תאריך פרסום: 7 באוגוסט 2017 | תאריך עדכון: 23 באוגוסט 2017
עדכון האבטחה של Android מכיל פרטים על נקודות חולשה באבטחה שמשפיעות על מכשירי Android. כל הבעיות האלה נפתרות ברמת תיקון האבטחה מ-5 באוגוסט 2017 ואילך. לוח הזמנים של עדכוני Pixel ו-Nexus מסביר איך בודקים את רמת תיקון האבטחה של המכשיר.
השותפים עודכנו על הבעיות המתוארות בעדכון לפחות לפני חודש. תיקוני קוד מקור לבעיות האלה פורסמו במאגר Android Open Source Project (AOSP) ויש קישור אליהם מהעדכון הזה. העדכון הזה כולל גם קישורים לתיקונים מחוץ ל-AOSP.
הבעיה החמורה ביותר היא נקודת חולשה קריטית באבטחה של מסגרת המדיה, שעלולה לאפשר לתוקף מרחוק להשתמש בקובץ שנוצר במיוחד כדי להריץ קוד שרירותי בהקשר של תהליך בעל הרשאות. הערכת החומרה מבוססת על ההשפעה שעלולה להיות לניצול נקודת החולשה על מכשיר מושפע, בהנחה שהאמצעי למזעור הפגיעות בפלטפורמה ובשירות מושבתים למטרות פיתוח או אם הם עוקפים בהצלחה.
לא קיבלנו דיווחים על ניצול פעיל של הבעיות החדשות האלה על ידי לקוחות או על ניצול לרעה שלהן. בקטע אמצעי מיטיגציה ב-Android וב-Google Play Protect מפורט מידע על ההגנות של פלטפורמת האבטחה של Android ועל Google Play Protect, שמשפרים את האבטחה של פלטפורמת Android.
אנחנו ממליצים לכל הלקוחות לאשר את העדכונים האלה במכשירים שלהם.
הערה: מידע על קובצי האימג' של הקושחה והעדכון האווירי (OTA) האחרונים למכשירי Google זמין בקטע עדכונים למכשירי Google.
הודעות
- בעדכון הזה יש שתי מחרוזות של רמת תיקון אבטחה, כדי לספק לשותפי Android גמישות לתקן במהירות קבוצת משנה של נקודות חולשה שדומות בכל מכשירי Android. למידע נוסף, אפשר לעיין בשאלות נפוצות ותשובות:
- 2017-08-01: מחרוזת חלקית של רמת תיקון האבטחה. מחרוזת רמת תיקון האבטחה הזו מציינת שכל הבעיות שמשויכות ל-2017-08-01 (וכל המחרוזות הקודמות של רמת תיקון האבטחה) טופלו.
- 2017-08-05: מחרוזת מלאה של רמת תיקון האבטחה. מחרוזת רמת תיקון האבטחה הזו מציינת שכל הבעיות שמשויכות ל-2017-08-01 ול-2017-08-05 (וכל המחרוזות הקודמות של רמת תיקון האבטחה) טופלו.
אמצעי מיטיגציה ב-Android וב-Google Play Protect
זהו סיכום של אמצעי המיטיגציה שסופקו על ידי פלטפורמת האבטחה של Android והגנות שירות כמו Google Play Protect. היכולות האלה מצמצמות את הסיכוי לנצל לרעה נקודות חולשה באבטחה ב-Android.
- שיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של בעיות רבות ב-Android. אנחנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
- צוות האבטחה של Android עוקב באופן פעיל אחר התנהלות פוגעת באמצעות Google Play Protect, ומזהיר את המשתמשים לגבי אפליקציות שעלולות להזיק. Google Play Protect מופעל כברירת מחדל במכשירים עם Google Mobile Services, והוא חשוב במיוחד למשתמשים שמתקינים אפליקציות ממקורות שאינם Google Play.
רמת תיקון האבטחה 01 באוגוסט 2017 – פרטי נקודת החולשה
בקטעים הבאים מפורטים פרטים על כל נקודת החולשה באבטחה שחלה על רמת התיקון 01 באוגוסט 2017. נקודות החולשה מקובצות לפי הרכיב שבו הן משפיעות. הבעיה מתוארת בטבלה עם מספר ה-CVE, הפניות משויכות, סוג נקודת החולשה, מידת החומרה וגרסאות AOSP מעודכנות (אם רלוונטי). כשהדבר אפשרי, אנחנו מקשרים את השינוי הציבורי שטיפל בבעיה למזהה הבאג, כמו רשימת השינויים ב-AOSP. כשיש כמה שינויים שקשורים לבאג אחד, הפניות נוספות מקושרות למספרים שמופיעים אחרי מזהה הבאג.
