Biuletyn bezpieczeństwa w Androidzie – sierpień 2018 r.

Opublikowano 6 sierpnia 2018 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Wszystkie te problemy zostały rozwiązane w poziomach poprawek zabezpieczeń z 5 sierpnia 2018 r. lub nowszych. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed publikacją. Poprawki kodu źródłowego dotyczące tych problemów zostały opublikowane w repozytorium Projektu Android Open Source (AOSP) i link do niego znajduje się w tym biuletynie. Ten biuletyn zawiera też linki do poprawek poza AOSP.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach, która może umożliwić atakującemu zdalnego użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście procesu uprzywilejowanego. Ocena ważności jest oparta na wpływie, jaki wykorzystanie luki w zabezpieczeniach może mieć na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programowania lub zostały pomyślnie omijane.

Nie otrzymaliśmy żadnych zgłoszeń o aktywnej eksploatacji klientów ani o wykorzystaniu tych nowo zgłoszonych problemów. Więcej informacji o środkach zaradczych Androida i Google Play Protect znajdziesz w sekcji dotyczącej zabezpieczeń platformy Android i Google Play Protect, które zwiększają bezpieczeństwo platformy Android.

Uwaga: informacje o najnowszej aktualizacji bezprzewodowej (OTA) i obrazu pamięci ROM urządzeń Google znajdziesz w Biuletynie bezpieczeństwa Pixel / Nexus z sierpnia 2018 r..

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie działań zapobiegawczych oferowanych przez platformę bezpieczeństwa Androida oraz zabezpieczenia usług, takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach będą mogły być wykorzystane na urządzeniach z Androidem.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą Google Play Protect i ostrzega użytkowników o potencjalnie szkodliwych aplikacjach. Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play.

Szczegóły dotyczące podatności na poziomie poprawki zabezpieczeń z 01.08.2018

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które mają zastosowanie do poziomu poprawek z 2018-08-01. Luki są grupowane według komponentu, którego dotyczą. Zawiera on opis problemu oraz tabelę z luką w zabezpieczeniach CVE, powiązanymi odniesieniami, typem luki, wagą oraz zaktualizowanymi wersjami AOSP (w stosownych przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Platforma

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2018-9445 A-80436257 [2] EoP Wysoki 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9438 A-78644887 [2] [3] [4] DoS Wysoki 8.1
CVE-2018-9458 A-71786287 EoP Wysoki 8.0, 8.1
CVE-2018-9451 A-79488511 [2] ID Wysoki 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1

Platforma mediów

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnie użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście uprzywilejowanego procesu.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2018-9427 A-77486542 [2] RCE Krytyczny 8.0, 8.1
CVE-2018-9444 A-63521984* DoS Wysoki 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2018-9437 A-78656554 DoS Wysoki 6.0, 6.0.1

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnie użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście uprzywilejowanego procesu.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2018-9446 A-80145946 RCE Krytyczny 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9450 A-79541338 RCE Krytyczny 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9459 A-66230183 EoP Wysoki 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9455 A-78136677 DoS Wysoki 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9436 A-79164722 ID Wysoki 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9454 A-78286118 ID Wysoki 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9448 A-79944113 [2] ID Wysoki 8.0, 8.1
CVE-2018-9453 A-78288378 ID Wysoki 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1

Szczegóły dotyczące luki w zabezpieczeniach na poziomie aktualizacji zabezpieczeń z 2018-08-05

W odcinkach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które mają zastosowanie do poziomu poprawek z 5 sierpnia 2018 r. Informacje o lukach są pogrupowane według komponentu, którego dotyczą, i zawierają takie szczegóły jak CVE, powiązane odniesienia, typ luki, powagę, komponent (w stosownych przypadkach) oraz zaktualizowane wersje AOSP (w stosownych przypadkach). Jeśli to możliwe, łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, na przykład z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Komponenty jądra

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2017-18249 A-78283212
Jednostka jądra upstream		 EoP Wysoki F2FS
CVE-2018-9465 A-69164715
Upstream kernel		 EoP Wysoki segregator

