Biuletyn bezpieczeństwa w Androidzie – grudzień 2019 r.

Opublikowano 2 grudnia 2019 r. | Zaktualizowano 14 stycznia 2020 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Wszystkie te problemy zostały rozwiązane w poziomach aktualizacji zabezpieczeń z 2019-12-05 lub nowszych. Aby dowiedzieć się, jak sprawdzić poziom zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed publikacją. Poprawki kodu źródłowego dotyczące tych problemów zostały opublikowane w repozytorium Projektu Android Open Source (AOSP) i link do niego znajduje się w tym biuletynie. Ten biuletyn zawiera też linki do poprawek poza AOSP.

Najpoważniejszym z tych problemów jest poważna luka w zabezpieczeniach w komponencie Framework, która umożliwia zdalnym osobom atakującym wykorzystanie specjalnie spreparowanej wiadomości do trwałego odmowy usługi. Ocena dotkliwości jest oparta na potencjalnym wpływie wykorzystania luki w zabezpieczeniach na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programistyki lub że zostały pomyślnie omijane.

Więcej informacji o środkach zaradczych Androida i Google Play Protect znajdziesz w sekcji dotyczącej zabezpieczeń platformy Android i Google Play Protect, które zwiększają bezpieczeństwo platformy Android.

Uwaga: informacje o najnowszej aktualizacji bezprzewodowej (OTA) i obrazu oprogramowania urządzeń Google znajdziesz w komunikatach o aktualizacjach Pixela z grudnia 2019 r..

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie środków zapobiegawczych oferowanych przez platformę zabezpieczeń Androida oraz zabezpieczenia usług, takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach mogą zostać wykorzystane na urządzeniach z Androidem.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą Google Play Protect i ostrzega użytkowników o potencjalnie szkodliwych aplikacjach. Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play.

Szczegóły dotyczące luki w zabezpieczeniach na poziomie aktualizacji zabezpieczeń z 2019-12-01

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 12 grudnia 2019 r. Luki są grupowane według komponentu, którego dotyczą. Zawiera on opis problemu oraz tabelę z luką w zabezpieczeniach CVE, powiązanymi odniesieniami, typem luki, wagą oraz zaktualizowanymi wersjami AOSP (w stosownych przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu. Urządzenia z Androidem 10 lub nowszym mogą otrzymywać aktualizacje zabezpieczeń, a także aktualizacje systemowe Google Play.

Platforma

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnie wywołanie trwałego odmowy usługi za pomocą specjalnie spreparowanej wiadomości.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2232 A-140632678 DoS Krytyczny 8.0, 8.1, 9, 10
CVE-2019-9464 A-141028068 [2] [3] [4] EoP Wysoki 10
CVE-2019-2217 A-141003796 EoP Wysoki 10
CVE-2019-2218 A-141169173 EoP Wysoki 8.0, 8.1, 9, 10
CVE-2019-2220 A-138636979 [2] ID Wysoki 9, 10
CVE-2019-2221 A-138583650 [2] EoP Umiarkowana 10

Platforma mediów

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnie użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście uprzywilejowanego procesu.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2222 A-140322595 RCE Umiarkowana 10
RCE Krytyczny 8.0, 8.1, 9
CVE-2019-2223 A-140692129 RCE Umiarkowana 10
RCE Krytyczny 8.0, 8.1, 9

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnie użycie specjalnie spreparowanego pliku do wykonania dowolnego kodu w kontekście procesu bez uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-15140 A-140328986 RCE Wysoki 8.0, 8.1, 9, 10
CVE-2019-2225 A-110433804 [2] EoP Wysoki 8.0, 8.1, 9, 10
CVE-2019-2226 A-140152619 ID Wysoki 8.0, 8.1, 9, 10
CVE-2019-2227 A-140768453 ID Wysoki 9, 10
CVE-2019-2228 A-111210196 [2] ID Wysoki 8.0, 8.1, 9, 10
CVE-2019-2229 A-139803872 [2] ID Wysoki 8.0, 8.1, 9, 10
CVE-2019-2230 A-141170038 ID Wysoki 10

Aktualizacje systemowe Google Play

Te problemy z bezpieczeństwem są uwzględniane w aktualizacjach systemowych Google Play.

Komponent CVE
Kodeki multimedialne CVE-2019-2222, CVE-2019-2223

Szczegóły luki w poziomie aktualizacji zabezpieczeń z 5 grudnia 2019 r.

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 5 grudnia 2019 r. Luki w zabezpieczeniach są grupowane według komponentu, którego dotyczą. Zawierają takie informacje jak CVE, powiązane odniesienia, typ luki, powagę, komponent (w stosownych przypadkach) i zaktualizowane wersje AOSP (w stosownych przypadkach). Jeśli to możliwe, łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, na przykład z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

System

Luka w zabezpieczeniach opisana w tej sekcji może umożliwić osobie przeprowadzającej atak lokalny z uprzywilejowanym dostępem uzyskanie dostępu do danych wrażliwych.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-2231 A-141955555 ID Wysoki 9, 10

Komponenty jądra

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2018-20961 A-139522588
Upstream kernel		 EoP Wysoki Sterownik funkcji klasy USB MIDI
CVE-2019-15220 A-140329469
Jednostka jądra upstream		 EoP Wysoki Sterownik USB Prism54 WiFi
CVE-2019-15239 A-140328996
Jednostka jądrowa na upstream		 EoP Wysoki Stos TCP

