Biuletyn bezpieczeństwa w Androidzie – czerwiec 2020 r.

Opublikowano 1 czerwca 2020 r. | Zaktualizowano 30 czerwca 2020 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Poziomy aktualizacji zabezpieczeń z 5 czerwca 2020 r. lub nowsze rozwiązują wszystkie te problemy. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed ich opublikowaniem. Poprawki kodu źródłowego dotyczące tych problemów zostały opublikowane w repozytorium Projektu Android Open Source (AOSP) i link do nich znajduje się w tym biuletynie. To powiadomienie zawiera też linki do poprawek spoza AOSP.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach w komponencie System, która umożliwia atakującemu zdalnie użycie specjalnie spreparowanego pakietu danych do uruchomienia dowolnego kodu w kontekście procesu uprzywilejowanego. Ocena ważności jest oparta na wpływie, jaki wykorzystanie luki w zabezpieczeniach może mieć na urządzeniu docelowym, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby rozwoju lub że zostały pomyślnie omijane.

Szczegółowe informacje o środkach ochrony Androida i Google Play Protect, które zwiększają bezpieczeństwo platformy Android, znajdziesz w sekcji Środki ochrony Androida i Google Play Protect.

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie środków zapobiegawczych oferowanych przez platformę zabezpieczeń Androida oraz zabezpieczenia usług, takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach zostaną wykorzystane na Androidzie.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione przez ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników do zaktualizowania systemu Android do najnowszej wersji, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą Google Play Protect i ostrzega użytkowników o potencjalnie szkodliwych aplikacjach. Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest to szczególnie ważne dla użytkowników, którzy instalują aplikacje spoza Google Play.

Szczegóły dotyczące luki w zabezpieczeniach na poziomie poprawki zabezpieczeń z 2020-06-01

W poniższych sekcjach znajdziesz szczegółowe informacje o wszystkich lukach w zabezpieczeniach, które dotyczą poziomu poprawek z 2020-06-01. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej. Zawierają one identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w odpowiednich przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu. Urządzenia z Androidem 10 lub nowszym mogą otrzymywać aktualizacje zabezpieczeń oraz aktualizacje systemowe Google Play.

Platforma

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2020-0114
 A-147606347 EoP Wysoki 10
CVE-2020-0115
 A-150038428 EoP Wysoki 8.0, 8.1, 9, 10
CVE-2020-0121
 A-148180766 [2] ID Wysoki 10

Platforma mediów

Najpoważniejsza luka w zabezpieczeniach opisana w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2020-0118
 A-150904694 EoP Wysoki 10
CVE-2020-0113
 A-150944913 ID Wysoki 9, 10

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnemu użycie specjalnie spreparowanego pakietu do wykonania dowolnego kodu w kontekście uprzywilejowanego procesu.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2020-0117
 A-151155194 RCE Krytyczny 8.0, 8.1, 9, 10
CVE-2020-8597
 A-151153886 RCE Krytyczny 8.0, 8.1, 9, 10
CVE-2020-0116
 A-151330809 ID Wysoki 10
CVE-2020-0119
 A-150500247 [2] ID Wysoki 10

Aktualizacje systemowe Google Play

W tym miesiącu w ramach aktualizacji systemowych Google Play (projekt Mainline) nie rozwiązujemy żadnych problemów z bezpieczeństwem.

Szczegóły dotyczące luki w zabezpieczeniach na poziomie poprawki zabezpieczeń z 2020-06-05

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 5 czerwca 2020 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej. Zawierają one identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w odpowiednich przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

System

Podana w tej sekcji podatność może umożliwić atakującemu zdalnemu obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2019-9460
 A-62535446 EoP Wysoki 10

Komponenty jądra

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnemu atakującemu użycie specjalnie przygotowanej aplikacji do uruchomienia dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2020-8647
 A-149079134
Kernel upstream 		EoP Wysoki Obsługa TTY w jądrze
CVE-2020-8648
 A-149079230
Kernel upstream [2] [3] 		EoP Wysoki Obsługa TTY w jądrze
CVE-2020-8428
 A-148713787
Kernel upstream [2] 		ID Wysoki Bąbelki

Komponenty Qualcomm

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm i są opisane w szczegółach w odpowiednim biuletynie lub alertu bezpieczeństwa Qualcomm. Ocena stopnia ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2017-9704
 A-35099636
QC-CR#2013052 [2]
QC-CR#2070526
QC-CR#2076578 [2] 		Nie dotyczy Wysoki Aparat
CVE-2019-14047
 A-145545249
QC-CR#2279971 [2] 		Nie dotyczy Wysoki Bąbelki
CVE-2020-3665
 A-150697775
QC-CR#2174506 		Nie dotyczy Wysoki WLAN
CVE-2019-9460
 A-66876469
QC-CR#2207338 * 		Nie dotyczy Umiarkowana Wyświetlacz

