תאריך פרסום: 5 ביולי 2017 | תאריך עדכון: 26 בספטמבר 2017
עדכון האבטחה של Android מכיל פרטים על נקודות חולשה באבטחה שמשפיעות על מכשירי Android. כל הבעיות האלה נפתרות ברמות תיקון האבטחה מ-5 ביולי 2017 ואילך. לוח הזמנים של עדכוני Pixel ו-Nexus מסביר איך בודקים את רמת תיקון האבטחה של המכשיר.
השותפים עודכנו על הבעיות המתוארות בעדכון לפחות לפני חודש. תיקוני קוד מקור לבעיות האלה פורסמו במאגר Android Open Source Project (AOSP) ויש קישור אליהם מהעדכון הזה. העדכון הזה כולל גם קישורים לתיקונים מחוץ ל-AOSP.
הבעיה החמורה ביותר היא נקודת חולשה קריטית באבטחה של מסגרת המדיה, שעלולה לאפשר לתוקף מרחוק להשתמש בקובץ שנוצר במיוחד כדי להריץ קוד שרירותי בהקשר של תהליך בעל הרשאות. הערכת החומרה מבוססת על ההשפעה שעלולה להיות לניצול נקודת החולשה על מכשיר מושפע, בהנחה שהאמצעי למזעור הפגיעות בפלטפורמה ובשירות מושבתים למטרות פיתוח או אם הם עוקפים בהצלחה.
לא קיבלנו דיווחים על ניצול פעיל של הבעיות החדשות האלה על ידי לקוחות או על ניצול לרעה שלהן. בקטע אמצעי מיטיגציה ב-Android וב-Google Play Protect מפורט מידע על ההגנות של פלטפורמת האבטחה של Android ועל Google Play Protect, שמשפרים את האבטחה של פלטפורמת Android.
אנחנו ממליצים לכל הלקוחות לאשר את העדכונים האלה במכשירים שלהם.
הערה: מידע על קובצי הקושחה ועל העדכון האווירי (OTA) העדכניים ביותר למכשירי Google זמין בקטע עדכונים למכשירי Google.
הודעות
- בעדכון הזה יש שתי מחרוזות של רמת תיקון אבטחה, כדי לספק לשותפי Android גמישות לתקן במהירות קבוצת משנה של נקודות חולשה שדומות בכל מכשירי Android. למידע נוסף, אפשר לעיין בשאלות נפוצות ותשובות:
- 2017-07-01: מחרוזת חלקית של רמת תיקון האבטחה. המחרוזת הזו של רמת תיקון האבטחה מציינת שכל הבעיות שמשויכות ל-01 ביולי 2017 (וכל המחרוזות הקודמות של רמת תיקון האבטחה) טופלו.
- 2017-07-05: מחרוזת מלאה של רמת תיקון האבטחה. מחרוזת רמת תיקון האבטחה הזו מציינת שכל הבעיות שמשויכות ל-2017-07-01 ול-2017-07-05 (וכל המחרוזות הקודמות של רמת תיקון האבטחה) טופלו.
אמצעי מיטיגציה ב-Android וב-Google Play Protect
זהו סיכום של אמצעי המיטיגציה שסופקו על ידי פלטפורמת האבטחה של Android והגנות שירות כמו Google Play Protect. היכולות האלה מצמצמות את הסיכוי לנצל לרעה נקודות חולשה באבטחה ב-Android.
- שיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של בעיות רבות ב-Android. אנחנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
- צוות האבטחה של Android עוקב באופן פעיל אחר התנהלות פוגעת באמצעות Google Play Protect, ומזהיר את המשתמשים לגבי אפליקציות שעלולות להזיק. Google Play Protect מופעל כברירת מחדל במכשירים עם Google Mobile Services, והוא חשוב במיוחד למשתמשים שמתקינים אפליקציות ממקורות שאינם Google Play.
רמת תיקון האבטחה מ-01 ביולי 2017 – פרטי נקודת החולשה
בקטעים הבאים מפורטים פרטים על כל נקודת החולשה באבטחה שחלה על רמת התיקון 2017-07-01. נקודות החולשה מקובצות לפי הרכיב שבו הן משפיעות. הבעיה מתוארת בטבלה עם מספר ה-CVE, הפניות משויכות, סוג נקודת החולשה, מידת החומרה וגרסאות AOSP מעודכנות (אם רלוונטי). כשהדבר אפשרי, אנחנו מקשרים את השינוי הציבורי שטיפל בבעיה למזהה הבאג, כמו רשימת השינויים ב-AOSP. כשיש כמה שינויים שקשורים לבאג אחד, הפניות נוספות מקושרות למספרים שמופיעים אחרי מזהה הבאג.
