Biuletyn bezpieczeństwa w Androidzie – październik 2019 r.

Opublikowano 7 października 2019 r. | Zaktualizowano 29 października 2019 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Wszystkie te problemy zostały rozwiązane w poziomach poprawek zabezpieczeń z 6 października 2019 r. lub nowszych. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed publikacją. Poprawki kodu źródłowego dotyczące tych problemów zostały opublikowane w repozytorium Projektu Android Open Source (AOSP) i link do niego znajduje się w tym biuletynie. Ten biuletyn zawiera też linki do poprawek poza AOSP.

Najpoważniejszym z tych problemów jest poważna luka w zabezpieczeniach w komponencie Media framework, która umożliwia atakującemu zdalnie uruchomienie dowolnego kodu w kontekście uprzywilejowanego procesu za pomocą specjalnie spreparowanego pliku. Ocena powagi jest oparta na potencjalnym wpływie wykorzystania luki w zabezpieczeniach na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programowania lub zostały pomyślnie omijane.

Szczegółowe informacje o zabezpieczeniach platformy Android i Google Play Protect, które zwiększają bezpieczeństwo platformy Android, znajdziesz w sekcji Zapobieganie atakom na Androida i Google Play Protect.

Ogłoszenia

Android 10 wprowadza aktualizacje systemowe Google Play (Project Mainline), które przyspieszają dostarczanie aktualizacji na urządzenia z Androidem z usługami mobilnymi Google. Biuletyn bezpieczeństwa Androida zawiera informacje o problemach z zabezpieczeniami, które są rozwiązywane przez aktualizacje systemowe Google Play. Więcej informacji o instalowaniu aktualizacji zabezpieczeń znajdziesz w tym artykule.

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie środków zapobiegawczych oferowanych przez platformę bezpieczeństwa Androida oraz zabezpieczenia usług, takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach zostaną wykorzystane na Androidzie.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje nadużycia za pomocą Google Play Protect i ostrzega użytkowników o potencjalnie szkodliwych aplikacjach. Google Play Protect jest domyślnie włączony na urządzeniach z Usługami mobilnymi Google. Jest on szczególnie ważny dla użytkowników, którzy instalują aplikacje spoza Google Play.

Szczegóły dotyczące podatności na poziomie poprawki zabezpieczeń z 2019-10-01

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 1 października 2019 r. Luki są grupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej. Zawierają one identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w odpowiednich przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu. Urządzenia z Androidem 10 lub nowszym mogą otrzymywać aktualizacje zabezpieczeń, a także aktualizacje systemu Google Play.

Platforma

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2173 A-123013720 EoP Wysoki 7.1.1, 7.1.2, 8.0, 8.1, 9

Platforma mediów

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnie użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście uprzywilejowanego procesu.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2184 A-134578122 RCE Krytyczny 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2185 A-136173699 RCE Umiarkowana 10
RCE Krytyczny 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2186 A-136175447 RCE Umiarkowana 10
RCE Krytyczny 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2019-2110 A-69703445 [2] ID Wysoki 9

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2114 A-123700348 [2] EoP Wysoki 8.0, 8.1, 9
CVE-2019-2187 A-124940143 ID Wysoki 7.1.1, 7.1.2, 8.0, 8.1, 9, 10

Aktualizacje systemowe Google Play

Te problemy z bezpieczeństwem są uwzględniane w aktualizacjach systemowych Google Play.

Komponent CVE
Kodeki multimedialne CVE-2019-2185, CVE-2019-2186

Poziom aktualizacji zabezpieczeń z 05.10.2019 – szczegóły luki w zabezpieczeniach

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 5 października 2019 r. Luki są grupowane według komponentu, którego dotyczą, i zawierają takie informacje jak CVE, powiązane odniesienia, typ luki, poważność, komponent (w stosownych przypadkach) oraz zaktualizowane wersje AOSP (w stosownych przypadkach). Jeśli to możliwe, łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, na przykład z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Komponent jądra

Podawana w tej sekcji luka umożliwia lokalnym złośliwym aplikacjom obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2018-19824 A-120783587
Jednostka jądra upstream		 EoP Wysoki Dźwięk przez USB

Komponenty Qualcomm

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm i są opisane w szczegółach w odpowiednim biuletynie lub alertu bezpieczeństwa Qualcomm. Ocena stopnia ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2019-2268 A-127512519
QC-CR#2263727
QC-CR#2429210		 Nie dotyczy Wysoki Host WLAN
CVE-2019-10535 A-136501752
QC-CR#2308644		 Nie dotyczy Wysoki Host WLAN
CVE-2018-11902 A-136498768
QC-CR#2278457		 Nie dotyczy Wysoki Host WLAN

