Biuletyn bezpieczeństwa w Androidzie – listopad 2019 r.

Opublikowano 4 listopada 2019 r. | Zaktualizowano 16 grudnia 2019 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Poprawki zabezpieczeń z poziomu 2019-11-05 lub nowszego rozwiązują wszystkie te problemy. Aby dowiedzieć się, jak sprawdzić poziom poprawki zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed publikacją. Poprawki kodu źródłowego dotyczące tych problemów zostały opublikowane w repozytorium Projektu Android Open Source (AOSP) i link do niego znajduje się w tym biuletynie. Ten biuletyn zawiera też linki do poprawek poza AOSP.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach w komponencie System, która umożliwia atakującemu zdalnie użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście procesu uprzywilejowanego. Ocena ważności opiera się na efekcie, jaki wykorzystanie luki w zabezpieczeniach może mieć na urządzeniu docelowym, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programowania lub że zostały pomyślnie omijane.

Więcej informacji o środkach zaradczych Androida i Google Play Protect znajdziesz w sekcji Ochrona platformy bezpieczeństwa Androida oraz o Google Play Protect, które zwiększają bezpieczeństwo platformy Androida.

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie zabezpieczeń oferowanych przez platformę zabezpieczeń Androida oraz zabezpieczenia usług, takich jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach zostaną wykorzystane na urządzeniach z Androidem.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione przez ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników do zaktualizowania systemu Android do najnowszej wersji, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą Google Play Protect i ostrzega użytkowników o potencjalnie szkodliwych aplikacjach. Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest to szczególnie ważne dla użytkowników, którzy instalują aplikacje spoza Google Play.

Szczegóły dotyczące luki w zabezpieczeniach na poziomie aktualizacji zabezpieczeń z 11.11.2019

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 11 listopada 2019 r. Luki w zabezpieczeniach są grupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej i zawierają identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w odpowiednich przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli pojedynczy błąd dotyczy wielu zmian, dodatkowe odniesienia są połączone z liczbami po identyfikatorze błędu. Urządzenia z Androidem 10 lub nowszym mogą otrzymywać aktualizacje zabezpieczeń, a także aktualizacje systemowe Google Play.

Platforma

Najpoważniejsza luka w zabezpieczeniach opisana w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2192 A-138441555 EoP Wysoki 9, 10
CVE-2019-2193 A-132261064 [2] EoP Wysoki 8.0, 8.1, 9, 10
CVE-2019-2195 A-139186193 EoP Wysoki 8.0, 8.1, 9, 10
CVE-2019-2199 A-138650665 EoP Wysoki 10
CVE-2019-2211 A-135269669 [2] ID Wysoki 8.0, 8.1, 9, 10
CVE-2019-2197 A-138529441 ID Wysoki 8.0, 8.1, 9, 10

Biblioteka

Użytkownik zdalny może wykorzystać lukę w zabezpieczeniach opisaną w tej sekcji, aby użyć specjalnie spreparowanego pliku i wykonać dowolny kod w kontekście procesu bez uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2201 A-120551338 RCE Wysoki 8.0, 8.1, 9, 10

Platforma mediów

Najpoważniejsza luka w zabezpieczeniach opisana w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2202 A-137283376 EoP Wysoki 9, 10
CVE-2019-2203 A-137370777 EoP Wysoki 8.0, 8.1, 9, 10

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnemu użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2204 A-138442295 RCE Krytyczny 9
CVE-2019-2205 A-139806216 RCE Krytyczny 8.0, 8.1, 9, 10
CVE-2019-2206 A-139188579 RCE Krytyczny 8.0, 8.1, 9, 10
CVE-2019-2233 A-140486529 EoP Wysoki 10
CVE-2019-2207 A-124524315 EoP Wysoki 8.0, 8.1, 9, 10
CVE-2019-2212 A-139690488 [2] [3] ID Wysoki 8.0, 8.1, 9, 10
CVE-2019-2208 A-138441919 ID Wysoki 9
CVE-2019-2209 A-139287605 ID Wysoki 8.0, 8.1, 9, 10

Aktualizacje systemowe Google Play

W tym miesiącu w ramach aktualizacji systemu Google Play nie rozwiązywaliśmy żadnych problemów z bezpieczeństwem.

Szczegóły dotyczące luki w zabezpieczeniach na poziomie aktualizacji zabezpieczeń z 2019-11-05

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 5 listopada 2019 r. Luki w zabezpieczeniach są grupowane według komponentu, którego dotyczą, i zawierają takie informacje jak CVE, powiązane odniesienia, typ luki, poważność, komponent (w stosownych przypadkach) oraz zaktualizowane wersje AOSP (w stosownych przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Platforma

Najpoważniejsza luka w zabezpieczeniach opisana w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2196 A-135269143 [2] [3] [4] ID Wysoki 8.0, 8.1, 9, 10
CVE-2019-2198 A-135270103 [2] [3] [4] ID Wysoki 8.0, 8.1, 9, 10

System

Użytkownik zdalny może wykorzystać podatność opisaną w tej sekcji, aby za pomocą specjalnie spreparowanej transmisji uzyskać dostęp do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2036 A-79703832 EoP Wysoki 8.0, 8.1, 9, 10