זמן ריצה
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לתוקף מרחוק להשתמש בקובץ שנוצר במיוחד כדי להריץ קוד שרירותי בהקשר של תהליך ללא הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-3544 | A-35784677 | RCE | בינונית | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
Framework
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית להשתמש בקובץ שנוצר במיוחד כדי להריץ קוד שרירותי בהקשר של אפליקציה שמשתמשת בספרייה.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0664 | A-36491278 | EoP | רחב | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0665 | A-36991414 | EoP | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0666 | A-37285689 | EoP | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0667 | A-37478824 | EoP | רחב | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0668 | A-22011579 | מזהה | בינונית | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0669 | A-34114752 | מזהה | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0670 | A-36104177 | DoS | רחב | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
ספריות
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לתוקף מרחוק להשתמש בקובץ שנוצר במיוחד כדי להריץ קוד שרירותי בהקשר של אפליקציה שמשתמשת בספרייה.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0671 | A-34514762* | RCE | רחב | 4.4.4 |
| CVE-2016-2109 | A-35443725 | DoS | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0672 | A-34778578 | DoS | רחב | 7.0, 7.1.1, 7.1.2 |
מסגרת מדיה
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לתוקף מרחוק להשתמש בקובץ שנוצר במיוחד כדי להריץ קוד שרירותי בהקשר של תהליך בעל הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0540 | A-33966031 | RCE | קריטי | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0673 | A-33974623 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0674 | A-34231163 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0675 | A-34779227 [2] | RCE | קריטי | 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0676 | A-34896431 | RCE | קריטי | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0677 | A-36035074 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0678 | A-36576151 | RCE | קריטי | 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0679 | A-36996978 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0680 | A-37008096 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0681 | A-37208566 | RCE | קריטי | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0682 | A-36588422* | RCE | רחב | 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0683 | A-36591008* | RCE | רחב | 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0684 | A-35421151 | EoP | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0685 | A-34203195 | DoS | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0686 | A-34231231 | DoS | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0688 | A-35584425 | DoS | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0689 | A-36215950 | DoS | רחב | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0690 | A-36592202 | DoS | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0691 | A-36724453 | DoS | רחב | 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0692 | A-36725407 | DoS | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0693 | A-36993291 | DoS | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0694 | A-37093318 | DoS | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0695 | A-37094889 | DoS | רחב | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0696 | A-37207120 | DoS | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0697 | A-37239013 | DoS | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0698 | A-35467458 | מזהה | בינונית | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0699 | A-36490809 | מזהה | בינונית | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
ממשק משתמש של המערכת
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לתוקף מרחוק להשתמש בקובץ שנוצר במיוחד כדי להריץ קוד שרירותי בהקשר של תהליך בעל הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0700 | A-35639138 | RCE | רחב | 7.1.1, 7.1.2 |
| CVE-2017-0701 | A-36385715 [2] | RCE | רחב | 7.1.1, 7.1.2 |
| CVE-2017-0702 | A-36621442 | RCE | רחב | 7.1.1, 7.1.2 |
| CVE-2017-0703 | A-33123882 | EoP | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0704 | A-33059280 | EoP | בינונית | 7.1.1, 7.1.2 |
רמת תיקון האבטחה מ-5 ביולי 2017 – פרטי נקודת החולשה
בקטעים הבאים מפורטים פרטים על כל נקודת החולשה באבטחה שחלה על רמת התיקון מ-5 ביולי 2017. נקודות החולשה מקובצות לפי הרכיב שבו הן משפיעות, וכוללות פרטים כמו מספר ה-CVE, הפניות משויכות, סוג נקודת החולשה, מידת החומרה, הרכיב (אם רלוונטי) וגרסאות AOSP מעודכנות (אם רלוונטי). כשהדבר אפשרי, אנחנו מקשרים את השינוי הציבורי שטיפל בבעיה למספר הבאג, כמו רשימת השינויים ב-AOSP. כשיש כמה שינויים שקשורים לבאג אחד, הפניות נוספות מקושרות למספרים שמופיעים אחרי מזהה הבאג.
