Publicado em 3 de dezembro de 2018 | Atualizado em 5 de dezembro de 2018
O Boletim de segurança do Android contém detalhes das vulnerabilidades de segurança que afetam os dispositivos Android. Os níveis de patch de segurança de 05-12-2018 ou mais recentes resolvem todos esses problemas. Para saber como verificar o nível do patch de segurança de um dispositivo, consulte Verificar e atualizar a versão do Android.
Os parceiros do Android são notificados sobre todos os problemas pelo menos um mês antes da publicação. Os patches do código-fonte para esses problemas foram lançados no repositório do Android Open Source Project (AOSP) e vinculados a este boletim. Este boletim também inclui links para patches fora do AOSP.
O problema mais grave é uma vulnerabilidade de segurança crítica no framework Media que pode permitir que um invasor remoto use um arquivo criado especialmente para executar códigos arbitrários no contexto de um processo privilegiado. A avaliação de gravidade é baseada no efeito que a exploração da vulnerabilidade teria em um dispositivo afetado, supondo que as mitigações de plataforma e serviço estejam desativadas para fins de desenvolvimento ou se forem contornadas.
Não recebemos relatos de exploração ou abuso ativo de clientes desses problemas recém-informados. Consulte a seção Mitigações do Android e do Google Play Protect para saber mais sobre as proteções da plataforma de segurança do Android e o Google Play Protect, que melhoram a segurança da plataforma Android.
Observação:informações sobre a atualização OTA mais recente e as imagens de firmware para dispositivos Google estão disponíveis no boletim de segurança Pixel / Nexus de dezembro de 2018.
Mitigações do Android e dos serviços do Google
Este é um resumo das mitigações fornecidas pela plataforma de segurança do Android e pelas proteções de serviço, como o Google Play Protect. Esses recursos reduzem a probabilidade de que vulnerabilidades de segurança sejam exploradas no Android.
- A exploração de muitos problemas no Android fica mais difícil devido a melhorias nas versões mais recentes da Plataforma Android. Recomendamos que todos os usuários atualizem para a versão mais recente do Android, sempre que possível.
- A equipe de segurança do Android monitora ativamente o abuso pelo Google Play Protect e alerta os usuários sobre apps potencialmente nocivos. O Google Play Protect é ativado por padrão em dispositivos com Serviços do Google Mobile e é especialmente importante para usuários que instalam apps fora do Google Play.
Detalhes da vulnerabilidade do nível do patch de segurança de 01/12/2018
Nas seções abaixo, fornecemos detalhes sobre cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 2018-12-01. As vulnerabilidades são agrupadas pelo componente que elas afetam. Há uma descrição do problema e uma tabela com as vulnerabilidades e exposições comuns, as referências associadas, o tipo de vulnerabilidade, a gravidade e as versões atualizadas do AOSP (quando aplicável). Quando disponível, vinculamos a mudança pública que resolveu o problema ao ID do bug, como a lista de mudanças do AOSP. Quando várias mudanças se relacionam a um único bug, outras referências são vinculadas a números que seguem o ID do bug.
Framework
A vulnerabilidade mais grave nesta seção pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto de um processo privilegiado.
| CVE | Referências | Tipo | Gravidade | Versões atualizadas do AOSP |
|---|---|---|---|---|
| CVE-2018-9547 | A-114223584 | EoP | Alta | 8.1, 9 |
| CVE-2018-9548 | A-112555574 | ID | Alta | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
Estrutura de mídia
A vulnerabilidade mais grave nesta seção pode permitir que um invasor remoto use um arquivo criado especialmente para executar código arbitrário no contexto de um processo privilegiado.
| CVE | Referências | Tipo | Gravidade | Versões atualizadas do AOSP |
|---|---|---|---|---|
| CVE-2018-9549 | A-112160868 | RCE | Crítico | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2018-9550 | A-112660981 | RCE | Crítico | 9 |
| CVE-2018-9551 | A-112891548 | RCE | Crítico | 9 |
| CVE-2018-9552 | A-113260892 | ID | Crítico | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2018-9553 | A-116615297 | RCE | Alta | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2018-9538 | A-112181526 | EoP | Alta | 8.1, 9 |
| CVE-2018-9554 | A-114770654 | ID | Alta | 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
Sistema
A vulnerabilidade mais grave nesta seção pode permitir que um invasor remoto use uma transmissão criada especialmente para executar código arbitrário no contexto de um processo privilegiado.
