Biuletyn bezpieczeństwa w Androidzie – marzec 2019 r.

Opublikowano 4 marca 2019 r. | Zaktualizowano 5 marca 2019 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Wszystkie te problemy zostały rozwiązane w poziomach poprawek zabezpieczeń z 5 marca 2019 r. lub nowszych. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed publikacją. Poprawki do kodu źródłowego dotyczące tych problemów zostaną udostępnione w repozytorium Projektu Android Open Source (AOSP) w ciągu najbliższych 48 godzin. Gdy tylko będą dostępne, zaktualizujemy ten biuletyn, dodając linki do AOSP.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach w ramach frameworku Media, która umożliwia atakującemu zdalnie użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście procesu uprzywilejowanego. Ocena dotkliwości jest oparta na potencjalnym wpływie wykorzystania luki w zabezpieczeniach na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programistyki lub że zostały pomyślnie omijane.

Nie otrzymaliśmy żadnych zgłoszeń o aktywnej eksploatacji klientów ani o wykorzystaniu tych nowo zgłoszonych problemów. Więcej informacji o środkach zaradczych Androida i Google Play Protect znajdziesz w sekcji dotyczącej zabezpieczeń platformy Android i Google Play Protect, które zwiększają bezpieczeństwo platformy Android.

Uwaga: informacje o najnowszej aktualizacji bezprzewodowej (OTA) i obrazu oprogramowania urządzeń Google znajdziesz w komunikatach z aktualizacjami Pixela z marca 2019 r..

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie środków zapobiegawczych oferowanych przez platformę zabezpieczeń Androida oraz zabezpieczenia usług, takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach mogą zostać wykorzystane na urządzeniach z Androidem.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą Google Play Protect i ostrzega użytkowników o potencjalnie szkodliwych aplikacjach. Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play.

Szczegóły dotyczące luki w zabezpieczeniach na poziomie poprawki zabezpieczeń z 2019-03-01

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 2019-03-01. Luki są grupowane według komponentu, którego dotyczą. Zawiera on opis problemu oraz tabelę z luką w zabezpieczeniach CVE, powiązanymi odniesieniami, typem luki, wagą oraz zaktualizowanymi wersjami AOSP (w stosownych przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Platforma

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2018-20346 A-121156452 EoP Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-1985 A-118694079* EoP Wysoki 7.0, 7.1.1, 7.1.2, 8.0
CVE-2019-2003 A-116321860 EoP Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2004 A-115739809 ID Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2005 A-68777217 EoP Umiarkowana 8.0, 8.1, 9

Platforma mediów

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnie użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście uprzywilejowanego procesu.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-1989 A-118399205 RCE Krytyczny 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-1990 A-118453553 RCE Krytyczny 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2006 A-116665972 EoP Wysoki 9
CVE-2019-2007 A-120789744 [2] EoP Wysoki 8.1, 9
CVE-2019-2008 A-122309228 EoP Wysoki 8.0, 8.1, 9

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnemu użycie specjalnie spreparowanego pakietu do wykonania dowolnego kodu w kontekście uprzywilejowanego procesu.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2009 A-120665616 RCE Krytyczny 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2010 A-118152591 EoP Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2011 A-120084106 [2] EoP Wysoki 8.0, 8.1, 9
CVE-2019-2012 A-120497437 EoP Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2013 A-120497583 EoP Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2014 A-120499324 EoP Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2015 A-120503926 EoP Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2016 A-120664978 EoP Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2017 A-121035711 EoP Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2018 A-110172241 [2] EoP Wysoki 8.1, 9
CVE-2018-9561 A-111660010 [2] ID Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9563 A-114237888 [2] ID Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9564 A-114238578 [2] ID Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2019 A-115635871 ID Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2020 A-116788646 ID Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2021 A-120428041 ID Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2022 A-120506143 ID Wysoki 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

Szczegóły dotyczące luki w zabezpieczeniach na poziomie poprawki zabezpieczeń z 2019-03-05

W sekcjach poniżej znajdziesz szczegółowe informacje o poszczególnych lukach w zabezpieczeniach, które dotyczą poziomu poprawek z 5 marca 2019 r. Luki w zabezpieczeniach są grupowane według komponentu, którego dotyczą. Zawierają takie informacje jak CVE, powiązane odniesienia, typ luki, powagę, komponent (w stosownych przypadkach) i zaktualizowane wersje AOSP (w stosownych przypadkach). Jeśli to możliwe, łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, na przykład z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

System

Luka w zabezpieczeniach opisana w tej sekcji może umożliwiać lokalnym złośliwym aplikacjom wykonywanie dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2023 A-121035042 [2] [3] [4] [5] [6] [7] EoP Wysoki 8.0, 8.1, 9

Komponenty jądra

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnemu atakującemu użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście uprzywilejowanego procesu.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2018-10883 A-117311198
Kernel upstream [2]		 EoP Wysoki system plików ext4,
CVE-2019-2024 A-111761954
Jednostka jądra upstream		 EoP Wysoki Sterownik em28xx
CVE-2019-2025 A-116855682
Kernel upstream		 EoP Wysoki Sterownik Binder

