Biuletyn bezpieczeństwa w Androidzie – listopad 2021 r.

Opublikowano 1 listopada 2021 r. | Zaktualizowano 3 grudnia 2021 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Wszystkie te problemy są rozwiązane w poziomach poprawek zabezpieczeń z 2021-11-06 lub nowszych. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed publikacją. Poprawki do kodu źródłowego dotyczące tych problemów zostały opublikowane w repozytorium Projektu Android Open Source (AOSP) i są dostępne w linku w tym biuletynie. Ten biuletyn zawiera też linki do poprawek spoza AOSP.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach w komponencie System, która umożliwia atakującemu zdalnie uruchomienie dowolnego kodu w ramach procesu uprzywilejowanego przy użyciu specjalnie przygotowanego pakietu danych. Ocena stopnia ważności opiera się na potencjalnym wpływie wykorzystania luki w zabezpieczeniach na urządzeniu docelowym, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby rozwoju lub zostały pomyślnie omijane.

Więcej informacji o środkach ochrony platformy Androida i Google Play Protect, które zwiększają bezpieczeństwo platformy Androida, znajdziesz w sekcji Środki zaradcze dotyczące Androida i Google Play Protect.

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie środków zapobiegawczych oferowanych przez platformę zabezpieczeń Androida oraz zabezpieczenia usług, takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach mogą zostać wykorzystane na urządzeniach z Androidem.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą Google Play Protect i ostrzega użytkowników o potencjalnie szkodliwych aplikacjach. Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play.

Szczegóły luki w zabezpieczeniach na poziomie aktualizacji zabezpieczeń z 2021-11-01

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 11 listopada 2021 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej. Zawierają one identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w odpowiednich przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu. Urządzenia z Androidem 10 lub nowszym mogą otrzymywać aktualizacje zabezpieczeń oraz aktualizacje systemowe Google Play.

Platforma

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnemu atakującemu uzyskanie dostępu do dodatkowych uprawnień bez interakcji z użytkownikiem.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2021-0799 A-197647956 EoP Wysoki 12
CVE-2021-0921 A-195962697 EoP Wysoki 11
CVE-2021-0923 A-195338390 EoP Wysoki 12
CVE-2021-0926 A-191053931 EoP Wysoki 9, 10, 11, 12
CVE-2021-0933 A-172251622 EoP Wysoki 9, 10, 11, 12
CVE-2020-13871 A-192606047 ID Wysoki 11
CVE-2021-0653 A-177931370 ID Wysoki 9, 10, 11
CVE-2021-0922 A-195630721 EoP Umiarkowana 11

Platforma Media

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2021-0928 A-188675581 EoP Wysoki 9, 10, 11
CVE-2021-0650 A-190286685 ID Wysoki 9, 10, 11

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnemu użycie specjalnie spreparowanej transmisji do uruchomienia dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2021-0918 A-197536150 RCE Krytyczny 12
CVE-2021-0930 A-181660091 RCE Krytyczny 9, 10, 11, 12
CVE-2021-0434 A-167403112 [2] [3] [4] [5] [6] EoP Wysoki 9, 10, 11
CVE-2021-0649 A-191382886 [2] EoP Wysoki 11
CVE-2021-0932 A-173025705 EoP Wysoki 10
CVE-2021-0925 A-191444150 ID Wysoki 12
CVE-2021-0931 A-180747689 ID Wysoki 9, 10, 11, 12
CVE-2021-0919 A-197336441 DoS Umiarkowana 9, 10, 11

Aktualizacje systemowe Google Play

Komponenty projektu Mainline obejmują te problemy:

Komponent CVE
Tethering CVE-2021-0653
Komponenty Media Framework CVE-2021-0650
Tethering CVE-2021-0649

Szczegóły luki w poziomie aktualizacji zabezpieczeń z 5 listopada 2021 r.

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 5 listopada 2021 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej. Zawierają one identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w odpowiednich przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Komponenty jądra

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może spowodować lokalne podniesienie uprawnień z powodu użycia po wygaśnięciu licencji.
CVE Pliki referencyjne Typ Poziom Komponent
CVE-2021-0920 A-196926917
Jednostka nadrzędna jądra 		EoP Wysoki Bąbelki
CVE-2021-0924 A-194461020
Jednostka jądra upstream 		EoP Wysoki USB
CVE-2021-0929 A-187527909
Kernel upstream [2] [3]		 EoP Wysoki ION

Android TV

Najpoważniejsza luka w tym rozdziale może umożliwić atakującemu w pobliżu sparowanie z telewizorem i wykonywanie dowolnego kodu bez uprawnień ani interakcji z użytkownikiem.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2021-0889 A-180745296 RCE Krytyczny Usługa pilota Android TV
CVE-2021-0927 A-189824175 EoP Wysoki TvInputManager

Komponenty MediaTek

Ta luka w zabezpieczeniach dotyczy komponentów MediaTek. Więcej informacji można uzyskać bezpośrednio od firmy MediaTek. Ocena powagi tego problemu jest dostarczana bezpośrednio przez MediaTek.