| CVE | Referências | Tipo | Gravidade | Versões atualizadas do AOSP |
|---|---|---|---|---|
| CVE-2018-9555 | A-112321180 | RCE | Crítico | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2018-9556 | A-113118184 | RCE | Crítico | 9 |
| CVE-2018-9557 | A-35385357* | EoP | Alta | 7.0, 7.1.1, 7.1.2 |
| CVE-2018-9558 | A-112161557 | EoP | Alta | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2018-9559 | A-112731440 | EoP | Alta | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2018-9560 | A-79946737 | EoP | Alta | 9 |
| CVE-2018-9562 | A-113164621 | ID | Alta | 9 |
| CVE-2018-9566 | A-74249842 | ID | Alta | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
Detalhes da vulnerabilidade do nível do patch de segurança de 05/12/2018
Nas seções abaixo, fornecemos detalhes sobre cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 2018-12-05. As vulnerabilidades são agrupadas pelo componente que elas afetam e incluem detalhes como o CVE, as referências associadas, o tipo de vulnerabilidade, a gravidade, o componente (quando aplicável) e as versões atualizadas do AOSP (quando aplicável). Quando disponível, vinculamos a mudança pública que resolveu o problema ao ID do bug, como a lista de mudanças do AOSP. Quando várias mudanças se relacionam a um único bug, referências adicionais são vinculadas a números após o ID do bug.
Sistema
A vulnerabilidade mais grave nesta seção pode levar à divulgação remota de informações sem a necessidade de privilégios de execução adicionais.
| CVE | Referências | Tipo | Gravidade | Componente |
|---|---|---|---|---|
| CVE-2018-9565 | A-16680558* | ID | Alta | OMA-DM |
Componentes da HTC
A vulnerabilidade mais grave nesta seção pode permitir que um invasor local ignore os requisitos de interação do usuário para ter acesso a outras permissões.
| CVE | Referências | Tipo | Gravidade | Componente |
|---|---|---|---|---|
| CVE-2018-9567 | A-65543936* | EoP | Alta | Carregador de inicialização |
Componentes do kernel
A vulnerabilidade mais grave nesta seção pode permitir que um invasor local execute um código arbitrário no contexto de um processo privilegiado.
| CVE | Referências | Tipo | Gravidade | Componente |
|---|---|---|---|---|
| CVE-2018-10840 | A-116406508 Kernel upstream |
EoP | Alta | Sistema de arquivos ext4 |
| CVE-2018-9568 | A-113509306 Kernel upstream |
EoP | Alta | rede |
Componentes da Qualcomm
Essas vulnerabilidades afetam componentes da Qualcomm e são descritas com mais detalhes no boletim ou alerta de segurança apropriado da Qualcomm. A avaliação de gravidade desses problemas é fornecida diretamente pela Qualcomm.
| CVE | Referências | Tipo | Gravidade | Componente |
|---|---|---|---|---|
| CVE-2018-11960 | A-114042002 QC-CR#2264832 |
N/A | Alta | HWEngines |
| CVE-2018-11961 | A-114040881 QC-CR#2261813 |
N/A | Alta | GPS_AP_LINUX |
| CVE-2018-11963 | A-114041685 QC-CR#2220770 |
N/A | Alta | Multimídia automotiva |
Componentes de código fechado da Qualcomm
Essas vulnerabilidades afetam componentes da Qualcomm e são descritas com mais detalhes no boletim de segurança ou alerta de segurança adequado. A avaliação de gravidade desses problemas é fornecida diretamente pela Qualcomm.
| CVE | Referências | Tipo | Gravidade | Componente |
|---|---|---|---|---|
| CVE-2017-8248 | A-78135902* | N/A | Crítico | Componente de código fechado |
| CVE-2017-11004 | A-66913713* | N/A | Crítico | Componente de código fechado |
| CVE-2017-18141 | A-67712316* | N/A | Crítico | Componente de código fechado |
| CVE-2018-5913 | A-79419833* | N/A | Crítico | Componente de código fechado |
| CVE-2018-11279 | A-109678200* | N/A | Crítico | Componente de código fechado |
| CVE-2017-18319 | A-78284753* | N/A | Alta | Componente de código fechado |
| CVE-2017-18321 | A-78283451* | N/A | Alta | Componente de código fechado |
| CVE-2017-18322 | A-78285196* | N/A | Alta | Componente de código fechado |
| CVE-2017-18323 | A-78284194* | N/A | Alta | Componente de código fechado |
| CVE-2017-18324 | A-78284517* | N/A | Alta | Componente de código fechado |
| CVE-2017-18327 | A-78240177* | N/A | Alta | Componente de código fechado |
| CVE-2017-18331 | A-78239686* | N/A | Alta | Componente de código fechado |
| CVE-2017-18332 | A-78284545* | N/A | Alta | Componente de código fechado |
| CVE-2017-18160 | A-109660689* | N/A | Alta | Componente de código fechado |
| CVE-2017-18326 | A-78240324* | N/A | Alta | Componente de código fechado |
| CVE-2017-8276 | A-68141338* | N/A | Alta | Componente de código fechado |
| CVE-2017-18328 | A-78286046* | N/A | Alta | Componente de código fechado |
| CVE-2017-18329 | A-73539037* | N/A | Alta | Componente de código fechado |
| CVE-2017-18330 | A-73539235* | N/A | Alta | Componente de código fechado |
| CVE-2018-3595 | A-71501115* | N/A | Alta | Componente de código fechado |
| CVE-2017-18320 | A-33757308* | N/A | Alta | Componente de código fechado |
| CVE-2018-11999 | A-74236942* | N/A | Alta | Componente de código fechado |
| CVE-2018-5867 | A-77485184* | N/A | Alta | Componente de código fechado |
| CVE-2018-5868 | A-77484529* | N/A | Alta | Componente de código fechado |
| CVE-2018-5869 | A-33385206* | N/A | Alta | Componente de código fechado |
| CVE-2017-5754 | A-79419639* | N/A | Alta | Componente de código fechado |
| CVE-2018-5915 | A-79420511* | N/A | Alta | Componente de código fechado |
| CVE-2018-11267 | A-109678338* | N/A | Alta | Componente de código fechado |
| CVE-2018-11922 | A-112279564* | N/A | Alta | Componente de código fechado |
Perguntas e respostas comuns
Esta seção responde a perguntas comuns que podem surgir após a leitura deste boletim.