Framework
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית להשתמש בקובץ שנוצר במיוחד כדי להריץ קוד שרירותי בהקשר של תהליך בעל הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0712 | A-37207928 | EoP | בינונית | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
ספריות
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לתוקף מרחוק להשתמש בקובץ שנוצר במיוחד כדי להריץ קוד שרירותי בהקשר של תהליך ללא הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0713 | A-32096780 [2] | RCE | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
מסגרת מדיה
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לתוקף מרחוק להשתמש בקובץ שנוצר במיוחד כדי להריץ קוד שרירותי בהקשר של תהליך בעל הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0714 | A-36492637 | RCE | קריטי | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0715 | A-36998372 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0716 | A-37203196 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0718 | A-37273547 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0719 | A-37273673 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0720 | A-37430213 | RCE | קריטי | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0721 | A-37561455 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0722 | A-37660827 | RCE | קריטי | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0723 | A-37968755 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0745 | A-37079296 | RCE | קריטי | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0724 | A-36819262 | DoS | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0725 | A-37627194 | DoS | רחב | 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0726 | A-36389123 | DoS | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0727 | A-33004354 | EoP | רחב | 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0728 | A-37469795 | DoS | רחב | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0729 | A-37710346 | EoP | רחב | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0730 | A-36279112 | DoS | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0731 | A-36075363 | EoP | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0732 | A-37504237 | EoP | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0733 | A-38391487 | DoS | רחב | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0734 | A-38014992 | DoS | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0735 | A-38239864 [2] | DoS | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0736 | A-38487564 | DoS | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0687 | A-35583675 | DoS | רחב | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0737 | A-37563942 | EoP | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0805 | A-37237701 | EoP | רחב | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0738 | A-37563371 [2] | מזהה | בינונית | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0739 | A-37712181 | מזהה | בינונית | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
רמת תיקון האבטחה 2017-08-05 – פרטי נקודת החולשה
בקטעים הבאים מפורטים פרטים על כל נקודת החולשה באבטחה שחלה על רמת התיקון 2017-08-05. נקודות החולשה מקובצות לפי הרכיב שבו הן משפיעות, וכוללות פרטים כמו מספר ה-CVE, הפניות משויכות, סוג נקודת החולשה, מידת החומרה, הרכיב (אם רלוונטי) וגרסאות AOSP מעודכנות (אם רלוונטי). כשהדבר אפשרי, אנחנו מקשרים את השינוי הציבורי שטיפל בבעיה למספר הבאג, כמו רשימת השינויים ב-AOSP. כשיש כמה שינויים שקשורים לבאג אחד, הפניות נוספות מקושרות למספרים שמופיעים אחרי מזהה הבאג.
רכיבים של Broadcom
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לתוקף מרחוק להשתמש בקובץ שנוצר במיוחד כדי להריץ קוד שרירותי בהקשר של תהליך ללא הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-0740 | A-37168488* B-RB#116402 |
RCE | בינונית | מנהל רשתות |
רכיבי הליבה
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של תהליך בעל הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-10661 | A-36266767 ליבת Upstream |
EoP | רחב | מערכת קבצים |
| CVE-2017-0750 | A-36817013* | EoP | בינונית | מערכת קבצים |
| CVE-2017-10662 | A-36815012 ליבת Upstream |
EoP | בינונית | מערכת קבצים |
| CVE-2017-10663 | A-36588520 ליבת Upstream |
EoP | בינונית | מערכת קבצים |
| CVE-2017-0749 | A-36007735* | EoP | בינונית | ליבה של Linux |
רכיבים של MediaTek
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של תהליך בעל הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-0741 | A-32458601* M-ALPS03007523 |
EoP | רחב | מנהל ההתקן של GPU |
| CVE-2017-0742 | A-36074857* M-ALPS03275524 |
EoP | בינונית | מנהל התקן וידאו |
רכיבי Qualcomm
נקודת החולשה החמורה ביותר בקטע הזה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של תהליך בעל הרשאות.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-0746 | A-35467471* QC-CR#2029392 |
EoP | בינונית | דרייבר IPA |
| CVE-2017-0747 | A-32524214* QC-CR#2044821 |
EoP | בינונית | רכיב קנייני |
| CVE-2017-9678 | A-35258962* QC-CR#2028228 |
EoP | בינונית | מנהל התקן וידאו |
| CVE-2017-9691 | A-33842910* QC-CR#1116560 |
EoP | בינונית | דרייבר MobiCore (Trustonic) |
| CVE-2017-9684 | A-35136547* QC-CR#2037524 |
EoP | בינונית | מנהל התקן USB |
| CVE-2017-9682 | A-36491445* QC-CR#2030434 |
מזהה | בינונית | מנהל ההתקן של GPU |
עדכונים למכשירי Google
בטבלה הזו מוצגת רמת תיקון האבטחה בעדכון האוויר (OTA) ובתמונות הקושחה האחרונות למכשירי Google. קובצי האימג' של הקושחה של מכשירי Google זמינים באתר של Google למפתחים.