Komponenty Qualcomm o zamkniętym kodzie źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm ze zamkniętym kodem źródłowym i są opisane bardziej szczegółowo w odpowiednim biuletynie lub ostrzeżeniu dotyczącym zabezpieczeń Qualcomm. Ocena stopnia ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2019-14073
 A-145546513* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-14080
 A-145545821* Nie dotyczy Krytyczny Komponent zamkniętego źródła
CVE-2019-10597
 A-145545755* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-14062
 A-145545091* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2019-14076
 A-145545285* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2020-3614
 A-140973436* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2020-3626
 A-150697952* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2020-3628
 A-150695508* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2020-3635
 A-148817146* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2020-3642
 A-150697435* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2020-3658
 A-150697838* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2020-3660
 A-150695050* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2020-3661
 A-150695169* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2020-3662
 A-150696661* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2020-3663
 A-150697436* Nie dotyczy Wysoki Komponent zamkniętego źródła
CVE-2020-3676
 A-152310294* Nie dotyczy Wysoki Komponent zamkniętego źródła

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy zawiera poprawki dotyczące tych problemów?

Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Poziomy aktualizacji zabezpieczeń z 2020-06-01 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2020-06-01.
  • Poziomy poprawek zabezpieczeń z 5 czerwca 2020 r. lub nowsze rozwiązują wszystkie problemy związane z poziomem poprawek zabezpieczeń z 5 czerwca 2020 r. i wszystkimi poprzednimi poziomami poprawek.

Producenci urządzeń, którzy udostępniają te aktualizacje, powinni ustawić poziom ciągu poprawki na:

  • [ro.build.version.security_patch]:[2020-06-01]
  • [ro.build.version.security_patch]:[2020-06-05]

W przypadku niektórych urządzeń z Androidem 10 lub nowszym aktualizacja systemu Google Play będzie miała ciąg znaków daty odpowiadający poziomowi poprawki zabezpieczeń z 2020-06-01. Więcej informacji o instalowaniu aktualizacji zabezpieczeń znajdziesz w tym artykule.

2. Dlaczego w tym komunikacie są 2 poziomy aktualizacji zabezpieczeń?

W tym komunikacie znajdują się 2 poziomy poprawek zabezpieczeń, dzięki którym partnerzy Androida mogą szybciej naprawiać podzbiór podobnych luk we wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do rozwiązania wszystkich problemów opisanych w tym biuletynie i zastosowania najnowszego poziomu poprawek zabezpieczeń.

  • Urządzenia, które korzystają z poziomu zabezpieczeń z 1 czerwca 2020 r., muszą zawierać wszystkie problemy związane z tym poziomem zabezpieczeń, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia z poziomem poprawki zabezpieczeń z 5 czerwca 2020 r. lub nowszym muszą zawierać wszystkie poprawki z tego (i poprzednich) komunikatu(ów) o zagrożeniach.

Zachęcamy partnerów do łączenia poprawek dotyczących wszystkich problemów w jednym pakiecie.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów podatności odnoszą się do klasyfikacji podatności na zagrożenia.

Skrót Definicja
RCE Zdalne wykonywanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odniesienia?

Wpisy w kolumnie Odwołania w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odwołania.

Prefiks Źródła wiedzy
A- Identyfikator błędu na Androidzie
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom

5. Co oznacza znak * obok identyfikatora błędu Androida w kolumnie Odniesienia?

Problemy, które nie są dostępne publicznie, mają * obok odpowiedniego identyfikatora referencyjnego. Aktualizacja dotycząca tego problemu jest zwykle zawarta w najnowszych binarnych sterownikach urządzeń Pixel dostępnych na stronie Google Developer.

6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny dotyczące zabezpieczeń urządzeń i partnerów, takie jak biuletyn dotyczący Pixela?

Użytkownicy muszą zadeklarować najnowszy stan aktualizacji zabezpieczeń na urządzeniach z Androidem, aby móc korzystać z luk w zabezpieczeniach opisanych w tym biuletynie. Dodatkowe luki w zabezpieczeniach opisane w biuletynach dotyczących zabezpieczeń urządzeń i partnerów nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producenci urządzeń i chipsetów z Androidem mogą też publikować informacje o lukach w zabezpieczeniach dotyczących ich produktów, takich jak Google, Huawei, LGE, Motorola, Nokia czy Samsung.

Wersje

Wersja Data Uwagi
1,0 1 czerwca 2020 r. Biuletyn opublikowany
1,1 2 czerwca 2020 r. Wprowadziliśmy zmiany w powiadomieniu, aby zawierało linki do AOSP
1,2 11 czerwca 2020 r. Zmieniona tabela CVE
1.3 30 czerwca 2020 r. Zmieniona tabela CVE