1. Como determino se meu dispositivo está atualizado para resolver esses problemas?
Para saber como verificar o nível do patch de segurança de um dispositivo, consulte Verificar e atualizar a versão do Android.
- Os níveis de patch de segurança 2018-12-01 ou mais recentes resolvem todos os problemas associados ao nível de patch de segurança 2018-12-01.
- Os níveis do patch de segurança 2018-12-05 ou mais recentes resolvem todos os problemas associados ao nível do patch de segurança 2018-12-05 e todos os níveis de patch anteriores.
Os fabricantes de dispositivos que incluem essas atualizações precisam definir o nível da string de patch como:
- [ro.build.version.security_patch]:[2018-12-01]
- [ro.build.version.security_patch]:[2018-12-05]
2. Por que este boletim tem dois níveis de patch de segurança?
Este boletim tem dois níveis de patch de segurança para que os parceiros do Android tenham a flexibilidade de corrigir um subconjunto de vulnerabilidades semelhantes em todos os dispositivos Android com mais rapidez. Recomendamos que os parceiros do Android corrijam todos os problemas deste boletim e usem o nível mais recente do patch de segurança.
- Os dispositivos que usam o nível do patch de segurança 2018-12-01 precisam incluir todos os problemas associados a esse nível, além de correções para todos os problemas informados em boletins de segurança anteriores.
- Os dispositivos que usam o nível de patch de segurança 2018-12-05 ou mais recente precisam incluir todos os patches aplicáveis nestes e nos boletins de segurança anteriores.
Recomendamos que os parceiros agrupem as correções de todos os problemas que estão resolvendo em uma única atualização.
3. O que significam as entradas na coluna Tipo?
As entradas na coluna Tipo da tabela de detalhes da vulnerabilidade fazem referência à classificação da vulnerabilidade de segurança.
| Abreviatura | Definição |
|---|---|
| RCE | Execução remota de código |
| EoP | Elevação de privilégio |
| ID | Divulgação de informações |
| DoS | Negação de serviço |
| N/A | Classificação indisponível |
4. O que significam as entradas na coluna Referências?
As entradas na coluna References da tabela de detalhes da vulnerabilidade podem conter um prefixo que identifica a organização à qual o valor de referência pertence.
| Prefixo | Referência |
|---|---|
| A- | ID do bug do Android |
| QC- | Número de referência da Qualcomm |
| M- | Número de referência da MediaTek |
| N- | Número de referência da NVIDIA |
| B- | Número de referência da Broadcom |
5. O que significa um * ao lado do ID do bug do Android na coluna References?
Os problemas que não estão disponíveis publicamente têm um * ao lado do ID do bug do Android na coluna References. A atualização para esse problema geralmente está contida nos drivers binários mais recentes para dispositivos Pixel / Nexus disponíveis no site para desenvolvedores do Google.
6. Por que as vulnerabilidades de segurança são divididas entre este boletim e os boletins de segurança do dispositivo / parceiro, como o boletim do Pixel / Nexus?
As vulnerabilidades de segurança documentadas neste boletim de segurança são necessárias para declarar o nível de patch de segurança mais recente em dispositivos Android. Outras vulnerabilidades de segurança documentadas nos boletins de segurança do dispositivo/parceiro não são necessárias para declarar um nível de patch de segurança. Os fabricantes de dispositivos e chipsets Android são incentivados a documentar a presença de outros patches nos dispositivos por meio dos próprios sites de segurança, como os boletins de segurança Samsung, LGE ou Pixel / Nexus.
Versões
| Versão | Data | Observações |
|---|---|---|
| 1.0 | 3 de dezembro de 2018 | Boletim publicado |
| 1.1 | 5 de dezembro de 2018 | O boletim foi revisado para incluir links do AOSP. |