Biuletyn bezpieczeństwa w Androidzie – listopad 2018 r.

Opublikowano 5 listopada 2018 r. | Zaktualizowano 5 listopada 2018 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Wszystkie te problemy zostały rozwiązane w poziomach poprawek zabezpieczeń z 5 listopada 2018 r. lub nowszych. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed publikacją. Poprawki kodu źródłowego dotyczące tych problemów zostały opublikowane w repozytorium Projektu Android Open Source (AOSP) i link do niego znajduje się w tym biuletynie. Ten biuletyn zawiera też linki do poprawek poza AOSP.

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić osobie przeprowadzającej atak użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście procesu uprzywilejowanego. Ocena ważności jest oparta na wpływie, jaki wykorzystanie luki w zabezpieczeniach może mieć na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programowania lub zostały pomyślnie omijane.

Nie otrzymaliśmy żadnych zgłoszeń o aktywnej eksploatacji klientów ani o wykorzystaniu tych nowo zgłoszonych problemów. Więcej informacji o środkach zaradczych Androida i Google Play Protect znajdziesz w sekcji dotyczącej zabezpieczeń platformy Android i Google Play Protect, które zwiększają bezpieczeństwo platformy Android.

Uwaga: informacje o najnowszej aktualizacji bezprzewodowej (OTA) i obrazu pamięci ROM urządzeń Google znajdziesz w Biuletynie bezpieczeństwa Pixel / Nexus z listopada 2018 r.

Ogłoszenia

W bibliotece Libxaac wykryliśmy kilka problemów z bezpieczeństwem, w tym CVE-2018-9528, CVE-2018-9529, CVE-2018-9530, CVE-2018-9531, CVE-2018-9532, CVE-2018-9533, CVE-2018-9534, CVE-2018-9535, CVE-2018-9569, CVE-2018-9570, CVE-2018-9571, CVE-2018-9572, CVE-2018-9573, CVE-2018-9574, CVE-2018-9575, CVE-2018-9576, CVE-2018-9577 i CVE-2018-9578.

Biblioteka została oznaczona jako eksperymentalna i nie jest już uwzględniana w żadnych wersjach produkcyjnych Androida.

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie środków zapobiegawczych oferowanych przez platformę zabezpieczeń Androida oraz zabezpieczenia usług, takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach mogą zostać wykorzystane na urządzeniach z Androidem.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą Google Play Protect i ostrzega użytkowników o potencjalnie szkodliwych aplikacjach. Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play.

Szczegóły dotyczące luki w poziomie aktualizacji zabezpieczeń z 11 listopada 2018 r.

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 11 listopada 2018 r. Luki są grupowane według komponentu, którego dotyczą. Zawiera on opis problemu oraz tabelę z luką w zabezpieczeniach CVE, powiązanymi odniesieniami, typem luki, wagą oraz zaktualizowanymi wersjami AOSP (w stosownych przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Platforma

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2018-9522 A-112550251 EoP Wysoki 9
CVE-2018-9524 A-34170870 EoP Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9525 A-111330641 EoP Wysoki 9

Platforma mediów

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnie użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście uprzywilejowanego procesu.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2018-9527 A-112159345 RCE Krytyczny 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9531 A-112661641 RCE Krytyczny 9
CVE-2018-9536 A-112662184 EoP Krytyczny 9
CVE-2018-9537 A-112891564 EoP Krytyczny 9
CVE-2018-9521 A-111874331 RCE Wysoki 9
CVE-2018-9539 A-113027383 EoP Wysoki 8.0, 8.1, 9

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić osobie przeprowadzającej atak zdalny dostęp do danych, do których normalnie mają dostęp tylko zainstalowane lokalnie aplikacje z odpowiednimi uprawnieniami.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2018-9540 A-111450417 ID Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9542 A-111896861 ID Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9543 A-112868088 ID Wysoki 9
CVE-2018-9544 A-113037220 ID Wysoki 9
CVE-2018-9545 A-113111784 ID Wysoki 9
CVE-2018-9541 A-111450531 ID Umiarkowana 9
ID Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1

Szczegóły dotyczące luki w poziomie aktualizacji zabezpieczeń z 5 listopada 2018 r.

