Biuletyn bezpieczeństwa w Androidzie – lipiec 2021 r.

Opublikowano 7 lipca 2021 r. | Zaktualizowano 21 lipca 2021 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Poziomy aktualizacji zabezpieczeń z 5 lipca 2021 r. lub nowsze rozwiązują wszystkie te problemy. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed ich opublikowaniem. Poprawki kodu źródłowego dotyczące tych problemów zostały opublikowane w repozytorium Projektu Android Open Source (AOSP) i link do nich znajduje się w tym biuletynie. To powiadomienie zawiera też linki do poprawek spoza AOSP.

Najpoważniejszym z tych problemów jest luka w zabezpieczeniach w komponencie System, która umożliwia atakującemu zdalnie użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście procesu uprzywilejowanego. Ocena ważności jest oparta na wpływie, jaki luka w zabezpieczeniach może mieć na urządzenie, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby rozwoju lub że luka została pomyślnie ominięta.

Szczegółowe informacje o środkach ochrony Androida i Google Play Protect znajdziesz w sekcji poświęconej środkom ochrony Androida i Google Play Protect. Platforma zabezpieczeń Androida i Google Play Protect zapewniają większą ochronę platformy Androida.

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie środków zaradczych oferowanych przez platformę zabezpieczeń Androida oraz zabezpieczenia usług, takich jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach będą mogły zostać wykorzystane na Androidzie.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione przez ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, jeśli to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą Google Play Protect i ostrzega użytkowników o potencjalnie szkodliwych aplikacjach. Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google i jest szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play.

Szczegóły dotyczące luki w zabezpieczeniach na poziomie aktualizacji zabezpieczeń z 2021-07-01

W sekcjach poniżej znajdziesz szczegółowe informacje o każdym z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 1 lipca 2021 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej i zawierają identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w stosownych przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli pojedynczy błąd dotyczy wielu zmian, dodatkowe odniesienia są połączone z liczbami po identyfikatorze błędu. Urządzenia z Androidem 10 lub nowszym mogą otrzymywać aktualizacje zabezpieczeń oraz aktualizacje systemowe Google Play.

Platforma

Najpoważniejsza luka w zabezpieczeniach opisana w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2021-0441 A-174495520 [2] EoP Wysoki 11
CVE-2021-0486 A-171430330 [2] EoP Wysoki 10, 11

Platforma Media

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji uruchomienie dowolnego kodu w kontekście uprzywilejowanego procesu.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2021-0587 A-185259758 EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0601 A-180643802 ID Wysoki 8.1, 9, 10, 11

System

Najpoważniejsza luka w zabezpieczeniach opisana w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2020-0417 A-154319182 EoP Wysoki 8.1, 9, 10
CVE-2021-0585 A-184963385 EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0586 A-182584940 EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0589 A-180939982 EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0594 A-176445224 EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0600 A-179042963 EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0602 A-177573895 EoP Wysoki 10, 11
CVE-2021-0588 A-177238342 ID Wysoki 8.1, 9
CVE-2021-0590 A-175213041 [2] ID Wysoki 8.1, 9, 10, 11
CVE-2021-0596 A-181346550 ID Wysoki 8.1, 9, 10, 11
CVE-2021-0597 A-176496502 ID Wysoki 8.1, 9, 10, 11
CVE-2021-0599 A-175614289 ID Wysoki 8.1, 9, 10, 11
CVE-2021-0604 A-179910660 ID Wysoki 8.1, 9, 10, 11

Aktualizacje systemowe Google Play

Komponenty projektu Mainline obejmują te problemy:

Komponent CVE
MediaProvider CVE-2021-0441
Kodeki multimedialne CVE-2021-0601
Stos sieciowy CVE-2021-0590

Szczegóły luki w zabezpieczeniach na poziomie aktualizacji zabezpieczeń z 5 lipca 2021 r.

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 5 lipca 2021 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej i zawierają identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w stosownych przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli pojedynczy błąd dotyczy wielu zmian, dodatkowe odniesienia są połączone z liczbami po identyfikatorze błędu.

Platforma

Luka w zabezpieczeniach opisana w tej sekcji może umożliwić osobie przeprowadzającej atak lokalny z uprzywilejowanym dostępem uzyskanie dostępu do danych wrażliwych.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2020-0368 A-143230980 [2] ID Wysoki 11

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnemu użycie specjalnie spreparowanego pliku do wykonania dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2021-0514 A-162604069 [2] [3] RCE Wysoki 8.1, 9, 10, 11
CVE-2021-0515 A-167389063 [2] [3] RCE Wysoki 8.1, 9, 10, 11
CVE-2021-0603 A-182809425 EoP Wysoki 11

Komponenty MediaTek

Ta luka w zabezpieczeniach dotyczy komponentów MediaTek. Więcej informacji można uzyskać bezpośrednio od firmy MediaTek. Ocena powagi tego problemu jest udostępniana bezpośrednio przez MediaTek.

CVE Pliki referencyjne Poziom Komponent
CVE-2021-0577
 A-187161771
M-ALPS05544148 *		 Wysoki flv extractor

Widevine DRM

Ta luka dotyczy komponentów DRM Widevine. Więcej informacji można uzyskać bezpośrednio od firmy Widevine DRM. Ocena powagi tego problemu jest dostarczana bezpośrednio przez Widevine DRM.

