กระดานข่าวความปลอดภัยของ Android—กันยายน 2018

จัดทุกอย่างให้เป็นระเบียบอยู่เสมอด้วยคอลเล็กชัน บันทึกและจัดหมวดหมู่เนื้อหาตามค่ากำหนดของคุณ

Published กันยายน 4, 2018 | อัปเดตเมื่อ 5 กันยายน 2018

กระดานข่าวความปลอดภัยของ Android มีรายละเอียดของช่องโหว่ด้านความปลอดภัยที่ส่งผลต่ออุปกรณ์ Android ระดับแพตช์ความปลอดภัย 2018-09-05 หรือใหม่กว่า แก้ไขปัญหาเหล่านี้ทั้งหมด หากต้องการเรียนรู้วิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์ โปรดดูที่ ตรวจสอบและอัปเดตเวอร์ชัน Android ของคุณ

พันธมิตร Android จะได้รับแจ้งปัญหาทั้งหมดอย่างน้อยหนึ่งเดือนก่อนเผยแพร่ แพทช์ซอร์สโค้ดสำหรับปัญหาเหล่านี้ได้รับการเผยแพร่ไปยังที่เก็บ Android Open Source Project (AOSP) และเชื่อมโยงจากกระดานข่าวสารนี้ กระดานข่าวนี้ยังรวมถึงลิงก์ไปยังโปรแกรมแก้ไขภายนอก AOSP

ปัญหาที่ร้ายแรงที่สุดคือช่องโหว่ด้านความปลอดภัยที่สำคัญใน Media framework ที่อาจทำให้ผู้โจมตีจากระยะไกลใช้ไฟล์ที่ออกแบบมาเป็นพิเศษเพื่อรันโค้ดโดยอำเภอใจภายในบริบทของกระบวนการที่มีสิทธิพิเศษ การ ประเมินความรุนแรง ขึ้นอยู่กับผลกระทบจากการใช้ประโยชน์จากช่องโหว่ที่อาจจะเกิดขึ้นกับอุปกรณ์ที่ได้รับผลกระทบ โดยถือว่าปิดการบรรเทาแพลตฟอร์มและการบริการเพื่อวัตถุประสงค์ในการพัฒนาหรือหากเลี่ยงผ่านได้สำเร็จ

เราไม่มีรายงานเกี่ยวกับการแสวงประโยชน์จากลูกค้าที่ใช้งานอยู่หรือการละเมิดปัญหาที่รายงานใหม่เหล่านี้ อ้างถึงส่วนการ บรรเทาปัญหา Android และ Google Play Protect สำหรับรายละเอียดเกี่ยวกับการ ป้องกันแพลตฟอร์มความปลอดภัยของ Android และ Google Play Protect ซึ่งปรับปรุงความปลอดภัยของแพลตฟอร์ม Android

หมายเหตุ: ข้อมูลเกี่ยวกับการอัปเดตแบบ over-the-air ล่าสุด (OTA) และอิมเมจเฟิร์มแวร์สำหรับอุปกรณ์ Google มีให้ใน เดือนกันยายน 2018 Pixel / Nexus Security Bulletin

การลดการบริการของ Android และ Google

นี่คือบทสรุปของการบรรเทาผลกระทบจาก แพลตฟอร์มความปลอดภัยของ Android และการปกป้องบริการ เช่น Google Play Protect ความสามารถเหล่านี้ลดโอกาสที่ช่องโหว่ด้านความปลอดภัยจะถูกโจมตีบน Android ได้สำเร็จ