Komponenty Qualcomm

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm i są opisane bardziej szczegółowo w odpowiednim biuletynie lub alertzie dotyczącym zabezpieczeń Qualcomm. Ocena stopnia ważności tych problemów jest dokonywana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2017-8252 A-112277630
QC-CR#2106159		 Nie dotyczy Krytyczny EcoSystem
CVE-2017-8252 A-114041175
QC-CR#2128529		 Nie dotyczy Krytyczny EcoSystem
CVE-2018-11817 A-114041192
QC-CR#2241830		 Nie dotyczy Krytyczny DSP_Services
CVE-2018-11817 A-114041747
QC-CR#2166542		 Nie dotyczy Krytyczny DSP_Services
CVE-2018-13899 A-119053086
QC-CR#2295915 [2]		 Nie dotyczy Wysoki Wideo
CVE-2018-13917 A-120487091
QC-CR#2251019		 Nie dotyczy Wysoki WIN NSS Host

Komponenty Qualcomm o zamkniętym kodzie źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm i są opisane bardziej szczegółowo w odpowiednim biuletynie lub alertzie dotyczącym zabezpieczeń Qualcomm. Ocena stopnia ważności tych problemów jest dokonywana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2017-8252 A-79419898* Nie dotyczy Krytyczny Komponent zamknięty
CVE-2017-8252 A-79420414* Nie dotyczy Krytyczny Komponent zamknięty
CVE-2017-8252 A-112279542* Nie dotyczy Krytyczny Komponent zamknięty
CVE-2018-11958 A-114042786* Nie dotyczy Krytyczny Komponent zamknięty
CVE-2018-11966 A-114042484* Nie dotyczy Wysoki Komponent zamknięty
CVE-2018-11970 A-114042111* Nie dotyczy Wysoki Komponent zamknięty
CVE-2018-11971 A-114042829* Nie dotyczy Wysoki Komponent zamknięty
CVE-2018-13918 A-120486115* Nie dotyczy Wysoki Komponent zamknięty

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy zawiera poprawki dotyczące tych problemów?

Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Poziomy aktualizacji zabezpieczeń z 2019-03-01 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2019-03-01.
  • Poziomy aktualizacji zabezpieczeń z 2019-03-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2019-03-05 i wszystkimi poprzednimi poziomami.

Producenci urządzeń, którzy udostępniają te aktualizacje, powinni ustawić poziom ciągu poprawek na:

  • [ro.build.version.security_patch]:[2019-03-01]
  • [ro.build.version.security_patch]:[2019-03-05]

2. Dlaczego w tym komunikacie są 2 poziomy aktualizacji zabezpieczeń?

W tym komunikacie znajdują się 2 poziomy poprawek zabezpieczeń, dzięki którym partnerzy Androida mają możliwość szybszego naprawiania podzbioru podobnych luk we wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do rozwiązania wszystkich problemów opisanych w tym biuletynie i do stosowania najnowszej poprawki zabezpieczeń.

  • Urządzenia korzystające z poziomu poprawki zabezpieczeń z 2019-03-01 muszą zawierać wszystkie problemy związane z tym poziomem, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia z poziomem poprawki zabezpieczeń 2019-03-05 lub nowszym muszą zawierać wszystkie poprawki z tego (i poprzednich) komunikatu(ów) o bezpieczeństwie.

Zachęcamy partnerów do łączenia poprawek dla wszystkich problemów, które rozwiązują, w jednym pakiecie aktualizacji.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów podatności odnoszą się do klasyfikacji podatności na zagrożenia.

Skrót Definicja
RCE Zdalne wykonywanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odniesienia?

Wpisy w kolumnie Odniesienia w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odniesienia.

Prefiks Źródła wiedzy
A- Identyfikator błędu na Androidzie
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom

5. Co oznacza znak * obok identyfikatora błędu Androida w kolumnie Odniesienia?

Problemy, które nie są dostępne publicznie, mają * obok identyfikatora błędu Androida w kolumnie Odniesienia. Aktualizacja dotycząca tego problemu jest zwykle zawarta w najnowszych binarnych sterownikach urządzeń Pixel, które można pobrać na stronie dla deweloperów Google.

6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny o zabezpieczeniach dotyczące urządzenia i partnera, takie jak biuletyn o Pixelu?

Aby zadeklarować najnowszy poziom poprawek zabezpieczeń na urządzeniach z Androidem, należy uwzględnić luki w zabezpieczeniach opisane w tym biuletynie. Dodatkowe luki w zabezpieczeniach, które są udokumentowane w biuletynach bezpieczeństwa partnera dotyczących urządzenia / , nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producentów urządzeń i chipsetów z Androidem zachęcamy do dokumentowania obecności innych poprawek na swoich urządzeniach na własnych stronach internetowych poświęconych bezpieczeństwu, takich jak biuletyny z aktualizacjami Samsung, LGE czy Pixel.

Wersje

Wersja Data Uwagi
1,0 4 marca 2019 r. Biuletyn opublikowany
1,1 5 marca 2019 r. Biuletyn został zaktualizowany o linki do AOSP.