פרטי נקודת החולשה
בקטעים הבאים מפורטים פרטים על כל נקודת החולשה באבטחה שחלה על רמת התיקון מ-01 ביוני 2017. נקודות החולשה מקובצות לפי הרכיב שבו הן משפיעות. הבעיה מתוארת בטבלה עם מספר ה-CVE, הפניות משויכות, סוג נקודת החולשה, מידת החומרה וגרסאות AOSP מעודכנות (אם רלוונטי). כשהדבר אפשרי, אנחנו מקשרים את השינוי הציבורי שטיפל בבעיה למזהה הבאג, כמו רשימת השינויים ב-AOSP. כשיש כמה שינויים שקשורים לבאג אחד, הפניות נוספות מקושרות למספרים שמופיעים אחרי מזהה הבאג.
Bluetooth
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית לגשת לנתונים מחוץ לרמות ההרשאות שלה.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0645 | A-35385327 | EoP | בינונית | 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0646 | A-33899337 | מזהה | בינונית | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
ספריות
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לתוקף מרחוק להשתמש בקובץ שנוצר במיוחד כדי להריץ קוד שרירותי בהקשר של תהליך ללא הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2015-8871 | A-35443562* | RCE | רחב | 5.0.2, 5.1.1, 6.0, 6.0.1 |
| CVE-2016-8332 | A-37761553* | RCE | רחב | 5.0.2, 5.1.1, 6.0, 6.0.1 |
| CVE-2016-5131 | A-36554209 | RCE | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2016-4658 | A-36554207 | RCE | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0663 | A-37104170 | RCE | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-7376 | A-36555370 | RCE | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-5056 | A-36809819 | RCE | בינונית | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-7375 | A-36556310 | RCE | בינונית | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0647 | A-36392138 | מזהה | בינונית | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2016-1839 | A-36553781 | DoS | בינונית | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
מסגרת מדיה
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לתוקף מרחוק להשתמש בקובץ שנוצר במיוחד כדי לגרום לנזק בזיכרון במהלך עיבוד נתונים וקובצי מדיה.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0637 | A-34064500 | RCE | קריטי | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0391 | A-32322258 | DoS | רחב | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0640 | A-33129467* | DoS | רחב | 6.0, 6.0.1, 7.0, 7.1.1 |
| CVE-2017-0641 | A-34360591 | DoS | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0642 | A-34819017 | DoS | רחב | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0643 | A-35645051* | DoS | רחב | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 |
| CVE-2017-0644 | A-35472997* | DoS | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 |
ממשק משתמש של המערכת
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לתוקף להשתמש בקובץ שנוצר במיוחד כדי להריץ קוד שרירותי בהקשר של תהליך ללא הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0638 | A-36368305 | RCE | רחב | 7.1.1, 7.1.2 |
רמת תיקון האבטחה 05 ביוני 2017 – פרטי נקודת החולשה
בקטעים הבאים מפורטים פרטים על כל נקודת החולשה באבטחה שחלה על רמת התיקון מ-5 ביוני 2017. נקודות החולשה מקובצות לפי הרכיב שבו הן משפיעות, וכוללות פרטים כמו מספר ה-CVE, מקורות מידע משויכים, סוג נקודת החולשה, מידת החומרה, הרכיב (אם רלוונטי) וגרסאות AOSP מעודכנות (אם רלוונטי). כשהדבר אפשרי, אנחנו מקשרים את השינוי הציבורי שטופל בבעיה למזהה הבאג, כמו רשימת השינויים ב-AOSP. כשיש כמה שינויים שקשורים לבאג אחד, הפניות נוספות מקושרות למספרים שמופיעים אחרי מזהה הבאג.