  • การใช้ประโยชน์จากปัญหามากมายบน Android ทำได้ยากขึ้นด้วยการปรับปรุงในแพลตฟอร์ม Android เวอร์ชันใหม่กว่า เราสนับสนุนให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดหากเป็นไปได้
  • ทีมรักษาความปลอดภัยของ Android ตรวจสอบการละเมิดผ่าน Google Play Protect และเตือนผู้ใช้เกี่ยวกับ แอปพลิเคชันที่อาจเป็นอันตราย Google Play Protect เปิดใช้งานโดยค่าเริ่มต้นในอุปกรณ์ที่มี Google Mobile Services และมีความสำคัญเป็นพิเศษสำหรับผู้ใช้ที่ติดตั้งแอปจากภายนอก Google Play

2018-09-01 รายละเอียดช่องโหว่ระดับแพตช์ความปลอดภัย

ในส่วนด้านล่าง เราได้ให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่ใช้กับระดับแพตช์ 2018-09-01 ช่องโหว่จะถูกจัดกลุ่มตามองค์ประกอบที่ได้รับผลกระทบ มีคำอธิบายของปัญหาและตารางที่มี CVE ข้อมูลอ้างอิงที่เกี่ยวข้อง ประเภทของช่องโหว่ ความรุนแรง และเวอร์ชัน AOSP ที่อัปเดต (หากมี) หากมี เราจะเชื่อมโยงการเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสจุดบกพร่อง เช่น รายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับจุดบกพร่องเดียว การอ้างอิงเพิ่มเติมจะเชื่อมโยงกับหมายเลขตาม ID จุดบกพร่อง

รันไทม์ของ Android

ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจทำให้ผู้โจมตีจากระยะไกลใช้ไฟล์ที่ออกแบบมาเป็นพิเศษเพื่อรันโค้ดโดยอำเภอใจภายในบริบทของแอปพลิเคชันที่ใช้ไลบรารี

CVE อ้างอิง พิมพ์ ความรุนแรง อัปเดตเวอร์ชัน AOSP
CVE-2018-9466 A-62151041 RCE สูง 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9467 A-110955991 EoP สูง 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

กรอบ

ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจทำให้ผู้โจมตีจากระยะไกลใช้ไฟล์ที่ออกแบบมาเป็นพิเศษเพื่อรันโค้ดโดยอำเภอใจภายในบริบทของกระบวนการที่ไม่มีสิทธิพิเศษ

CVE อ้างอิง พิมพ์ ความรุนแรง อัปเดตเวอร์ชัน AOSP
CVE-2018-9469 A-109824443 EoP สูง 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9470 A-78290481 EoP สูง 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9471 A-77599679 EoP สูง 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

ห้องสมุด

ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจทำให้ผู้โจมตีจากระยะไกลใช้ไฟล์ที่ออกแบบมาเป็นพิเศษเพื่อรันโค้ดโดยอำเภอใจภายในบริบทของแอปพลิเคชันที่ใช้ไลบรารี

CVE อ้างอิง พิมพ์ ความรุนแรง อัปเดตเวอร์ชัน AOSP
CVE-2018-9472 A-79662501 RCE สูง 7.0, 7.1.1, 7.1.2, 8.0, 8.1

กรอบสื่อ

ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถข้ามข้อกำหนดการโต้ตอบของผู้ใช้เพื่อเข้าถึงการอนุญาตเพิ่มเติมได้

CVE อ้างอิง พิมพ์ ความรุนแรง อัปเดตเวอร์ชัน AOSP
CVE-2018-9474 A-77600398 EoP สูง 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9440 A-77823362 [ 2 ] DoS ปานกลาง 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

ระบบ

ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจทำให้ผู้โจมตีในพื้นที่สามารถข้ามข้อกำหนดการโต้ตอบของผู้ใช้เพื่อเข้าถึงสิทธิ์เพิ่มเติมได้