| מכשיר Google | רמת תיקון האבטחה |
|---|---|
| Pixel / Pixel XL | 5 באוגוסט 2017 |
| Nexus 5X | 5 באוגוסט 2017 |
| Nexus 6 | 5 באוגוסט 2017 |
| Nexus 6P | 5 באוגוסט 2017 |
| Nexus 9 | 5 באוגוסט 2017 |
| Nexus Player | 5 באוגוסט 2017 |
| Pixel C | 5 באוגוסט 2017 |
עדכוני המכשירים של Google מכילים גם תיקונים לפגיעויות האבטחה הבאות, אם רלוונטי:
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב |
|---|---|---|---|---|
| CVE-2017-0744 | A-34112726* N-CVE-2017-0744 |
EoP | נמוכה | מנהל התקן של קול |
| CVE-2017-9679 | A-35644510* QC-CR#2029409 |
מזהה | נמוכה | דרייבר SoC |
| CVE-2017-9680 | A-35764241* QC-CR#2030137 |
מזהה | נמוכה | דרייבר SoC |
| CVE-2017-0748 | A-35764875* QC-CR#2029798 |
מזהה | נמוכה | מנהל התקן אודיו |
| CVE-2017-9681 | A-36386593* QC-CR#2030426 |
מזהה | נמוכה | מנהל התקן של רדיו |
| CVE-2017-9693 | A-36817798* QC-CR#2044820 |
מזהה | נמוכה | מנהל רשתות |
| CVE-2017-9694 | A-36818198* QC-CR#2045470 |
מזהה | נמוכה | מנהל רשתות |
| CVE-2017-0751 | A-36591162* QC-CR#2045061 |
EoP | נמוכה | מנהל ההתקן של QCE |
| CVE-2017-9692 | A-36731152* QC-CR#2021707 |
DoS | נמוכה | מנהל התקן של גרפיקה |
תודות
אנחנו רוצים להודות לחוקרים הבאים על התרומות שלהם:
| CVE | חוקרים |
|---|---|
| CVE-2017-0741, CVE-2017-0742, CVE-2017-0751 | Baozeng Ding (@sploving), Chengming Yang ו-Yang Song מקבוצת האבטחה לנייד של Alibaba |
| CVE-2017-9682 | ביל לאו (Billy Lau) מצוות האבטחה של Android |
| CVE-2017-0739 | Dacheng Shao, Hongli Han (@HexB1n), Mingjian Zhou (@Mingjian_Zhou) ו-Xuxian Jiang מצוות C0RE |
| CVE-2017-9691, CVE-2017-0744 | Gengjia Chen (@chengjia4574) ו-pjf מ-IceSword Lab, Qihoo 360 Technology Co. Ltd. |
| CVE-2017-0727 | Guang Gong (龚广) (@oldfresher) מצוות Alpha, Qihoo 360 Technology Co. Ltd. |
| CVE-2017-0737 | Hanxiang Wen, Mingjian Zhou (@Mingjian_Zhou) ו-Xuxian Jiang מצוות C0RE |
| CVE-2017-0748 | Hao Chen ו-Guang Gong מצוות אלפא של Qihoo 360 Technology Co. Ltd. |
| CVE-2017-0731 | Hongli Han (@HexB1n), Mingjian Zhou (@Mingjian_Zhou) ו-Xuxian Jiang מצוות C0RE |
| CVE-2017-9679 | נת'ן קרנדל (@natecray) מצוות אבטחת המוצרים של Tesla |
| CVE-2017-0726 | Niky1235 (@jiych_guru) |
| CVE-2017-9684, CVE-2017-9694, CVE-2017-9693, CVE-2017-9681, CVE-2017-0738, CVE-2017-0728 | Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮) ו-Lenx Wei (韦韬) מ-Baidu X-Lab (百度安全实验室) |
| CVE-2017-9680, CVE-2017-0740 | סקוט באואר (Scott Bauer) (@ScottyBauer1) |
| CVE-2017-0724 | Seven Shen (@lingtongshen) מ-TrendMicro |
| CVE-2017-0732, CVE-2017-0805 | טימותי בקר (Timothy Becker) מ-CSS Inc. |
| CVE-2017-10661 | טונג לין (segfault5514@gmail.com), יואן-צ'ונג לו (computernik@gmail.com) ו-Xuxian Jiang מ-C0RE Team |
| CVE-2017-0712 | Valerio Costamagna (@vaio_co) ו-Marco Bartoli (@wsxarcher) |
| CVE-2017-0716 | וסילי וסילייב |
| CVE-2017-0750, CVE-2017-0713, CVE-2017-0715, CVE-2017-10662CVE-2017-10663 | מנהל שותף (@VYSEa) בצוות התגובה לאיומים בנייד, Trend Micro |
| CVE-2017-9678 | Yan Zhou מצוות Eagleye, SCC, Huawei |
| CVE-2017-0749, CVE-2017-0746 | Yonggang Guo (@guoygang) מ-IceSword Lab, Qihoo 360 Technology Co. Ltd. |
| CVE-2017-0729 | יונגקה וואנג (Yongke Wang) מ-Xuanwu Lab של Tencent |
| CVE-2017-0714, CVE-2017-0719, CVE-2017-0718, CVE-2017-0722, CVE-2017-0725, CVE-2017-0720, CVE-2017-0745 | Zinuo Han מ-Chengdu Security Response Center, Qihoo 360 Technology Co. Ltd. |
שאלות נפוצות ותשובות
בקטע הזה נענה על שאלות נפוצות שעשויות להתעורר אחרי קריאת העדכון.