רכיבי הליבה
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-0648 | A-36101220* | EoP | רחב | הכלי לניפוי באגים של FIQ |
| CVE-2017-0651 | A-35644815* | מזהה | נמוכה | מערכת משנה של ION |
ספריות
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לתוקף מרחוק להשתמש בקובץ שנוצר במיוחד כדי לקבל גישה למידע רגיש.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2015-7995 | A-36810065* | מזהה | בינונית | 4.4.4 |
רכיבים של MediaTek
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-0636 | A-35310230* M-ALPS03162263 |
EoP | רחב | מנהל תורים של פקודות |
| CVE-2017-0649 | A-34468195* M-ALPS03162283 |
EoP | בינונית | מנהל התקן של קול |
רכיבי NVIDIA
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-6247 | A-34386301* N-CVE-2017-6247 |
EoP | רחב | מנהל התקן של קול |
| CVE-2017-6248 | A-34372667* N-CVE-2017-6248 |
EoP | בינונית | מנהל התקן של קול |
| CVE-2017-6249 | A-34373711* N-CVE-2017-6249 |
EoP | בינונית | מנהל התקן של קול |
רכיבי Qualcomm
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לתוקף בקרבת מקום להריץ קוד שרירותי בהקשר של הליבה.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-7371 | A-36250786 QC-CR#1101054 |
RCE | קריטי | דרייבר Bluetooth |
| CVE-2017-7365 | A-32449913 QC-CR#1017009 |
EoP | רחב | תוכנת אתחול |
| CVE-2017-7366 | A-36252171 QC-CR#1036161 [2] |
EoP | רחב | מנהל ההתקן של GPU |
| CVE-2017-7367 | A-34514708 QC-CR#1008421 |
DoS | רחב | תוכנת אתחול |
| CVE-2016-5861 | A-36251375 QC-CR#1103510 |
EoP | בינונית | מנהל התקן וידאו |
| CVE-2016-5864 | A-36251231 QC-CR#1105441 |
EoP | בינונית | מנהל התקן של קול |
| CVE-2017-6421 | A-36251986 QC-CR#1110563 |
EoP | בינונית | מנהל התקן של מסך מגע MStar |
| CVE-2017-7364 | A-36252179 QC-CR#1113926 |
EoP | בינונית | מנהל התקן וידאו |
| CVE-2017-7368 | A-33452365 QC-CR#1103085 |
EoP | בינונית | מנהל התקן של קול |
| CVE-2017-7369 | A-33751424 QC-CR#2009216 [2] |
EoP | בינונית | מנהל התקן של קול |
| CVE-2017-7370 | A-34328139 QC-CR#2006159 |
EoP | בינונית | מנהל התקן וידאו |
| CVE-2017-7372 | A-36251497 QC-CR#1110068 |
EoP | בינונית | מנהל התקן וידאו |
| CVE-2017-7373 | A-36251984 QC-CR#1090244 |
EoP | בינונית | מנהל התקן וידאו |
| CVE-2017-8233 | A-34621613 QC-CR#2004036 |
EoP | בינונית | מנהל התקן של המצלמה |
| CVE-2017-8234 | A-36252121 QC-CR#832920 |
EoP | בינונית | מנהל התקן של המצלמה |
| CVE-2017-8235 | A-36252376 QC-CR#1083323 |
EoP | בינונית | מנהל התקן של המצלמה |
| CVE-2017-8236 | A-35047217 QC-CR#2009606 |
EoP | בינונית | דרייבר IPA |
| CVE-2017-8237 | A-36252377 QC-CR#1110522 |
EoP | בינונית | מנהל רשתות |
| CVE-2017-8242 | A-34327981 QC-CR#2009231 |
EoP | בינונית | מנהל ההתקן של Secure Execution Environment Communicator |
| CVE-2017-8239 | A-36251230 QC-CR#1091603 |
מזהה | בינונית | מנהל התקן של המצלמה |
| CVE-2017-8240 | A-36251985 QC-CR#856379 |
מזהה | בינונית | מנהל ההתקן של בקר המחברים |
| CVE-2017-8241 | A-34203184 QC-CR#1069175 |
מזהה | נמוכה | דרייבר Wi-Fi |
רכיבי Synaptics
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית לגשת לנתונים מחוץ לרמות ההרשאות שלה.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-0650 | A-35472278* | EoP | נמוכה | מנהל התקן של מסך מגע |
רכיבים של Qualcomm במקור סגור
נקודות החולשה האלה משפיעות על רכיבי Qualcomm, ומפורטות בהרחבה בעדכוני האבטחה של Qualcomm AMSS משנים 2014 עד 2016. הם כלולים בדף העדכונים הזה בנושא אבטחת Android כדי לשייך את התיקונים שלהם לרמת תיקון האבטחה ב-Android. התיקונים לנקודות החולשה האלה זמינים ישירות מ-Qualcomm.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2014-9960 | A-37280308* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2014-9961 | A-37279724* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2014-9953 | A-36714770* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2014-9967 | A-37281466* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2015-9026 | A-37277231* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2015-9027 | A-37279124* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2015-9008 | A-36384689* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2015-9009 | A-36393600* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2015-9010 | A-36393101* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2015-9011 | A-36714882* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2015-9024 | A-37265657* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2015-9012 | A-36384691* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2015-9013 | A-36393251* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2015-9014 | A-36393750* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2015-9015 | A-36714120* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2015-9029 | A-37276981* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2016-10338 | A-37277738* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2016-10336 | A-37278436* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2016-10333 | A-37280574* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2016-10341 | A-37281667* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2016-10335 | A-37282802* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2016-10340 | A-37280614* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2016-10334 | A-37280664* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2016-10339 | A-37280575* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2016-10298 | A-36393252* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2016-10299 | A-32577244* | לא רלוונטי | קריטי | רכיב במקור סגור |
| CVE-2014-9954 | A-36388559* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9955 | A-36384686* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9956 | A-36389611* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9957 | A-36387564* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9958 | A-36384774* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9962 | A-37275888* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9963 | A-37276741* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9959 | A-36383694* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9964 | A-37280321* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9965 | A-37278233* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9966 | A-37282854* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9023 | A-37276138* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9020 | A-37276742* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9021 | A-37276743* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9025 | A-37276744* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9022 | A-37280226* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9028 | A-37277982* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9031 | A-37275889* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9032 | A-37279125* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9033 | A-37276139* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9030 | A-37282907* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2016-10332 | A-37282801* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2016-10337 | A-37280665* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2016-10342 | A-37281763* | לא רלוונטי | רחב | רכיב במקור סגור |
עדכונים למכשירי Google
בטבלה הזו מוצגת רמת תיקון האבטחה בעדכון האוויר (OTA) ובתמונות הקושחה האחרונות למכשירי Google. קובצי האימג' של הקושחה של מכשירי Google זמינים באתר של Google למפתחים.
| מכשיר Google | רמת תיקון האבטחה |
|---|---|
| Pixel / Pixel XL | 5 ביוני 2017 |
| Nexus 5X | 5 ביוני 2017 |
| Nexus 6 | 5 ביוני 2017 |
| Nexus 6P | 5 ביוני 2017 |
| Nexus 9 | 5 ביוני 2017 |
| Nexus Player | 5 ביוני 2017 |
| Pixel C | 5 ביוני 2017 |
עדכוני המכשירים של Google מכילים גם תיקונים לפגיעויות האבטחה הבאות, אם רלוונטי:
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0639 | A-35310991 | מזהה | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
תודות
אנחנו רוצים להודות לחוקרים הבאים על התרומות שלהם:
| CVE | חוקרים |
|---|---|
| CVE-2017-0643, CVE-2017-0641 | Ecular Xu(徐健) מ-Trend Micro |
| CVE-2017-0645, CVE-2017-0639 | En He (@heeeeen4x) ו-Bo Liu מ-MS509Team |
| CVE-2017-0649 | Gengjia Chen (@chengjia4574) ו-pjf מ-IceSword Lab, Qihoo 360 Technology Co. Ltd. |
| CVE-2017-0646 | Godzheng (郑文选 – @VirtualSeekers) מ-Tencent PC Manager |
| CVE-2017-0636 | ג'ייק קורינה (@JakeCorina) מצוות Shellphish Grill |
| CVE-2017-8233 | ג'יאנגיאנג ז'או (@jianqiangzhao) ו-pjf מ-IceSword Lab, Qihoo 360 |
| CVE-2017-7368 | Lubo Zhang (zlbzlb815@163.com), Yuan-Tsung Lo (computernik@gmail.com) ו-Xuxian Jiang מ-C0RE Team |
| CVE-2017-8242 | נת'ן קרנדל (@natecray) מצוות אבטחת המוצרים של Tesla |
| CVE-2017-0650 | עומר שוורץ, אמיר כהן, ד"ר אסף שבתאי וד"ר יוסי אורן מהמעבדה לסייבר באוניברסיטת בן-גוריון |
| CVE-2017-0648 | רועי היי (@roeehay) מ-Aleph Research, HCL Technologies |
| CVE-2017-7369, CVE-2017-6249, CVE-2017-6247, CVE-2017-6248 | sevenshen (@lingtongshen) מ-TrendMicro |
| CVE-2017-0642, CVE-2017-0637, CVE-2017-0638 | וסילי וסילייב |
| CVE-2017-0640 | מנהל שותף (@VYSEa) בצוות התגובה לאיומים בנייד, Trend Micro |
| CVE-2017-8236 | Xiling Gong מהמחלקה של פלטפורמת האבטחה של Tencent |
| CVE-2017-0647 | Yangkang (@dnpushme) ו-Liyadong מצוות Qex, Qihoo 360 |
| CVE-2017-7370 | יונגאנג גו (@guoygang) מ-IceSword Lab, Qihoo 360 Technology Co. Ltd |
| CVE-2017-0651 | Yuan-Tsung Lo (computernik@gmail.com) ו-Xuxian Jiang מ-C0RE Team |
| CVE-2017-8241 | Zubin Mithra מ-Google |
שאלות נפוצות ותשובות
בקטע הזה נענה על שאלות נפוצות שעשויות להתעורר אחרי קריאת העדכון.
