Biuletyn bezpieczeństwa w Androidzie – wrzesień 2021 r.

Opublikowano 7 września 2021 r. | Zaktualizowano 14 września 2021 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Poziomy poprawek zabezpieczeń z 2021-09-05 lub nowsze rozwiązują wszystkie te problemy. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed publikacją. Poprawki kodu źródłowego dotyczące tych problemów zostały opublikowane w repozytorium Projektu Android Open Source (AOSP) i link do niego znajduje się w tym biuletynie. Ten biuletyn zawiera też linki do poprawek poza AOSP.

Najpoważniejszym z tych problemów jest krytyczne zagrożenie bezpieczeństwa w komponencie Framework, które może umożliwić atakującemu zdalnie użycie specjalnie spreparowanego pliku w celu trwałego odmowy usługi. Ocena wpływu jest oparta na efekcie, jaki wykorzystanie luki w zabezpieczeniach może mieć na urządzeniu docelowym, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby rozwoju lub że zostały pomyślnie omijane.

Więcej informacji o zabezpieczeniach platformy zabezpieczeń Androida i Google Play Protect, które zwiększają bezpieczeństwo platformy Android, znajdziesz w sekcji Zabezpieczenia Androida i Google Play Protect.

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie działań zapobiegawczych oferowanych przez platformę bezpieczeństwa Androida oraz zabezpieczenia usług, takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach mogą zostać wykorzystane na Androidzie.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą Google Play Protect i ostrzega użytkowników o potencjalnie szkodliwych aplikacjach. Google Play Protect jest domyślnie włączony na urządzeniach z Usługami mobilnymi Google i jest szczególnie ważny dla użytkowników, którzy instalują aplikacje spoza Google Play.

Szczegóły dotyczące luki w zabezpieczeniach na poziomie aktualizacji zabezpieczeń z 2021-09-01

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 1 września 2021 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej. Zawierają one identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w odpowiednich przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu. Urządzenia z Androidem 10 lub nowszym mogą otrzymywać aktualizacje zabezpieczeń oraz aktualizacje systemowe Google Play.

Platforma

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić osobie przeprowadzającej atak zdalny użycie specjalnie spreparowanego pliku w celu trwałego odmowy usługi.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2021-0687 A-188913943 DoS Krytyczny 8.1, 9, 10, 11
CVE-2021-0595 A-177457096 [2] EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0683 A-185398942 EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0684 A-179839665 EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0685 A-191055353 [2] EoP Wysoki 11
CVE-2021-0688 A-161149543 EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0686 A-177927831 ID Wysoki 10, 11

Platforma Media

Najpoważniejsza luka w tym rozdziale może umożliwić lokalnej złośliwej aplikacji obejście zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2021-0689 A-190188264 ID Wysoki 8.1, 9, 10, 11
CVE-2021-0690 A-182152757 ID Wysoki 8.1, 9, 10, 11

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2021-0598 A-180422108 [2] EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0692 A-179289753 EoP Wysoki 9, 10, 11
CVE-2021-0428 A-173421434 [2] [3] [4] [5] [6] [7] [8] [9] ID Wysoki 10
CVE-2021-0644 A-181053462 [2] ID Wysoki 10, 11
CVE-2021-0682 A-159624555 ID Wysoki 8.1, 9, 10, 11
CVE-2021-0693 A-184046948 ID Wysoki 11
CVE-2021-0691 A-188554048 EoP Umiarkowana 11

Aktualizacje systemowe Google Play

Komponenty projektu Mainline obejmują te problemy:

Komponent CVE
Kodeki multimedialne CVE-2021-0690

Szczegóły luki w zabezpieczeniach na poziomie poprawki zabezpieczeń z 2021-09-05

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 5 września 2021 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej. Zawierają one identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w odpowiednich przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Komponenty jądra

Podawana w tej sekcji luka może umożliwiać lokalnemu złośliwemu programowi obejście zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2021-0695 A-184018316
Jednostka jądra upstream		 ID Wysoki Bąbelki

Komponenty MediaTek

Te luki w zabezpieczeniach dotyczą komponentów MediaTek. Więcej informacji można uzyskać bezpośrednio od firmy MediaTek. Ocena powagi tych problemów jest dostarczana bezpośrednio przez MediaTek.

CVE Pliki referencyjne Poziom Komponent
CVE-2021-0680 A-192535676
M-ALPS05564803 *		 Wysoki Właściwości systemowe
CVE-2021-0681 A-192535337
M-ALPS05559939 *		 Wysoki Właściwości systemowe

Komponenty Unisoc

Te luki w zabezpieczeniach dotyczą komponentów Unisoc. Więcej informacji można uzyskać bezpośrednio od Unisoc. Ocena powagi tych problemów jest dostarczana bezpośrednio przez Unisoc.