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 5 listopada 2018 r. Luki w zabezpieczeniach są grupowane według komponentu, którego dotyczą. Zawierają takie informacje jak CVE, powiązane odniesienia, typ luki, powagę, komponent (w stosownych przypadkach) i zaktualizowane wersje AOSP (w stosownych przypadkach). Jeśli to możliwe, łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, na przykład z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Platforma

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2018-9523 A-112859604 EoP Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

Komponenty Qualcomm

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2017-15818 A-68992408
QC-CR#2078580		 Nie dotyczy Wysoki EcoSystem
CVE-2018-11995 A-71501677
QC-CR#2129639		 Nie dotyczy Wysoki Program rozruchowy
CVE-2018-11905 A-112277889
QC-CR#2090797		 Nie dotyczy Wysoki DSP_Services

Komponenty Qualcomm o zamkniętym kodzie źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm i są opisane w szczegółach w odpowiednim biuletynie lub alertu dotyczącym zabezpieczeń AMSS firmy Qualcomm. Ocenę ważności tych problemów przeprowadza bezpośrednio firma Qualcomm.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2017-18317 A-78244877* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2018-5912 A-79420111* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2018-11264 A-109677962* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2016-10502 A-68326808* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18316 A-78240714* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18318 A-78240675* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2017-18315 A-78241957* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2018-11994 A-72950294* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2018-11996 A-74235967* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2018-5870 A-77484722* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2018-5877 A-77484786* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2018-5916 A-79420492* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2018-5917 A-79420096* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2018-11269 A-109678529* Nie dotyczy Wysoki Komponent zamkniętego źródła

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy zawiera poprawki dotyczące tych problemów?

Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Poziomy aktualizacji zabezpieczeń z 2018-11-01 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2018-11-01.
  • Poziomy poprawek zabezpieczeń z 2018-11-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem poprawek zabezpieczeń z 2018-11-05 i wszystkimi poprzednimi poziomami.

Producenci urządzeń, którzy udostępniają te aktualizacje, powinni ustawić poziom ciągu poprawek na:

  • [ro.build.version.security_patch]:[2018-11-01]
  • [ro.build.version.security_patch]:[2018-11-05]

2. Dlaczego w tym komunikacie są 2 poziomy aktualizacji zabezpieczeń?

W tym komunikacie znajdują się 2 poziomy poprawek zabezpieczeń, dzięki którym partnerzy Androida mają możliwość szybszego naprawiania podzbioru podobnych luk we wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do rozwiązania wszystkich problemów opisanych w tym biuletynie i do stosowania najnowszej poprawki zabezpieczeń.

  • Urządzenia korzystające z poziomu poprawki zabezpieczeń z 2018-11-01 muszą zawierać wszystkie problemy związane z tym poziomem, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia z poziomem poprawki zabezpieczeń 2018-11-05 lub nowszym muszą zawierać wszystkie poprawki z tych (i wcześniejszych) biuletynów bezpieczeństwa.

Zachęcamy partnerów do łączenia poprawek dla wszystkich problemów, które rozwiązują, w jednym pakiecie aktualizacji.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów podatności odnoszą się do klasyfikacji podatności na zagrożenia.

Skrót Definicja
RCE Zdalne wykonywanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odniesienia?

Wpisy w kolumnie Odniesienia w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odniesienia.

Prefiks Źródła wiedzy
A- Identyfikator błędu na Androidzie
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom

5. Co oznacza znak * obok identyfikatora błędu Androida w kolumnie Odniesienia?

Problemy, które nie są dostępne publicznie, mają * obok identyfikatora błędu Androida w kolumnie Odniesienia. Aktualizacja rozwiązująca ten problem jest zwykle zawarta w najnowszych binarnych sterownikach urządzeń Pixel / Nexus, które można pobrać na stronie dla deweloperów Google.

6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny o bezpieczeństwie urządzeń i partnerów, takie jak biuletyn o Pixelu i Nexusie?

Aby zadeklarować najnowszy poziom poprawek zabezpieczeń na urządzeniach z Androidem, należy uwzględnić luki w zabezpieczeniach opisane w tym biuletynie. Dodatkowe luki w zabezpieczeniach, które są udokumentowane w biuletynach bezpieczeństwa partnera dotyczących urządzenia / , nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producentów urządzeń i chipsetów z Androidem zachęcamy do dokumentowania innych poprawek na swoich stronach internetowych poświęconych bezpieczeństwu, takich jak biuletyny bezpieczeństwa Samsunga, LGE lub Pixela i Nexusa.

Wersje

Wersja Data Uwagi
1,0 5 listopada 2018 r. Biuletyn został opublikowany.
1,1 5 listopada 2018 r. Biuletyn został zaktualizowany o linki do AOSP.