CVE Pliki referencyjne Poziom Komponent
CVE-2021-0592
 A-188061006 * Krytyczny Widevine

Komponenty Qualcomm

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm i są opisane bardziej szczegółowo w odpowiednim biuletynie lub alertu bezpieczeństwa Qualcomm. Ocena stopnia ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Poziom Komponent
CVE-2021-1965
 A-184561775
QC-CR#2867353		 Krytyczny WLAN
CVE-2021-1907 A-184561563
QC-CR#2766363		 Wysoki WLAN
CVE-2021-1931 A-179057550
QC-CR#2820093		 Wysoki Program rozruchowy
CVE-2021-1940 A-184561360
QC-CR#2830334		 Wysoki Bąbelki
CVE-2021-1943 A-184561361
QC-CR#2836205		 Wysoki WLAN
CVE-2021-1945 A-184561583
QC-CR#2838849		 Wysoki WLAN
CVE-2021-1954 A-184561797
QC-CR#2842475		 Wysoki WLAN
CVE-2021-1955 A-184561582
QC-CR#2810235
QC-CR#2857049
QC-CR#2857052 		Wysoki WLAN
CVE-2021-1964 A-184561362
QC-CR#2856212		 Wysoki WLAN
CVE-2021-1970 A-184561587
QC-CR#2857084		 Wysoki WLAN

Komponenty Qualcomm o zamkniętym kodzie źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm o zamkniętym kodzie źródłowym i są opisane w szczególności w odpowiednim biuletynie lub alertu dotyczącym zabezpieczeń Qualcomm. Ocena powagi tych problemów jest podawana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Poziom Komponent
CVE-2020-11307 A-175038120 * Krytyczny Komponent zamkniętego źródła
CVE-2021-1938 A-184561642 * Wysoki Komponent zamkniętego źródła
CVE-2021-1953 A-184561249 * Wysoki Komponent zamkniętego źródła

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy rozwiązuje te problemy?

Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Poziomy aktualizacji zabezpieczeń z 01.07.2021 r. lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 01.07.2021 r.
  • Poziomy poprawek zabezpieczeń z 2021-07-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem poprawek zabezpieczeń z 2021-07-05 i wszystkimi poprzednimi poziomami poprawek.

Producenci urządzeń, którzy udostępniają te aktualizacje, powinni ustawić poziom ciągu poprawki na:

  • [ro.build.version.security_patch]:[2021-07-01]
  • [ro.build.version.security_patch]:[2021-07-05]

W przypadku niektórych urządzeń z Androidem 10 lub nowszym aktualizacja systemowa Google Play będzie mieć ciąg znaków daty odpowiadający poziomowi poprawki zabezpieczeń z dnia 2021-07-01. Więcej informacji o instalowaniu aktualizacji zabezpieczeń znajdziesz w tym artykule.

2. Dlaczego w tym komunikacie są 2 poziomy aktualizacji zabezpieczeń?

W tym komunikacie znajdują się 2 poziomy poprawek zabezpieczeń, dzięki którym partnerzy Androida mogą szybciej naprawiać podzbiór podobnych luk we wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do rozwiązania wszystkich problemów opisanych w tym biuletynie i zastosowania najnowszego poziomu poprawek zabezpieczeń.

  • Urządzenia, które korzystają z poziomu poprawki zabezpieczeń z 2021-07-01, muszą zawierać wszystkie problemy związane z tym poziomem poprawki zabezpieczeń, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia z poziomem poprawki zabezpieczeń z 5 lipca 2021 r. lub nowszym muszą zawierać wszystkie poprawki z tego (i poprzednich) komunikatu(ów) o zagrożeniach.

Zachęcamy partnerów do łączenia poprawek dotyczących wszystkich problemów w jednym pakiecie.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów podatności odnoszą się do klasyfikacji podatności na zagrożenia.

Skrót Definicja
RCE Zdalne wykonywanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odniesienia?

Wpisy w kolumnie Odwołania w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odwołania.

Prefiks Źródła wiedzy
A- Identyfikator błędu na Androidzie
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom

5. Co oznacza znak * obok identyfikatora błędu Androida w kolumnie Odniesienia?

Problemy, które nie są dostępne publicznie, mają * obok odpowiedniego identyfikatora referencyjnego. Aktualizacja dotycząca tego problemu jest zwykle zawarta w najnowszych binarnych sterownikach urządzeń Pixel dostępnych na stronie Google Developer.

6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny dotyczące zabezpieczeń urządzeń i partnerów, takie jak biuletyn dotyczący Pixela?

Użytkownicy muszą zadeklarować najnowszy stan aktualizacji zabezpieczeń na urządzeniach z Androidem, aby móc korzystać z luk w zabezpieczeniach opisanych w tym biuletynie. Dodatkowe luki w zabezpieczeniach opisane w biuletynach dotyczących zabezpieczeń urządzeń i partnerów nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producenci urządzeń i chipsetów z Androidem mogą też publikować informacje o lukach w zabezpieczeniach dotyczących ich produktów, takich jak Google, Huawei, LGE, Motorola, Nokia czy Samsung.

Wersje

Wersja Data Uwagi
1,0 7 lipca 2021 r. Biuletyn opublikowany
1,1 9 lipca 2021 r. Wprowadziliśmy zmiany w powiadomieniu, aby zawierało linki do AOSP
1,2 15 lipca 2021 r. Zmieniona tabela CVE
1.3 21 lipca 2021 r. Zmieniona tabela CVE