CVE Pliki referencyjne Poziom Komponent
CVE-2021-0635
 A-189402477
U-1595212 *		 Wysoki Wideo
CVE-2021-0636
 A-189392423
U-1600513 *		 Wysoki Wideo

Komponenty Qualcomm

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm i są opisane bardziej szczegółowo w odpowiednim biuletynie lub alertu dotyczącym zabezpieczeń Qualcomm. Ocena stopnia ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Poziom Komponent
CVE-2021-1941
 A-184561795
QC-CR#2832873		 Wysoki WLAN
CVE-2021-1948
 A-184561643
QC-CR#2842234		 Wysoki WLAN
CVE-2021-1974
 A-190403734
QC-CR#2728644 [2]		 Wysoki WLAN
CVE-2021-30290
 A-190403706
QC-CR#2897378		 Wysoki Wyświetlacz
CVE-2021-30294 A-190404324
QC-CR#2900322		 Wysoki Wyświetlacz

Komponenty Qualcomm o zamkniętym kodzie źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm o źródle zamkniętym i są opisane bardziej szczegółowo w odpowiednim biuletynie lub ostrzeżeniu dotyczącym zabezpieczeń Qualcomm. Ocena stopnia ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Poziom Komponent
CVE-2021-1886
 A-176751522 * Krytyczny Komponent zamkniętego źródła
CVE-2021-1888 A-176752047 * Krytyczny Komponent zamkniętego źródła
CVE-2021-1889
 A-176751523 * Krytyczny Komponent zamkniętego źródła
CVE-2021-1890 A-176752048 * Krytyczny Komponent zamkniętego źródła
CVE-2021-1933
 A-181682124 * Krytyczny Komponent zamkniętego źródła
CVE-2021-1946
 A-181682277 * Krytyczny Komponent zamkniętego źródła
CVE-2021-1909
 A-181682278 * Wysoki Komponent zamkniętego źródła
CVE-2021-1923
 A-179039984 * Wysoki Komponent zamkniętego źródła
CVE-2021-1934
 A-181682745 * Wysoki Komponent zamkniętego źródła
CVE-2021-1935 A-181682438 * Wysoki Komponent zamkniętego źródła
CVE-2021-1952
 A-181682512 * Wysoki Komponent zamkniętego źródła
CVE-2021-1971
 A-190404961 * Wysoki Komponent zamkniętego źródła
CVE-2021-30295
 A-182501529 * Wysoki Komponent zamkniętego źródła

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy zawiera poprawki dotyczące tych problemów?

Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Poziomy aktualizacji zabezpieczeń z 1 września 2021 r. lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 1 września 2021 r.
  • Stany aktualizacji zabezpieczeń z 5 września 2021 r. lub nowsze rozwiązują wszystkie problemy związane ze stanem aktualizacji zabezpieczeń z 5 września 2021 r. i wszystkimi poprzednimi stanami.

Producenci urządzeń, którzy udostępniają te aktualizacje, powinni ustawić poziom ciągu poprawki na:

  • [ro.build.version.security_patch]:[2021-09-01]
  • [ro.build.version.security_patch]:[2021-09-05]

W przypadku niektórych urządzeń z Androidem 10 lub nowszym aktualizacja systemu Google Play będzie miała ciąg znaków daty odpowiadający poziomowi poprawki zabezpieczeń z 01.09.2021. Więcej informacji o instalowaniu aktualizacji zabezpieczeń znajdziesz w tym artykule.

2. Dlaczego w tym komunikacie są 2 poziomy aktualizacji zabezpieczeń?

W tym komunikacie znajdują się 2 poziomy poprawek zabezpieczeń, dzięki którym partnerzy Androida mają możliwość szybszego naprawiania podzbioru podobnych luk we wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do rozwiązania wszystkich problemów opisanych w tym biuletynie i do stosowania najnowszej poprawki zabezpieczeń.

  • Urządzenia korzystające z poziomu poprawki zabezpieczeń z 2021-09-01 muszą zawierać wszystkie problemy związane z tym poziomem, a także poprawki dla wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia, które korzystają z poziomu poprawki bezpieczeństwa z 2021-09-05 lub nowszego, muszą zawierać wszystkie poprawki z tego (i poprzednich) komunikatów o błędach dotyczących zabezpieczeń.

Zachęcamy partnerów do łączenia poprawek dotyczących wszystkich problemów w jednym pakiecie.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów podatności odnoszą się do klasyfikacji podatności na zagrożenia.

Skrót Definicja
RCE Zdalne wykonywanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odniesienia?

Wpisy w kolumnie Odwołania w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odwołania.

Prefiks Źródła wiedzy
A- Identyfikator błędu na Androidzie
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom

5. Co oznacza znak * obok identyfikatora błędu Androida w kolumnie Odniesienia?

Obok odpowiedniego identyfikatora referencyjnego problemów, które nie są dostępne publicznie, znajduje się znak *. Aktualizacja dotycząca tego problemu jest zwykle zawarta w najnowszych binarnych sterownikach urządzeń Pixel, które można pobrać na stronie Google dla deweloperów.

6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny o zabezpieczeniach dotyczące urządzeń i partnerów, np. biuletyn o Pixelu?

Aby zadeklarować najnowszy poziom poprawek zabezpieczeń na urządzeniach z Androidem, należy uwzględnić luki w zabezpieczeniach opisane w tym biuletynie. Dodatkowe luki w zabezpieczeniach, które są udokumentowane w biuletynach bezpieczeństwa dotyczących urządzenia lub partnera, nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producenci urządzeń i układów scalonych z Androidem mogą też publikować informacje o lukach w zabezpieczeniach w swoich produktach, takich jak Google, Huawei, LGE, Motorola, Nokia i Samsung.

Wersje

Wersja Data Uwagi
1,0 7 września 2021 r. Biuletyn opublikowany
1,1 14 września 2021 r. Wprowadziliśmy zmiany w powiadomieniu, aby zawierało linki do AOSP