Бюллетень по безопасности Android – август 2017 г.

Опубликован 7 августа 2017 г. | Обновлен 23 августа 2017 г.

В этом бюллетене содержится информация об уязвимостях в защите устройств Android. Все актуальные проблемы, перечисленные здесь, устранены в исправлении от 5 августа 2017 года или более новом. Сведения о том, как проверить уровень исправления системы безопасности на устройстве, можно найти в статье о сроках обновления ПО.

Мы сообщили партнерам о проблемах, описанных в бюллетене, по крайней мере месяц назад. Исправления уязвимостей доступны в хранилище Android Open Source Project (AOSP). Ссылки на них, а также на исправления вне AOSP есть в этом бюллетене.

Самая серьезная из проблем – критическая уязвимость в Media Framework, которая позволяет злоумышленнику удаленно выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла. Уровень серьезности зависит от того, какой ущерб может быть нанесен устройству, если средства защиты будут отключены в целях разработки или злоумышленнику удастся их обойти.

У нас нет информации об активном использовании обнаруженных уязвимостей. В разделе Предотвращение атак рассказывается, как платформа безопасности и Google Play Защита помогают снизить вероятность успешного использования уязвимостей Android.

Мы рекомендуем всем пользователям установить эти обновления.

Примечание. Информация о последних беспроводных обновлениях (OTA) и образах встроенного ПО для устройств Google находится в разделе Обновления устройств Google.

Объявления

  • Мы включили в этот бюллетень сведения о двух исправлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Дополнительную информацию вы найдете в разделе Часто задаваемые вопросы.
    • 2017-08-01: частичное исправление системы безопасности, в котором устранены все уязвимости уровня 2017-08-01 и более ранние.
    • 2017-08-05: полное исправление системы безопасности, в котором устранены все уязвимости уровней 2017-08-01 и 2017-08-05, а также более ранние.

Предотвращение атак

Здесь описано, как платформа безопасности Android и средства защиты сервисов, например Google Play Защита, позволяют снизить вероятность атак на Android.

  • В новых версиях Android сложнее использовать многие уязвимости, поэтому мы рекомендуем всем пользователям своевременно обновлять систему.
  • Команда, отвечающая за безопасность Android, активно отслеживает случаи злоупотребления с помощью Google Play Защиты и предупреждает пользователей об установке потенциально опасных приложений. Google Play Защита по умолчанию включена на телефонах и планшетах, использующих сервисы Google для мобильных устройств. Она особенно важна, если устанавливаются приложения не из Google Play.

Описание уязвимостей (исправление системы безопасности 2017-08-01)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2017-08-01. Проблемы сгруппированы по компонентам, которые они затрагивают. Для каждого случая приведены описание и таблица, в которой указаны CVE, ссылки, тип уязвимости, уровень серьезности и, если применимо, версии AOSP. Где возможно, мы приводим основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), Если таких изменений несколько, дополнительные ссылки указываются в квадратных скобках.

Framework

Самая серьезная уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла.

CVE Ссылки Тип Уровень серьезности Обновленные версии AOSP
CVE-2017-0712 A-37207928 EoP Средний 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2

Библиотеки

Самая серьезная уязвимость позволяет злоумышленнику выполнять произвольный код в контексте непривилегированного процесса с помощью специально созданного файла.

CVE Ссылки Тип Уровень серьезности Обновленные версии AOSP
CVE-2017-0713 A-32096780 [2] УВК Высокий 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2

Media Framework

Самая серьезная уязвимость позволяет злоумышленнику удаленно выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла.

CVE Ссылки Тип Уровень серьезности Обновленные версии AOSP
CVE-2017-0714 A-36492637 УВК Критический 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0715 A-36998372 УВК Критический 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0716 A-37203196 УВК Критический 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0718 A-37273547 УВК Критический 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0719 A-37273673 УВК Критический 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0720 A-37430213 УВК Критический 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0721 A-37561455 УВК Критический 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0722 A-37660827 УВК Критический 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0723 A-37968755 УВК Критический 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0745 A-37079296 УВК Критический 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0724 A-36819262 ОО Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0725 A-37627194 ОО Высокий 7.0, 7.1.1, 7.1.2
CVE-2017-0726 A-36389123 ОО Высокий 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0727 A-33004354 EoP Высокий 7.0, 7.1.1, 7.1.2
CVE-2017-0728 A-37469795 ОО Высокий 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0729 A-37710346 EoP Высокий 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0730 A-36279112 ОО Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0731 A-36075363 EoP Высокий 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0732 A-37504237 EoP Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0733 A-38391487 ОО Высокий 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0734 A-38014992 ОО Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0735 A-38239864 [2] ОО Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0736 A-38487564 ОО Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0687 A-35583675 ОО Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0737 A-37563942 EoP Высокий 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0805 A-37237701 EoP Высокий 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0738 A-37563371 [2] РИ Средний 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0739 A-37712181 РИ Средний 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2