רכיבים של Broadcom
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לתוקף בקרבת מקום להריץ קוד שרירותי בהקשר של הליבה.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-9417 | A-38041027* B-RB#123023 |
RCE | קריטי | דרייבר Wi-Fi |
| CVE-2017-0705 | A-34973477* B-RB#119898 |
EoP | בינונית | דרייבר Wi-Fi |
| CVE-2017-0706 | A-35195787* B-RB#120532 |
EoP | בינונית | דרייבר Wi-Fi |
רכיבים של HTC
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של תהליך בעל הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-0707 | A-36088467* | EoP | בינונית | דרייבר LED |
| CVE-2017-0708 | A-35384879* | מזהה | בינונית | מנהל התקן של קול |
| CVE-2017-0709 | A-35468048* | מזהה | נמוכה | מנהל התקן של מרכז חיישנים |
רכיבי הליבה
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של תהליך בעל הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-6074 | A-35784697 ליבת Upstream |
EoP | רחב | מערכת משנה של Networking |
| CVE-2017-5970 | A-35805460 ליבת Upstream |
DoS | רחב | מערכת משנה של Networking |
| CVE-2015-5707 | A-35841297 ליבת מקור [2] |
EoP | בינונית | מנהל התקן SCSI |
| CVE-2017-7308 | A-36725304 ליבת מקור [2] [3] |
EoP | בינונית | מנהל רשתות |
| CVE-2014-9731 | A-35841292 ליבת Upstream |
מזהה | בינונית | מערכת קבצים |
רכיבים של MediaTek
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של תהליך בעל הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-0711 | A-36099953* M-ALPS03206781 |
EoP | רחב | מנהל רשתות |
רכיבי NVIDIA
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של תהליך בעל הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-0340 | A-33968204* N-CVE-2017-0340 |
EoP | רחב | Libnvparser |
| CVE-2017-0326 | A-33718700* N-CVE-2017-0326 |
מזהה | בינונית | מנהל התקן וידאו |
רכיבי Qualcomm
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה מקומית זדונית להריץ קוד שרירותי בהקשר של הליבה.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-8255 | A-36251983 QC-CR#985205 |
EoP | רחב | תוכנת אתחול |
| CVE-2016-10389 | A-34500449 QC-CR#1009145 |
EoP | רחב | תוכנת אתחול |
| CVE-2017-8253 | A-35400552 QC-CR#1086764 |
EoP | רחב | מנהל התקן של המצלמה |
| CVE-2017-8262 | A-32938443 QC-CR#2029113 |
EoP | רחב | מנהל ההתקן של GPU |
| CVE-2017-8263 | A-34126808* QC-CR#1107034 |
EoP | רחב | מערכת משנה של זיכרון משותף אנונימי |
| CVE-2017-8267 | A-34173755* QC-CR#2001129 |
EoP | רחב | מערכת משנה של זיכרון משותף אנונימי |
| CVE-2017-8273 | A-35400056 QC-CR#1094372 [2] |
EoP | רחב | תוכנת אתחול |
| CVE-2016-5863 | A-36251182 QC-CR#1102936 |
EoP | בינונית | מנהל התקן USB HID |
| CVE-2017-8243 | A-34112490* QC-CR#2001803 |
EoP | בינונית | דרייבר SoC |
| CVE-2017-8246 | A-37275839 QC-CR#2008031 |
EoP | בינונית | מנהל התקן של קול |
| CVE-2017-8256 | A-37286701 QC-CR#1104565 |
EoP | בינונית | דרייבר Wi-Fi |
| CVE-2017-8257 | A-37282763 QC-CR#2003129 |
EoP | בינונית | מנהל התקן וידאו |
| CVE-2017-8259 | A-34359487 QC-CR#2009016 |
EoP | בינונית | דרייבר SoC |
| CVE-2017-8260 | A-34624155 QC-CR#2008469 |
EoP | בינונית | מנהל התקן של המצלמה |
| CVE-2017-8261 | A-35139833* QC-CR#2013631 |
EoP | בינונית | מנהל התקן של המצלמה |
| CVE-2017-8264 | A-33299365* QC-CR#1107702 |
EoP | בינונית | מנהל התקן של המצלמה |
| CVE-2017-8265 | A-32341313 QC-CR#1109755 |
EoP | בינונית | מנהל התקן וידאו |
| CVE-2017-8266 | A-33863407 QC-CR#1110924 |
EoP | בינונית | מנהל התקן וידאו |
| CVE-2017-8268 | A-34620535* QC-CR#2002207 |
EoP | בינונית | מנהל התקן של המצלמה |
| CVE-2017-8270 | A-35468665* QC-CR#2021363 |
EoP | בינונית | דרייבר Wi-Fi |
| CVE-2017-8271 | A-35950388* QC-CR#2028681 |
EoP | בינונית | מנהל התקן וידאו |
| CVE-2017-8272 | A-35950805* QC-CR#2028702 |
EoP | בינונית | מנהל התקן וידאו |
| CVE-2017-8254 | A-36252027 QC-CR#832914 |
מזהה | בינונית | מנהל התקן של קול |
| CVE-2017-8258 | A-37279737 QC-CR#2005647 |
מזהה | בינונית | מנהל התקן של המצלמה |
| CVE-2017-8269 | A-33967002* QC-CR#2013145 |
מזהה | בינונית | דרייבר IPA |
רכיבים של Qualcomm במקור סגור