Komponenty jądra

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnemu atakującemu wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2019-2213 A-133758011
Upstream kernel		 EoP Wysoki Sterownik sterownika
CVE-2019-2214 A-136210786
Aktualizacja jądra		 EoP Wysoki Sterownik sterownika
CVE-2019-11833 A-133041647
Upstream kernel		 ID Umiarkowana system plików ext4,

Komponenty Qualcomm

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm i są opisane w odpowiednim biuletynie lub alertzie bezpieczeństwa Qualcomm. Ocena stopnia ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2019-2310 A-78906648
QC-CR#2253243		 Nie dotyczy Wysoki Wi-Fi
CVE-2019-10545 A-138940225
QC-CR#2353418		 Nie dotyczy Wysoki Sterownik karty graficznej
CVE-2019-10571 A-138940226
QC-CR#2363085		 Nie dotyczy Wysoki Sterownik karty graficznej

Komponenty Qualcomm ze zamkniętym kodem źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm o zamkniętym kodzie źródłowym i są opisane bardziej szczegółowo w odpowiednim biuletynie lub ostrzeżeniu dotyczącym zabezpieczeń Qualcomm. Ocena stopnia ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2019-10493 A-132108736* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-10511 A-132097484* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-2288 A-132108853* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-2320 A-132108539* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-2321 A-132108927* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-10484 A-132108752* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-10485 A-132108463* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-2319 A-132107963* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-2337 A-132108895* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-2338 A-132108464* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-10559 A-137030660* Nie dotyczy Wysoki Komponent zamkniętego źródła

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy rozwiązuje te problemy?

Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Poziomy aktualizacji zabezpieczeń z 2019-11-01 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2019-11-01.
  • Poziomy poprawek zabezpieczeń z 2019-11-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem poprawek zabezpieczeń z 2019-11-05 i wszystkimi poprzednimi poziomami poprawek.

Producenci urządzeń, którzy uwzględniają te aktualizacje, powinni ustawić poziom ciągu poprawek na:

  • [ro.build.version.security_patch]:[2019-11-01]
  • [ro.build.version.security_patch]:[2019-11-05]

W przypadku niektórych urządzeń z Androidem 10 lub nowszym aktualizacja systemu Google Play będzie miała ciąg znaków daty odpowiadający poziomowi poprawki zabezpieczeń z 1 listopada 2019 r. Więcej informacji o instalowaniu aktualizacji zabezpieczeń znajdziesz w tym artykule.

2. Dlaczego w tym komunikacie są 2 poziomy aktualizacji zabezpieczeń?

W tym komunikacie znajdują się 2 poziomy poprawek zabezpieczeń, dzięki którym partnerzy Androida mogą szybciej naprawiać podzbiór podobnych luk we wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do rozwiązania wszystkich problemów opisanych w tym biuletynie i zastosowania najnowszego poziomu poprawek zabezpieczeń.

  • Urządzenia korzystające z poziomu poprawki zabezpieczeń z 2019-11-01 muszą zawierać wszystkie problemy związane z tym poziomem poprawki zabezpieczeń, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia z poziomem poprawki zabezpieczeń z 5 listopada 2019 r. lub nowszym muszą zawierać wszystkie poprawki z tego (i poprzednich) komunikatu(ów) o zabezpieczeniach.

Zachęcamy partnerów do łączenia poprawek dotyczących wszystkich problemów, które rozwiązują, w jednym pakiecie.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów podatności odnoszą się do klasyfikacji podatności na zagrożenia.

Skrót Definicja
RCE Zdalne wykonywanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odniesienia?

Wpisy w kolumnie Odwołania w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odwołania.

Prefiks Źródła wiedzy
A- Identyfikator błędu na Androidzie
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom

5. Co oznacza znak * obok identyfikatora błędu Androida w kolumnie Odwołania?

Problemy, które nie są dostępne publicznie, mają znak * obok identyfikatora błędu Androida w kolumnie Odniesienia. Aktualizacja dotycząca tego problemu jest zazwyczaj zawarta w najnowszych binarnych sterownikach urządzeń Pixel, które można pobrać na stronie dla deweloperów Google.

6. Dlaczego luki w zabezpieczeniach są podzielone na ten biuletyn i biuletyny o zabezpieczeniach dotyczące urządzeń/partnerów, takie jak biuletyn o Pixelu?

Użytkownicy muszą zadeklarować najnowszy stan aktualizacji zabezpieczeń na urządzeniach z Androidem, aby móc korzystać z luk w zabezpieczeniach opisanych w tym biuletynie. Dodatkowe luki w zabezpieczeniach opisane w biuletynach bezpieczeństwa dotyczących urządzeń i partnerów nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producenci urządzeń i układów scalonych z systemem Android mogą też publikować informacje o lukach w zabezpieczeniach w swoich produktach, takich jak Google, Huawei, LGE, Motorola, Nokia czy Samsung.

Wersje

Wersja Data Uwagi
1,0 4 listopada 2019 r. Biuletyn opublikowany
1,1 5 listopada 2019 r. Wprowadziliśmy zmiany w powiadomieniu, aby zawierało linki do AOSP
1,2 16 grudnia 2019 r. Zmieniona tabela CVE