Описание уязвимостей (исправление системы безопасности 2017-08-05)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в исправлении системы безопасности 2017-08-05. Проблемы сгруппированы по компонентам, которые они затрагивают. Для каждого случая приведена таблица, в которой указаны CVE, ссылки, тип уязвимости, уровень серьезности, а также, если применимо, компонент и версии AOSP. Где возможно, мы приводим основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Компоненты Broadcom

Самая серьезная уязвимость позволяет злоумышленнику выполнять произвольный код в контексте непривилегированного процесса с помощью специально созданного файла.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-0740 A-37168488*
B-RB#116402
RCE Средний Сетевой драйвер

Компоненты ядра

Самая серьезная уязвимость позволяет локальному вредоносному приложению выполнять произвольный код в контексте привилегированного процесса.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-10661 A-36266767
Upstream kernel
EoP Высокий Файловая система
CVE-2017-0750 A-36817013* EoP Средний Файловая система
CVE-2017-10662 A-36815012
Upstream kernel
EoP Средний Файловая система
CVE-2017-10663 A-36588520
Upstream kernel
EoP Средний Файловая система
CVE-2017-0749 A-36007735* EoP Средний Ядро Linux

Компоненты MediaTek

Самая серьезная уязвимость позволяет локальному вредоносному приложению выполнять произвольный код в контексте привилегированного процесса.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-0741 A-32458601*
M-ALPS03007523
EoP Высокий Драйвер графического процессора
CVE-2017-0742 A-36074857*
M-ALPS03275524
EoP Средний Видеодрайвер

Компоненты Qualcomm

Самая серьезная уязвимость позволяет локальному вредоносному приложению выполнять произвольный код в контексте привилегированного процесса.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-0746 A-35467471*
QC-CR#2029392
EoP Средний Драйвер усилителя
CVE-2017-0747 A-32524214*
QC-CR#2044821
EoP Средний Проприетарный компонент
CVE-2017-9678 A-35258962*
QC-CR#2028228
EoP Средний Видеодрайвер
CVE-2017-9691 A-33842910*
QC-CR#1116560
EoP Средний Драйвер MobiCore (Trustonic)
CVE-2017-9684 A-35136547*
QC-CR#2037524
EoP Средний USB-драйвер
CVE-2017-9682 A-36491445*
QC-CR#2030434
ID Средний Драйвер графического процессора

Обновления устройств Google

В таблице указано исправление системы безопасности, которое находится в последнем беспроводном обновлении и в образах встроенного ПО для устройств Google.

Устройство Исправление системы безопасности
Pixel/Pixel XL 5 августа 2017 г.
Nexus 5X 5 августа 2017 г.
Nexus 6 5 августа 2017 г.
Nexus 6P 5 августа 2017 г.
Nexus 9 5 августа 2017 г.
Nexus Player 5 августа 2017 г.
Pixel С 5 августа 2017 г.

В обновления устройств Google также включены исправления для следующих уязвимостей системы безопасности (если применимо):

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-0744 A-34112726*
N-CVE-2017-0744
EoP Низкий Аудиодрайвер
CVE-2017-9679 A-35644510*
QC-CR#2029409
ID Низкий Драйвер процессора
CVE-2017-9680 A-35764241*
QC-CR#2030137
ID Низкий Драйвер процессора
CVE-2017-0748 A-35764875*
QC-CR#2029798
ID Низкий Аудиодрайвер
CVE-2017-9681 A-36386593*
QC-CR#2030426
ID Низкий Радиодрайвер
CVE-2017-9693 A-36817798*
QC-CR#2044820
ID Низкий Сетевой драйвер
CVE-2017-9694 A-36818198*
QC-CR#2045470
ID Низкий Сетевой драйвер
CVE-2017-0751 A-36591162*
QC-CR#2045061
EoP Низкий Драйвер шифрования Qualcomm
CVE-2017-9692 A-36731152*
QC-CR#2021707
DoS Низкий Драйвер графической системы

Благодарности

Благодарим всех, кто помог обнаружить уязвимости:

CVE Специалисты
CVE-2017-0741, CVE-2017-0742, CVE-2017-0751 Баоцзэн Дин (@sploving), Чэнмин Ян и Ян Сун из Alibaba Mobile Security Group
CVE-2017-9682 Билли Лау из Android Security
CVE-2017-0739 Дачэн Шао, Хунли Хань (@HexB1n), Минцзянь Чжоу (@Mingjian_Zhou) и Сюйсянь Цзян из C0RE Team
CVE-2017-9691, CVE-2017-0744 Гэнцзя Чэнь (@chengjia4574) и pjf из IceSword Lab, Qihoo 360 Technology Co. Ltd.
CVE-2017-0727 Гуан Гун (龚广) (@oldfresher) из Alpha Team, Qihoo 360 Technology Co. Ltd.
CVE-2017-0737 Ханьсян Вэнь, Минцзянь Чжоу (@Mingjian_Zhou) и Сюйсянь Цзян из C0RE Team
CVE-2017-0748 Хао Чэнь и Гуан Гун из Alpha Team, Qihoo 360 Technology Co. Ltd.
CVE-2017-0731 Хунли Хань (@HexB1n), Минцзянь Чжоу (@Mingjian_Zhou) и Сюйсянь Цзян из C0RE Team
CVE-2017-9679 Нейтан Крэнделл (@natecray) из команды по безопасности продукта компании Tesla
CVE-2017-0726 Niky1235 (@jiych_guru)
CVE-2017-9684, CVE-2017-9694, CVE-2017-9693, CVE-2017-9681, CVE-2017-0738, CVE-2017-0728 Пэнфэй Дин (丁鹏飞), Чэньфу Бао (包沉浮) и Ленкс Вэй (韦韬) из Baidu X-Lab (百度安全实验室)
CVE-2017-9680, CVE-2017-0740 Скотт Бауэр (@ScottyBauer1)
CVE-2017-0724 Севен Шэнь (@lingtongshen) из Trend Micro
CVE-2017-0732, CVE-2017-0805 Тимоти Беккер из CSS Inc.
CVE-2017-10661 Тун Линь (segfault5514@gmail.com), Юань-Цун Ло (computernik@gmail.com) и Сюйсянь Цзян из C0RE Team
CVE-2017-0712 Валерио Костаманья (@vaio_co) и Марко Бартоли (@wsxarcher)
CVE-2017-0716 Василий Васильев
CVE-2017-0750, CVE-2017-0713, CVE-2017-0715, CVE-2017-10662CVE-2017-10663 V.E.O (@VYSEa) из команды по изучению угроз для мобильных устройств, Trend Micro
CVE-2017-9678 Янь Чжоу из Eagleye team, SCC, Huawei
CVE-2017-0749, CVE-2017-0746 Юнган Го (@guoygang) из IceSword Lab, Qihoo 360 Technology Co. Ltd.
CVE-2017-0729 Юнкэ Ван из Tencent's Xuanwu Lab
CVE-2017-0714, CVE-2017-0719, CVE-2017-0718, CVE-2017-0722, CVE-2017-0725, CVE-2017-0720, CVE-2017-0745 Цзыно Хань из Chengdu Security Response Center, Qihoo 360 Technology Co. Ltd.

Часто задаваемые вопросы

В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.

1. Как определить, установлено ли на устройство обновление, в котором устранены перечисленные проблемы?

Информацию о том, как проверить уровень исправления системы безопасности на устройстве, можно найти в статье о сроках обновления ПО.

  • В исправлении 2017-08-01 и более новых устранены все проблемы, соответствующие исправлению системы безопасности 2017-08-01.
  • В исправлении 2017-08-05 и более новых устранены все проблемы, соответствующие исправлению системы безопасности 2017-08-05 и всем предыдущим исправлениям.

Производители устройств, позволяющие установить эти обновления, должны присвоить им один из следующих уровней:

  • [ro.build.version.security_patch]:[2017-08-01]
  • [ro.build.version.security_patch]:[2017-08-05]

2. Почему в этом бюллетене говорится о двух исправлениях системы безопасности?

Мы включили в этот бюллетень сведения о двух исправлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Рекомендуем партнерам Android решить все перечисленные выше проблемы и установить последнее исправление системы безопасности.

  • На устройствах с установленным исправлением от 1 августа 2017 года должны быть устранены все охваченные им проблемы, а также уязвимости, упомянутые в предыдущих выпусках бюллетеня.
  • На устройствах с установленным исправлением от 5 августа 2017 года или более новым должны быть решены все проблемы, описанные в этом бюллетене и предыдущих выпусках.

Рекомендуем партнерам собрать все исправления проблем в одно обновление.

3. Что означают сокращения в столбце Тип?

В этом столбце указан тип уязвимости по следующей классификации:

Сокращение Описание
RCE Удаленное выполнение кода
EoP Повышение привилегий
ID Раскрытие информации
DoS Отказ в обслуживании
Классификация недоступна

4. Что означает информация в столбце Ссылки?

В таблицах с описанием уязвимостей есть столбец Ссылки. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:

Префикс Значение
A- Идентификатор ошибки Android
QC- Ссылочный номер Qualcomm
M- Ссылочный номер MediaTek
N- Ссылочный номер NVIDIA
B- Ссылочный номер Broadcom

5. Что означает символ * рядом с идентификатором ошибки Android в столбце Ссылки?

Символ * означает, что исправление для уязвимости не опубликовано. Необходимое обновление обычно содержится в последних исполняемых файлах драйверов для устройств Nexus, которые можно скачать на сайте для разработчиков.

Версии

Версия Дата Примечания
1.0 7 августа 2017 г. Бюллетень опубликован.
1.1 8 августа 2017 г. Добавлены ссылки на AOSP и обновлен раздел благодарностей.
1.2 14 августа 2017 г. Добавлена информация об уязвимости CVE-2017-0687.
1.3 23 августа 2017 г. Добавлена информация об уязвимости CVE-2017-0805.