CVE อ้างอิง พิมพ์ ความรุนแรง อัปเดตเวอร์ชัน AOSP
CVE-2018-9475 A-79266386 EoP วิกฤต 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9478 A-79217522 EoP วิกฤต 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9479 A-79217770 EoP วิกฤต 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9456 A-78136869 DoS สูง 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9477 A-92497653 EoP สูง 8.0, 8.1
CVE-2018-9480 A-109757168 ไอดี สูง 8.0, 8.1, 9
CVE-2018-9481 A-109757435 ไอดี สูง 8.0, 8.1, 9
CVE-2018-9482 A-109757986 ไอดี สูง 8.0, 8.1, 9
CVE-2018-9483 A-110216173 ไอดี สูง 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9484 A-79488381 ไอดี สูง 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9485 A-80261585 ไอดี สูง 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9486 A-80493272 ไอดี สูง 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9487 A-69873852 DoS สูง 8.0, 8.1, 9
CVE-2018-9488 A-110107376 EoP ปานกลาง 8.0, 8.1, 9

2018-09-05 รายละเอียดช่องโหว่ระดับแพตช์ความปลอดภัย

ในส่วนด้านล่าง เราได้ให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่ใช้กับระดับแพตช์ 2018-09-05 ช่องโหว่ต่างๆ จะถูกจัดกลุ่มตามองค์ประกอบที่ได้รับผลกระทบ และรวมถึงรายละเอียดต่างๆ เช่น CVE ข้อมูลอ้างอิงที่เกี่ยวข้อง ประเภทของช่องโหว่ ความรุนแรง ส่วนประกอบ (หากมี) และเวอร์ชัน AOSP ที่อัปเดต (หากมี) หากมี เราจะเชื่อมโยงการเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสจุดบกพร่อง เช่น รายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับจุดบกพร่องเดียว การอ้างอิงเพิ่มเติมจะเชื่อมโยงกับหมายเลขตาม ID จุดบกพร่อง

กรอบ

ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถข้ามการป้องกันของระบบปฏิบัติการที่แยกข้อมูลแอปพลิเคชันออกจากแอปพลิเคชันอื่นได้

CVE อ้างอิง พิมพ์ ความรุนแรง อัปเดตเวอร์ชัน AOSP
CVE-2018-9468 A-111084083 ไอดี สูง 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

ส่วนประกอบเคอร์เนล

ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจทำให้ผู้โจมตีจากระยะไกลสามารถเข้าถึงข้อมูลที่ปกติจะเข้าถึงได้เฉพาะแอปพลิเคชันที่ติดตั้งในเครื่องที่มีสิทธิ์เท่านั้น

CVE อ้างอิง พิมพ์ ความรุนแรง ส่วนประกอบ
CVE-2017-5754 A-69856074 *
ต้นน้ำเคอร์เนล
ไอดี สูง หน่วยความจำเคอร์เนล

ส่วนประกอบ Qualcomm

ช่องโหว่เหล่านี้ส่งผลต่อส่วนประกอบของ Qualcomm และมีการอธิบายรายละเอียดเพิ่มเติมในกระดานข่าวความปลอดภัย Qualcomm APSS หรือการแจ้งเตือนด้านความปลอดภัยที่เหมาะสม พันธมิตร Android สามารถตรวจสอบความเกี่ยวข้องของปัญหากับอุปกรณ์ของตนผ่าน Createpoint การประเมินความรุนแรงของปัญหาเหล่านี้จัดทำโดย Qualcomm โดยตรง

CVE อ้างอิง พิมพ์ ความรุนแรง ส่วนประกอบ
CVE-2018-11816 A-63527106
QC-CR#2119840 *
ไม่มี สูง วีดีโอ
CVE-2018-11261 A-64340487
QC-CR#2119840 *
ไม่มี สูง วีดีโอ
CVE-2018-11836 A-111128620
QC-CR#2214158
ไม่มี สูง โฮสต์ WLAN
CVE-2018-11842 A-111124974
QC-CR#2216741
ไม่มี สูง โฮสต์ WLAN
CVE-2018-11898 A-111128799
QC-CR#2233036
ไม่มี สูง โฮสต์ WLAN
CVE-2017-15825 A-68992460
QC-CR#2096455
ไม่มี ปานกลาง บูต
CVE-2018-11270 A-109741697
QC-CR#2205728
ไม่มี ปานกลาง การเชื่อมต่อแบบมีสาย