Komponenty Qualcomm

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może prowadzić do zdalnego ujawnienia informacji bez konieczności posiadania dodatkowych uprawnień do wykonywania.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2018-5383 A-79421580*
QC-CR#2209635		 ID Wysoki Bluetooth
CVE-2017-13077 A-78284758
QC-CR#2133033		 ID Wysoki WLAN
CVE-2017-18281 A-78242172
QC-CR#856388		 ID Wysoki Wideo
CVE-2018-11260 A-72997254
QC-CR#2204872		 EoP Wysoki WLAN

Komponenty Qualcomm o zamkniętym kodzie źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm i są opisane w szczegółach w odpowiednim biuletynie lub alertu dotyczącym zabezpieczeń AMSS firmy Qualcomm. Ocenę ważności tych problemów przeprowadza bezpośrednio firma Qualcomm.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2017-18296 A-78240731* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2017-18305 A-78239838* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2017-18310 A-62211308* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2017-18295 A-78240386* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18283 A-78240411* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18294 A-78240247* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18293 A-78240316* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18292 A-78241027* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18298 A-78239976* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18299 A-78240418* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18304 A-78239975* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18303 A-78240396* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18301 A-78238455* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18302 A-78239233* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18300 A-78239508* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18297 A-78240275* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18280 A-78285512* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18282 A-78241591* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18309 A-73539064* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18308 A-73539310* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2018-11305 A-72951032* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2018-11258 A-72951054* Nie dotyczy Wysoki Komponent zamkniętego źródła

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy zawiera poprawki dotyczące tych problemów?

Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Poziomy aktualizacji zabezpieczeń z 1 sierpnia 2018 r. lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 1 sierpnia 2018 r.
  • Poziomy aktualizacji zabezpieczeń z 2018-08-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2018-08-05 i wszystkimi poprzednimi poziomami.

Producenci urządzeń, którzy udostępniają te aktualizacje, powinni ustawić poziom ciągu poprawek na:

  • [ro.build.version.security_patch]:[2018-08-01]
  • [ro.build.version.security_patch]:[2018-08-05]

2. Dlaczego w tym komunikacie są 2 poziomy aktualizacji zabezpieczeń?

W tym komunikacie znajdują się 2 poziomy poprawek zabezpieczeń, dzięki którym partnerzy Androida mają możliwość szybszego naprawiania podzbioru podobnych luk we wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do rozwiązania wszystkich problemów opisanych w tym biuletynie i do stosowania najnowszej poprawki zabezpieczeń.

  • Urządzenia korzystające z poziomu poprawki zabezpieczeń z 2018-08-01 muszą zawierać wszystkie problemy związane z tym poziomem, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia, które korzystają z poziomu poprawki zabezpieczeń z 5 sierpnia 2018 r. lub nowszego, muszą zawierać wszystkie poprawki z tych (i wcześniejszych) biuletynów bezpieczeństwa.

Zachęcamy partnerów do łączenia poprawek dla wszystkich problemów, które rozwiązują, w jednym pakiecie aktualizacji.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów podatności odnoszą się do klasyfikacji podatności na zagrożenia.

Skrót Definicja
RCE Zdalne wykonywanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odniesienia?

Wpisy w kolumnie Odniesienia w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odniesienia.

Prefiks Źródła wiedzy
A- Identyfikator błędu na Androidzie
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom

5. Co oznacza znak * obok identyfikatora błędu Androida w kolumnie Odniesienia?

Problemy, które nie są dostępne publicznie, mają * obok identyfikatora błędu Androida w kolumnie Odniesienia. Aktualizacja rozwiązująca ten problem jest zwykle zawarta w najnowszych binarnych sterownikach urządzeń Pixel / Nexus, które można pobrać na stronie dla deweloperów Google.

6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny o zabezpieczeniach urządzeń i partnerów, takie jak biuletyn o Pixelu i Nexusie?

Aby zadeklarować najnowszy poziom poprawek zabezpieczeń na urządzeniach z Androidem, należy uwzględnić luki w zabezpieczeniach opisane w tym biuletynie. Dodatkowe luki w zabezpieczeniach, które są udokumentowane w biuletynach bezpieczeństwa partnera dotyczących urządzenia / , nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producentów urządzeń i chipsetów z Androidem zachęcamy do dokumentowania innych poprawek na swoich stronach internetowych poświęconych bezpieczeństwu, takich jak biuletyny bezpieczeństwa Samsunga, LGE lub Pixela i Nexusa.

Wersje

Wersja Data Uwagi
1,0 6 sierpnia 2018 r. Biuletyn został opublikowany.