1. איך אפשר לדעת אם המכשיר מעודכן כדי לטפל בבעיות האלה?
במאמר לוח הזמנים של עדכוני Pixel ו-Nexus מוסבר איך בודקים את רמת תיקון האבטחה של מכשיר.
- רמות תיקוני האבטחה מ-01 באוגוסט 2017 ואילך מטפלות בכל הבעיות שמשויכות לרמת תיקון האבטחה מ-01 באוגוסט 2017.
- רמות תיקון האבטחה מ-5 באוגוסט 2017 ואילך מטפלות בכל הבעיות שמשויכות לרמת תיקון האבטחה מ-5 באוגוסט 2017 וכל רמות התיקון הקודמות.
יצרני מכשירים שכוללים את העדכונים האלה צריכים להגדיר את רמת מחרוזת התיקון ל-:
- [ro.build.version.security_patch]:[2017-08-01]
- [ro.build.version.security_patch]:[2017-08-05]
2. למה יש בעדכון הזה שתי רמות של תיקוני אבטחה?
בעדכון הזה יש שתי רמות תיקון אבטחה, כדי שלשותפי Android תהיה גמישות לתקן במהירות קבוצת משנה של נקודות חולשה שדומות בכל מכשירי Android. אנחנו ממליצים לשותפי Android לתקן את כל הבעיות שמפורטות בדף העדכונים הזה ולהשתמש ברמת התיקון האחרונה של האבטחה.
- מכשירים עם תיקון האבטחה ברמה מ-1 באוגוסט 2017 חייבים לכלול את כל הבעיות שמשויכות לרמה הזו של תיקון האבטחה, וגם תיקונים לכל הבעיות שדווחו בעדכוני האבטחה הקודמים.
- במכשירים עם תיקון אבטחה ברמה של 5 באוגוסט 2017 ואילך חייבים לכלול את כל התיקונים הרלוונטיים מהעדכונים האלה (ומהעדכונים הקודמים).
מומלץ לשותפים לארוז את התיקונים לכל הבעיות שהם מטפלים בהן בעדכון אחד.
3. מה המשמעות של הרשומות בעמודה Type?
הרשומות בעמודה Type בטבלת פרטי נקודת החולשה מפנות לסיווג של נקודת החולשה באבטחה.
| קיצור | הגדרה |
|---|---|
| RCE | ביצוע קוד מרחוק |
| EoP | הסלמת הרשאות |
| מזהה | חשיפת מידע |
| DoS | התקפת מניעת שירות (DoS) |
| לא רלוונטי | הסיווג לא זמין |
4. מה המשמעות של הרשומות בעמודה References?
רשומות בעמודה References בטבלת פרטי נקודת החולשה עשויות לכלול קידומת שמזהה את הארגון שאליו שייך ערך העזר.
| תחילית | חומרי עזר |
|---|---|
| A- | מזהה הבאג ב-Android |
| QC- | מספר הסימוכין של Qualcomm |
| M- | מספר הסימוכין של MediaTek |
| N- | מספר הסימוכין של NVIDIA |
| B- | מספר הסימוכין של Broadcom |
5. מה המשמעות של * לצד מזהה הבאג ב-Android בעמודה References?
בעיות שלא זמינות לציבור מסומנות בסימן * לצד מזהה הבאג ב-Android בעמודה References. בדרך כלל, העדכון לבעיה הזו נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developers.
גרסאות
| גרסה | תאריך | הערות |
|---|---|---|
| 1.0 | 7 באוגוסט 2017 | העדכון פורסם. |
| 1.1 | 8 באוגוסט 2017 | העדכון עודכן כך שיכלול קישורים ל-AOSP ואישורים. |
| 1.2 | 14 באוגוסט 2017 | העדכון עודכן והוספה אליו CVE-2017-0687. |
| 1.2 | 23 באוגוסט 2017 | העדכון עודכן והוספה אליו CVE-2017-0805. |