Komponenty Qualcomm o zamkniętym kodzie źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm ze zamkniętym kodem źródłowym i są opisane bardziej szczegółowo w odpowiednim biuletynie lub ostrzeżeniu dotyczącym zabezpieczeń Qualcomm. Ocenę ważności tych problemów przeprowadza bezpośrednio firma Qualcomm.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2018-13916 A-122473303* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-2251 A-122474427* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-2271 A-129766175* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-2289 A-129765090* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-2315 A-129766098* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-2329 A-129766136* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-2336 A-129766497* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-2339 A-129765860* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-2271 A-129765571* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-2303 A-129765728* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-2318 A-129766832* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-2335 A-129766932* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-10490 A-132108421* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-2295 A-132108893* Nie dotyczy Wysoki Komponent zamkniętego źródła

Szczegóły dotyczące podatności na poziomie poprawki zabezpieczeń z 2019-10-06

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 6 października 2019 r. Luki są grupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej. Zawierają one identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w odpowiednich przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu. Urządzenia z Androidem 10 lub nowszym mogą otrzymywać aktualizacje zabezpieczeń, a także aktualizacje systemu Google Play.

Komponent jądra

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji uruchomienie dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2019-2215 A-141720095 EoP Wysoki Segregator

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy zawiera poprawki dotyczące tych problemów?

Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Poziomy aktualizacji zabezpieczeń z 10 października 2019 r. lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 10 października 2019 r.
  • Poziomy aktualizacji zabezpieczeń z 2019-10-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2019-10-05 i wszystkimi poprzednimi poziomami.
  • Poziomy aktualizacji zabezpieczeń z 2019-10-06 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2019-10-06 i wszystkimi poprzednimi poziomami.

Producenci urządzeń, którzy udostępniają te aktualizacje, powinni ustawić poziom ciągu poprawek na:

  • [ro.build.version.security_patch]:[2019-10-01]
  • [ro.build.version.security_patch]:[2019-10-05]
  • [ro.build.version.security_patch]:[2019-10-06]

W przypadku niektórych urządzeń z Androidem 10 lub nowszym aktualizacja systemu Google Play będzie miała ciąg znaków daty odpowiadający poziomowi poprawki zabezpieczeń z 2019-10-01. Więcej informacji o instalowaniu aktualizacji zabezpieczeń znajdziesz w tym artykule.

2. Dlaczego w tym komunikacie są 3 poziomy poprawek zabezpieczeń?

W tym biuletynie znajdziesz 3 poziomy poprawek zabezpieczeń, dzięki którym partnerzy Androida mają możliwość szybszego naprawiania podzbioru luk w zabezpieczeniach, które występują na wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do rozwiązania wszystkich problemów opisanych w tym biuletynie i do stosowania najnowszej poprawki zabezpieczeń.

  • Urządzenia korzystające z poziomu poprawki zabezpieczeń z 2019-10-01 muszą zawierać wszystkie problemy związane z tym poziomem, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia, które korzystają z poziomu poprawki zabezpieczeń 2019-10-05 lub nowszego, muszą zawierać wszystkie problemy związane z tym poziomem poprawki zabezpieczeń, poziomem poprawki zabezpieczeń 2019-10-01, a także poprawki dla wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia, które korzystają z poziomu poprawki zabezpieczeń z 2019-10-06 lub nowszego, muszą zawierać wszystkie odpowiednie poprawki z tego (i poprzednich) komunikatu bezpieczeństwa.

Zachęcamy partnerów do łączenia poprawek dotyczących wszystkich problemów w jednym pakiecie.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów podatności odnoszą się do klasyfikacji podatności na zagrożenia.

Skrót Definicja
RCE Zdalne wykonywanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odniesienia?

Wpisy w kolumnie Odwołania w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odwołania.

Prefiks Źródła wiedzy
A- Identyfikator błędu na Androidzie
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom

5. Co oznacza znak * obok identyfikatora błędu Androida w kolumnie Odniesienia?

Problemy, które nie są dostępne publicznie, mają * obok identyfikatora błędu Androida w kolumnie Odniesienia. Aktualizacja rozwiązująca ten problem jest zwykle zawarta w najnowszych binarnych sterownikach urządzeń Pixel, które można pobrać na stronie dla deweloperów Google.

6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny o zabezpieczeniach dotyczące urządzenia i partnera, takie jak biuletyn o Pixelu?

Aby zadeklarować najnowszy poziom poprawek zabezpieczeń na urządzeniach z Androidem, należy uwzględnić luki w zabezpieczeniach opisane w tym biuletynie. Dodatkowe luki w zabezpieczeniach, które są udokumentowane w biuletynach bezpieczeństwa partnera dotyczących urządzenia / , nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producenci urządzeń i układów scalonych z Androidem mogą też publikować informacje o lukach w zabezpieczeniach w swoich produktach, takich jak Google, Huawei, LGE, Motorola, Nokia lub Samsung.

Wersje

Wersja Data Uwagi
1,0 7 października 2019 r. Biuletyn opublikowany
1,1 8 października 2019 r. Dodano wpis dotyczący CVE-2019-2215 i linków AOSP
1,2 29 października 2019 r. Zmieniona tabela CVE