נקודות החולשה האלה משפיעות על רכיבי Qualcomm, ומפורטות בהרחבה בעדכוני האבטחה של Qualcomm AMSS בשנים 2014-2016. הם כלולים בדף העדכונים הזה בנושא אבטחת Android כדי לשייך את התיקונים שלהם לרמת תיקון האבטחה ב-Android. התיקונים לנקודות החולשה האלה זמינים ישירות מ-Qualcomm.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2014-9411 | A-37473054* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9968 | A-37304413* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9973 | A-37470982* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9974 | A-37471979* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9975 | A-37471230* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9977 | A-37471087* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9978 | A-37468982* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9979 | A-37471088* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2014-9980 | A-37471029* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-0575 | A-37296999* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-8592 | A-37470090* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-8595 | A-37472411* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-8596 | A-37472806* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9034 | A-37305706* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9035 | A-37303626* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9036 | A-37303519* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9037 | A-37304366* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9038 | A-37303027* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9039 | A-37302628* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9040 | A-37303625* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9041 | A-37303518* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9042 | A-37301248* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9043 | A-37305954* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9044 | A-37303520* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9045 | A-37302136* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9046 | A-37301486* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9047 | A-37304367* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9048 | A-37305707* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9049 | A-37301488* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9050 | A-37302137* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9051 | A-37300737* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9052 | A-37304217* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9053 | A-37301249* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9054 | A-37303177* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9055 | A-37472412* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9060 | A-37472807* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9061 | A-37470436* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9062 | A-37472808* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9067 | A-37474000* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9068 | A-37470144* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9069 | A-37470777* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9070 | A-37474001* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9071 | A-37471819* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9072 | A-37474002* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2015-9073 | A-37473407* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2016-10343 | A-32580186* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2016-10344 | A-32583954* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2016-10346 | A-37473408* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2016-10347 | A-37471089* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2016-10382 | A-28823584* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2016-10383 | A-28822389* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2016-10388 | A-32580294* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2016-10391 | A-32583804* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2016-5871 | A-37473055* | לא רלוונטי | רחב | רכיב במקור סגור |
| CVE-2016-5872 | A-37472809* | לא רלוונטי | רחב | רכיב במקור סגור |
עדכונים למכשירי Google
בטבלה הזו מוצגת רמת תיקון האבטחה בעדכון האוויר (OTA) ובתמונות הקושחה האחרונות למכשירי Google. קובצי האימג' של הקושחה של מכשירי Google זמינים באתר של Google למפתחים.