ส่วนประกอบโอเพ่นซอร์สของ Qualcomm

ช่องโหว่เหล่านี้ส่งผลต่อส่วนประกอบของ Qualcomm และมีการอธิบายรายละเอียดเพิ่มเติมในกระดานข่าวด้านความปลอดภัยของ Qualcomm AMSS หรือการแจ้งเตือนด้านความปลอดภัย พันธมิตร Android สามารถตรวจสอบความเกี่ยวข้องของปัญหากับอุปกรณ์ของตนผ่าน Createpoint การประเมินความรุนแรงของปัญหาเหล่านี้จัดทำโดย Qualcomm โดยตรง

CVE อ้างอิง พิมพ์ ความรุนแรง ส่วนประกอบ
CVE-2016-10394 A-68326803 * ไม่มี วิกฤต ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2017-18314 A-62213176 * ไม่มี วิกฤต ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2017-18311 A-73539234 * ไม่มี วิกฤต ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11950 A-72950814 * ไม่มี วิกฤต ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-5866 A-77484228 * ไม่มี วิกฤต ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11824 A-111090697 * ไม่มี วิกฤต ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2016-10408 A-68326811 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2017-18313 A-78240387 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2017-18312 A-78239234 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2017-18124 A-68326819 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-3588 A-71501117 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11951 A-72950958 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11952 A-74236425 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-5871 A-77484229 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-5914 A-79419793 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11288 A-109677940 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11285 A-109677982 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11290 A-109677964 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11292 A-109678202 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11287 A-109678380 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11846 A-111091377 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11855 A-111090533 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11857 A-111093202 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11858 A-111090698 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11866 A-111093021 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา
CVE-2018-11865 A-111093167 * ไม่มี สูง ส่วนประกอบที่ปิดแหล่งที่มา

คำถามและคำตอบทั่วไป

ส่วนนี้จะตอบคำถามทั่วไปที่อาจเกิดขึ้นหลังจากอ่านกระดานข่าวนี้

1. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ของฉันได้รับการอัปเดตเพื่อแก้ไขปัญหาเหล่านี้หรือไม่

หากต้องการเรียนรู้วิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์ โปรดดูที่ ตรวจสอบและอัปเดตเวอร์ชัน Android ของคุณ

  • ระดับแพตช์ความปลอดภัย 2018-09-01 หรือใหม่กว่า แก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2018-09-01
  • ระดับแพตช์ความปลอดภัย 2018-09-05 หรือใหม่กว่า แก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2018-09-05 และระดับแพตช์ก่อนหน้าทั้งหมด

ผู้ผลิตอุปกรณ์ที่มีการอัปเดตเหล่านี้ควรตั้งค่าระดับสตริงของโปรแกรมแก้ไขเป็น:

  • [ro.build.version.security_patch]:[2018-09-01]
  • [ro.build.version.security_patch]:[2018-09-05]

2. เหตุใดกระดานข่าวนี้จึงมีแพตช์ความปลอดภัยสองระดับ

กระดานข่าวนี้มีโปรแกรมแก้ไขความปลอดภัยสองระดับ เพื่อให้พันธมิตร Android มีความยืดหยุ่นในการแก้ไขช่องโหว่บางส่วนที่คล้ายคลึงกันในอุปกรณ์ Android ทั้งหมดได้รวดเร็วยิ่งขึ้น ขอแนะนำให้พันธมิตร Android แก้ไขปัญหาทั้งหมดในกระดานข่าวนี้และใช้ระดับแพตช์ความปลอดภัยล่าสุด