Komponenty Qualcomm

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm i są opisane w szczegółach w odpowiednim biuletynie lub alertu bezpieczeństwa Qualcomm. Ocena stopnia ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2019-10557 A-78657016
QC-CR#2255369
QC-CR#2259707 		Nie dotyczy Wysoki Host WLAN
CVE-2018-11980 A-140423440
QC-CR#2270117		 Nie dotyczy Wysoki Host WLAN
CVE-2019-10480 A-140423811
QC-CR#2309399		 Nie dotyczy Wysoki Host WLAN
CVE-2019-10481 A-140423794
QC-CR#2304610
QC-CR#2318632 		Nie dotyczy Wysoki Host WLAN
CVE-2019-10536 A-140423334
QC-CR#2433802		 Nie dotyczy Wysoki Host WLAN
CVE-2019-10537 A-140423693
QC-CR#2436502		 Nie dotyczy Wysoki Host WLAN
CVE-2019-10595 A-140423810
QC-CR#2148184		 Nie dotyczy Wysoki Host WLAN
CVE-2019-10598 A-140423155
QC-CR#2324139		 Nie dotyczy Wysoki Host WLAN
CVE-2019-10601 A-140423156
QC-CR#2428798		 Nie dotyczy Wysoki Host WLAN
CVE-2019-10605 A-140424124
QC-CR#2187441		 Nie dotyczy Wysoki Host WLAN
CVE-2019-10607 A-140423690
QC-CR#2211711		 Nie dotyczy Wysoki Bezpieczeństwo
CVE-2019-2304 A-123238115
QC-CR#2331868
QC-CR#2335530
QC-CR#2348299
QC-CR#2203904* 		Nie dotyczy Wysoki Host WLAN

Komponenty Qualcomm o zamkniętym kodzie źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm ze zamkniętym kodem źródłowym i są opisane bardziej szczegółowo w odpowiednim biuletynie lub ostrzeżeniu dotyczącym zabezpieczeń Qualcomm. Ocenę ważności tych problemów przeprowadza bezpośrednio firma Qualcomm.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2019-2242 A-123998200* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-10500 A-134437248* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-10525 A-134437319* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-10482 A-132108950* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-10487 A-134437030* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-10516 A-134437075* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-2274 A-134437362* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-10513 A-134437225* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-10517 A-140424724* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-10600 A-140424089* Nie dotyczy Wysoki Komponent zamkniętego źródła

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy zawiera poprawki dotyczące tych problemów?

Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Poziomy aktualizacji zabezpieczeń z 2019-12-01 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2019-12-01.
  • Poziomy aktualizacji zabezpieczeń z 2019-12-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2019-12-05 i wszystkimi poprzednimi poziomami.

Producenci urządzeń, którzy udostępniają te aktualizacje, powinni ustawić poziom ciągu poprawek na:

  • [ro.build.version.security_patch]:[2019-12-01]
  • [ro.build.version.security_patch]:[2019-12-05]

W przypadku niektórych urządzeń z Androidem 10 lub nowszym aktualizacja systemu Google Play będzie miała ciąg znaków daty odpowiadający poziomowi poprawki zabezpieczeń z 1 grudnia 2019 r. Więcej informacji o instalowaniu aktualizacji zabezpieczeń znajdziesz w tym artykule.

2. Dlaczego w tym komunikacie są 2 poziomy aktualizacji zabezpieczeń?

W tym komunikacie znajdują się 2 poziomy poprawek zabezpieczeń, dzięki którym partnerzy Androida mają możliwość szybszego naprawiania podzbioru podobnych luk we wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do rozwiązania wszystkich problemów opisanych w tym biuletynie i do stosowania najnowszej poprawki zabezpieczeń.

  • Urządzenia korzystające z poziomu zabezpieczeń z 2019-12-01 muszą zawierać wszystkie problemy związane z tym poziomem zabezpieczeń, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia z poziomem poprawki zabezpieczeń 2019-12-05 lub nowszym muszą zawierać wszystkie poprawki z tego (i poprzednich) komunikatu(ów) o bezpieczeństwie.

Zachęcamy partnerów do łączenia poprawek dla wszystkich problemów, które rozwiązują, w jednym pakiecie aktualizacji.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów podatności odnoszą się do klasyfikacji podatności na zagrożenia.

Skrót Definicja
RCE Zdalne wykonywanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odniesienia?

Wpisy w kolumnie Odniesienia w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odniesienia.

Prefiks Źródła wiedzy
A- Identyfikator błędu na Androidzie
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom

5. Co oznacza znak * obok identyfikatora błędu Androida w kolumnie Odniesienia?

Problemy, które nie są dostępne publicznie, mają * obok identyfikatora błędu Androida w kolumnie Odniesienia. Aktualizacja dotycząca tego problemu jest zwykle zawarta w najnowszych binarnych sterownikach urządzeń Pixel, które można pobrać na stronie dla deweloperów Google.

6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny o zabezpieczeniach dotyczące urządzenia i partnera, takie jak biuletyn o Pixelu?

Aby zadeklarować najnowszy poziom poprawek zabezpieczeń na urządzeniach z Androidem, należy uwzględnić luki w zabezpieczeniach opisane w tym biuletynie. Dodatkowe luki w zabezpieczeniach, które są udokumentowane w biuletynach bezpieczeństwa partnera dotyczących urządzenia / , nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producenci urządzeń i układów scalonych z Androidem mogą też publikować informacje o lukach w zabezpieczeniach w swoich produktach, takich jak Google, Huawei, LGE, Motorola, Nokia lub Samsung.

Wersje

Wersja Data Uwagi
1,0 2 grudnia 2019 r. Biuletyn opublikowany
1,1 3 grudnia 2019 r. Wprowadziliśmy zmiany w powiadomieniu, aby zawierało linki do AOSP
1,2 13 grudnia 2019 r. Zmieniona tabela CVE
1.3 14 stycznia 2020 r. Identyfikator CVE problemu A-140328986 został zaktualizowany do CVE-2019-15140