| מכשיר Google | רמת תיקון האבטחה |
|---|---|
| Pixel / Pixel XL | 5 ביולי 2017 |
| Nexus 5X | 5 ביולי 2017 |
| Nexus 6 | 5 ביולי 2017 |
| Nexus 6P | 5 ביולי 2017 |
| Nexus 9 | 5 ביולי 2017 |
| Nexus Player | 5 ביולי 2017 |
| Pixel C | 5 ביולי 2017 |
עדכוני המכשירים של Google מכילים גם תיקונים לפגיעויות האבטחה הבאות, אם רלוונטי:
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-0710 | A-34951864* | EoP | בינונית | TCB |
תודות
אנחנו רוצים להודות לחוקרים הבאים על התרומות שלהם:
| CVE | חוקרים |
|---|---|
| CVE-2017-8263 | Billy Lau מ-Google |
| CVE-2017-0711 | צ'נגמינג יאנג (Chengming Yang), באוזנג דינג (Baozeng Ding) וינג סונג (Yang Song) מקבוצת Alibaba Mobile Security |
| CVE-2017-0681 | Chi Zhang,Hanxiang Wen, Mingjian Zhou (@Mingjian_Zhou) ו-Xuxian Jiang מצוות C0RE |
| CVE-2017-0706 | Daxing Guo (@freener0) מ-Xuanwu Lab, Tencent |
| CVE-2017-8260 | דרק (@derrekr6) וסקוט באואר |
| CVE-2017-8265 | די שן (@returnsme) מ-KeenLab (@keen_lab), Tencent |
| CVE-2017-0703 | Dzmitry Lukyanenka |
| CVE-2017-0692, CVE-2017-0694 | Elphet ו-Gong Guang מצוות Alpha, Qihoo 360 Technology Co. Ltd. |
| CVE-2017-8266, CVE-2017-8243, CVE-2017-8270 | Gengjia Chen (@chengjia4574) ו-pjf מ-IceSword Lab, Qihoo 360 Technology Co. Ltd. |
| CVE-2017-0665 | Chi Zhang,Hanxiang Wen, Mingjian Zhou (@Mingjian_Zhou) ו-Xuxian Jiang מצוות C0RE |
| CVE-2017-8268, CVE-2017-8261 | ג'יאנגיאנג ז'או (@jianqiangzhao) ו-pjf מ-IceSword Lab, Qihoo 360 |
| CVE-2017-0698 | Joey Brand מ-Census Consulting Inc. |
| CVE-2017-0666, CVE-2017-0684 | מינגג'יאן צ'או (Mingjian Zhou, @Mingjian_Zhou), צ'י ג'אנג (Chi Zhang) ו-Xuxian Jiang מצוות C0RE |
| CVE-2017-0697, CVE-2017-0670 | Niky1235 (@jiych_guru) |
| CVE-2017-9417 | נייטאי ארתנשטיין (Nitay Artenstein) מ-Exodus Intelligence |
| CVE-2017-0705, CVE-2017-8259 | Scott Bauer |
| CVE-2017-0667 | טימותי בקר (Timothy Becker) מ-CSS Inc. |
| CVE-2017-0682, CVE-2017-0683, CVE-2017-0676, CVE-2017-0696, CVE-2017-0675, CVE-2017-0701, CVE-2017-0702, CVE-2017-0699 | וסילי וסילייב |
| CVE-2017-0695, CVE-2017-0689, CVE-2017-0540, CVE-2017-0680, CVE-2017-0679, CVE-2017-0685, CVE-2017-0686, CVE-2017-0693, CVE-2017-0674, CVE-2017-0677 | מנהל שותף (@VYSEa) בצוות התגובה לאיומים בנייד, Trend Micro |
| CVE-2017-0708 | Xiling Gong מהמחלקה של פלטפורמת האבטחה של Tencent |
| CVE-2017-0690 | Yangkang (@dnpushme) ו-Liyadong מצוות Qex של Qihoo 360 |
| CVE-2017-8269, CVE-2017-8271, CVE-2017-8272, CVE-2017-8267 | Yonggang Guo (@guoygang) מ-IceSword Lab, Qihoo 360 Technology Co. Ltd. |
| CVE-2017-8264, CVE-2017-0326, CVE-2017-0709 | Yuan-Tsung Lo (computernik@gmail.com) ו-Xuxian Jiang מ-C0RE Team |
| CVE-2017-0704, CVE-2017-0669 | Yuxiang Li (@Xbalien29) מהמחלקה לפלטפורמת אבטחה של Tencent |
| CVE-2017-0710 | זכ ריג'ל (@ebeip90) מצוות האבטחה של Android |
| CVE-2017-0678 | Zinuo Han מ-Chengdu Security Response Center, Qihoo 360 Technology Co. Ltd. |
| CVE-2017-0691, CVE-2017-0700 | Zinuo Han מ-Chengdu Security Response Center, Qihoo 360 Technology Co. Ltd. ו-Ao Wang (@ArayzSegment) מ-Pangu Team |
שאלות נפוצות ותשובות
בקטע הזה נענה על שאלות נפוצות שעשויות להתעורר אחרי קריאת העדכון.