1. איך אפשר לדעת אם המכשיר מעודכן כדי לטפל בבעיות האלה?
במאמר לוח הזמנים של עדכוני Pixel ו-Nexus מוסבר איך בודקים את רמת תיקון האבטחה של מכשיר.
- רמות תיקון האבטחה מ-1 ביוני 2017 ואילך מטפלות בכל הבעיות שמשויכות לרמת תיקון האבטחה מ-1 ביוני 2017.
- רמות תיקון האבטחה מ-5 ביוני 2017 ואילך מטפלות בכל הבעיות שמשויכות לרמת תיקון האבטחה מ-5 ביוני 2017 וכל רמות התיקון הקודמות.
יצרני מכשירים שכוללים את העדכונים האלה צריכים להגדיר את רמת מחרוזת התיקון ל-:
- [ro.build.version.security_patch]:[2017-06-01]
- [ro.build.version.security_patch]:[2017-06-05]
2. למה יש בעדכון הזה שתי רמות של תיקוני אבטחה?
בעדכון הזה יש שתי רמות תיקון אבטחה, כדי שלשותפי Android תהיה גמישות לתקן במהירות קבוצת משנה של נקודות חולשה שדומות בכל מכשירי Android. אנחנו ממליצים לשותפי Android לתקן את כל הבעיות שמפורטות בדף העדכונים הזה ולהשתמש ברמת התיקון האחרונה של האבטחה.
- מכשירים עם רמת תיקון האבטחה מ-1 ביוני 2017 חייבים לכלול את כל הבעיות שמשויכות לרמת תיקון האבטחה הזו, וגם תיקונים לכל הבעיות שדווחו בעדכוני האבטחה הקודמים.
- במכשירים עם תיקון אבטחה ברמה של 5 ביוני 2017 ואילך חייבים לכלול את כל התיקונים הרלוונטיים שמפורטים בדף העדכונים הזה (ובדפי העדכונים הקודמים).
מומלץ לשותפים לארוז את התיקונים לכל הבעיות שהם מטפלים בהן בעדכון אחד.
3. מה המשמעות של הרשומות בעמודה Type?
הרשומות בעמודה Type בטבלת פרטי נקודת החולשה מפנות לסיווג של נקודת החולשה באבטחה.
| קיצור | הגדרה |
|---|---|
| RCE | ביצוע קוד מרחוק |
| EoP | הסלמת הרשאות |
| מזהה | חשיפת מידע |
| DoS | התקפת מניעת שירות (DoS) |
| לא רלוונטי | הסיווג לא זמין |
4. מה המשמעות של הרשומות בעמודה References?
רשומות בעמודה References בטבלת פרטי נקודת החולשה עשויות לכלול קידומת שמזהה את הארגון שאליו שייך ערך העזר.
| תחילית | חומרי עזר |
|---|---|
| A- | מזהה הבאג ב-Android |
| QC- | מספר הסימוכין של Qualcomm |
| M- | מספר הסימוכין של MediaTek |
| N- | מספר הסימוכין של NVIDIA |
| B- | מספר הסימוכין של Broadcom |
5. מה המשמעות של הסימן * לצד מזהה הבאג ב-Android בעמודה References?
בעיות שלא זמינות לציבור מסומנות בסימן * לצד מזהה הבאג ב-Android בעמודה References. בדרך כלל, העדכון לבעיה הזו נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developers.
גרסאות
| גרסה | תאריך | הערות |
|---|---|---|
| 1.0 | 5 ביוני 2017 | העדכון פורסם. |
| 1.1 | 7 ביוני 2017 | העדכון עודכן ונוספו קישורים ל-AOSP. |
| 1.2 | 11 ביולי 2017 | העדכון עודכן כך שיכלול את CVE-2017-6249. |
| 1.3 | 17 באוגוסט 2017 | העדכון נעשה במספרי ההפניה. |