  • อุปกรณ์ที่ใช้ระดับแพตช์ความปลอดภัย 2018-09-01 ต้องมีปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัยนั้น เช่นเดียวกับการแก้ไขสำหรับปัญหาทั้งหมดที่รายงานในกระดานข่าวความปลอดภัยก่อนหน้านี้
  • อุปกรณ์ที่ใช้ระดับแพตช์ความปลอดภัย 2018-09-05 หรือใหม่กว่าจะต้องรวมโปรแกรมแก้ไขที่เกี่ยวข้องทั้งหมดในกระดานข่าวความปลอดภัยนี้ (และก่อนหน้า)

พันธมิตรควรรวมกลุ่มการแก้ไขสำหรับปัญหาทั้งหมดที่พวกเขากำลังแก้ไขในการอัปเดตครั้งเดียว

3. รายการในคอลัมน์ Type หมายถึงอะไร

รายการในคอลัมน์ Type ของตารางรายละเอียดช่องโหว่อ้างอิงการจัดประเภทของช่องโหว่ด้านความปลอดภัย

ตัวย่อ คำนิยาม
RCE การเรียกใช้โค้ดจากระยะไกล
EoP ยกระดับสิทธิพิเศษ
ไอดี การเปิดเผยข้อมูล
DoS ปฏิเสธการให้บริการ
ไม่มี ไม่มีการจัดประเภท

4. รายการในคอลัมน์ อ้างอิง หมายความว่าอย่างไร

รายการภายใต้คอลัมน์ อ้างอิง ของตารางรายละเอียดช่องโหว่อาจมีคำนำหน้าที่ระบุองค์กรที่มีค่าอ้างอิงอยู่

คำนำหน้า อ้างอิง
เอ- รหัสข้อบกพร่องของ Android
QC- หมายเลขอ้างอิง Qualcomm
ม- หมายเลขอ้างอิง MediaTek
น- หมายเลขอ้างอิง NVIDIA
ข- หมายเลขอ้างอิง Broadcom

5. * ข้างรหัสจุดบกพร่องของ Android ในคอลัมน์ อ้างอิง หมายความว่าอย่างไร

ปัญหาที่ไม่เปิดเผยต่อสาธารณะจะมี * ถัดจาก ID จุดบกพร่องของ Android ในคอลัมน์ การอ้างอิง โดยทั่วไป การอัปเดตสำหรับปัญหาดังกล่าวจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Pixel / Nexus ที่มีให้จาก เว็บไซต์ Google Developer

6. เหตุใดช่องโหว่ด้านความปลอดภัยจึงถูกแบ่งระหว่างกระดานข่าวนี้กับกระดานข่าวความปลอดภัยของอุปกรณ์ / คู่ค้า เช่น กระดานข่าวสาร Pixel / Nexus

ช่องโหว่ด้านความปลอดภัยที่บันทึกไว้ในกระดานข่าวความปลอดภัยนี้จำเป็นต้องประกาศระดับแพตช์ความปลอดภัยล่าสุดบนอุปกรณ์ Android ช่องโหว่ด้านความปลอดภัยเพิ่มเติมที่บันทึกไว้ในกระดานข่าวความปลอดภัยของอุปกรณ์ / คู่ค้า ไม่จำเป็นสำหรับการประกาศระดับแพตช์ความปลอดภัย ขอแนะนำให้ผู้ผลิตอุปกรณ์ Android และชิปเซ็ตบันทึกการมีอยู่ของการแก้ไขอื่นๆ บนอุปกรณ์ของตนผ่านเว็บไซต์ด้านความปลอดภัยของตนเอง เช่น กระดานข่าวด้านความปลอดภัยของ Samsung , LGE หรือ Pixel / Nexus

รุ่น

เวอร์ชั่น วันที่ หมายเหตุ
1.0 4 กันยายน 2018 เผยแพร่แถลงการณ์
1.1 5 กันยายน 2018 กระดานข่าวสารได้รับการแก้ไขเพื่อรวมลิงก์ AOSP