1. איך אפשר לדעת אם המכשיר מעודכן כדי לטפל בבעיות האלה?
במאמר לוח הזמנים של עדכוני Pixel ו-Nexus מוסבר איך בודקים את רמת תיקון האבטחה של מכשיר.
- רמות תיקוני האבטחה מ-1 ביולי 2017 ואילך מטפלות בכל הבעיות שמשויכות לרמת תיקון האבטחה מ-1 ביולי 2017.
- רמות תיקון האבטחה מ-5 ביולי 2017 ואילך מטפלות בכל הבעיות שמשויכות לרמת תיקון האבטחה מ-5 ביולי 2017 וכל רמות התיקון הקודמות.
יצרני מכשירים שכוללים את העדכונים האלה צריכים להגדיר את רמת מחרוזת התיקון ל-:
- [ro.build.version.security_patch]:[2017-07-01]
- [ro.build.version.security_patch]:[2017-07-05]
2. למה יש בעדכון הזה שתי רמות של תיקוני אבטחה?
בעדכון הזה יש שתי רמות תיקון אבטחה, כדי שלשותפי Android תהיה גמישות לתקן במהירות קבוצת משנה של נקודות חולשה שדומות בכל מכשירי Android. אנחנו ממליצים לשותפי Android לתקן את כל הבעיות שמפורטות בדף העדכונים הזה ולהשתמש ברמת התיקון האחרונה של האבטחה.
- במכשירים שמשתמשים ברמת תיקון האבטחה מ-1 ביולי 2017 חייבות להופיע כל הבעיות שמשויכות לרמת תיקון האבטחה הזו, וגם תיקונים לכל הבעיות שדווחו בעדכוני האבטחה הקודמים.
- במכשירים עם תיקון אבטחה ברמה של 5 ביולי 2017 ואילך חייבים לכלול את כל התיקונים הרלוונטיים מהעדכונים הקודמים של עדכוני האבטחה.
מומלץ לשותפים לארוז את התיקונים לכל הבעיות שהם מטפלים בהן בעדכון אחד.
3. מה המשמעות של הרשומות בעמודה Type?
הרשומות בעמודה Type בטבלת פרטי נקודת החולשה מפנות לסיווג של נקודת החולשה באבטחה.
| קיצור | הגדרה |
|---|---|
| RCE | ביצוע קוד מרחוק |
| EoP | הסלמת הרשאות |
| מזהה | חשיפת מידע |
| DoS | התקפת מניעת שירות (DoS) |
| לא רלוונטי | הסיווג לא זמין |
4. מה המשמעות של הרשומות בעמודה References?
רשומות בעמודה References בטבלת פרטי נקודת החולשה עשויות לכלול קידומת שמזהה את הארגון שאליו שייך ערך העזר.
| תחילית | חומרי עזר |
|---|---|
| A- | מזהה הבאג ב-Android |
| QC- | מספר הסימוכין של Qualcomm |
| M- | מספר הסימוכין של MediaTek |
| N- | מספר הסימוכין של NVIDIA |
| B- | מספר הסימוכין של Broadcom |
5. מה המשמעות של * לצד מזהה הבאג ב-Android בעמודה References?
בעיות שלא זמינות לציבור מסומנות בסימן * לצד מזהה הבאג ב-Android בעמודה References. בדרך כלל, העדכון לבעיה הזו נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developers.
גרסאות
| גרסה | תאריך | הערות |
|---|---|---|
| 1.0 | 5 ביולי 2017 | העדכון פורסם. |
| 1.1 | 6 ביולי 2017 | העדכון עודכן ונוספו קישורים ל-AOSP. |
| 1.2 | 11 ביולי 2017 | העדכון נעשה כדי לעדכן את האישור. |
| 1.3 | 17 באוגוסט 2017 | העדכון נעשה במספרי ההפניה. |
| 1.4 | 19 בספטמבר 2017 | עדכונים של אישורים ל-CVE-2017-0710. |
| 1.5 | 26 בספטמבר 2017 | עדכנו את האישור של CVE-2017-0681. |