CVE Pliki referencyjne Poziom Komponent
CVE-2021-0672
 A-199678035
M-ALPS05969704 * 		Wysoki Przeglądarka

Komponenty Qualcomm o zamkniętym kodzie źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm o źródle zamkniętym i są opisane bardziej szczegółowo w odpowiednim biuletynie lub ostrzeżeniu dotyczącym zabezpieczeń Qualcomm. Ocena stopnia ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Poziom Komponent
CVE-2021-1924
 A-187074639 * Krytyczny Komponent zamkniętego źródła
CVE-2021-1975
 A-187074053 * Krytyczny Komponent zamkniętego źródła
CVE-2021-1921
 A-187074562 * Wysoki Komponent zamkniętego źródła
CVE-2021-1973
 A-187074563 * Wysoki Komponent zamkniętego źródła
CVE-2021-1979
 A-187073200 * Wysoki Komponent zamkniętego źródła
CVE-2021-1981
 A-187074764 * Wysoki Komponent zamkniętego źródła
CVE-2021-1982
 A-187074484 * Wysoki Komponent zamkniętego źródła
CVE-2021-30254
 A-187074014 * Wysoki Komponent zamkniętego źródła
CVE-2021-30255
 A-187074054 * Wysoki Komponent zamkniętego źródła
CVE-2021-30284
 A-187074013 * Wysoki Komponent zamkniętego źródła

Szczegóły luki w poziomie aktualizacji zabezpieczeń z 6 listopada 2021 r.

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 6 listopada 2021 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej. Zawierają one identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w odpowiednich przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.

Komponenty jądra

Usługa podatna na podatność opisaną w tej sekcji może doprowadzić do lokalnej eskalacji uprawnień z powodu korzystania z usługi po wygaśnięciu bezpłatnego okresu.
CVE Pliki referencyjne Typ Poziom Komponent
CVE-2021-1048 A-204573007
Jednostka jądra upstream 		EoP Wysoki Bąbelki

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy zawiera poprawki dotyczące tych problemów?

Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Stany aktualizacji zabezpieczeń z 11 listopada 2021 r. lub nowsze rozwiązują wszystkie problemy związane ze stanem aktualizacji zabezpieczeń z 11 listopada 2021 r.
  • Poziomy aktualizacji zabezpieczeń z 2021-11-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2021-11-05 i wszystkimi poprzednimi poziomami.
  • Stany aktualizacji zabezpieczeń z 6 listopada 2021 r. lub nowsze rozwiązują wszystkie problemy związane ze stanem aktualizacji zabezpieczeń z 6 listopada 2021 r. i wszystkimi poprzednimi stanami.

Producenci urządzeń, którzy udostępniają te aktualizacje, powinni ustawić poziom ciągu poprawki na:

  • [ro.build.version.security_patch]:[2021-11-01]
  • [ro.build.version.security_patch]:[2021-11-05]
  • [ro.build.version.security_patch]:[2021-11-06]

W przypadku niektórych urządzeń z Androidem 10 lub nowszym aktualizacja systemu Google Play będzie miała ciąg znaków daty odpowiadający poziomowi poprawki zabezpieczeń z 11 listopada 2021 r. Więcej informacji o instalowaniu aktualizacji zabezpieczeń znajdziesz w tym artykule.

2. Dlaczego w tym komunikacie są 2 poziomy aktualizacji zabezpieczeń?

W tym komunikacie znajdują się 2 poziomy poprawek zabezpieczeń, dzięki którym partnerzy Androida mają możliwość szybszego naprawiania podzbioru podobnych luk we wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do rozwiązania wszystkich problemów opisanych w tym biuletynie i do stosowania najnowszej poprawki zabezpieczeń.

  • Urządzenia, które korzystają z poziomu poprawki zabezpieczeń z 2021-11-01, muszą zawierać wszystkie problemy związane z tym poziomem poprawki zabezpieczeń, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia z poziomem poprawki zabezpieczeń 2021-11-05 lub nowszym muszą zawierać wszystkie poprawki z tych (i wcześniejszych) komunikatów o błędach dotyczących zabezpieczeń.
  • Urządzenia, które korzystają z poziomu poprawki zabezpieczeń z 2021-11-06 lub nowszego, muszą zawierać wszystkie poprawki z tego (i poprzednich) komunikatów o błędach dotyczących zabezpieczeń.

Zachęcamy partnerów do łączenia poprawek dotyczących wszystkich problemów w jednym pakiecie.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów podatności odnoszą się do klasyfikacji podatności na zagrożenia.

Skrót Definicja
RCE Zdalne wykonywanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odniesienia?

Wpisy w kolumnie Odwołania w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odwołania.

Prefiks Źródła wiedzy
A- Identyfikator błędu na Androidzie
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom
U- Numer referencyjny UNISOC

5. Co oznacza znak * obok identyfikatora błędu Androida w kolumnie Odniesienia?

Obok odpowiedniego identyfikatora referencyjnego problemów, które nie są dostępne publicznie, znajduje się znak *. Aktualizacja dotycząca tego problemu jest zwykle zawarta w najnowszych binarnych sterownikach urządzeń Pixel, które można pobrać na stronie Google dla deweloperów.

6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny o zabezpieczeniach dotyczące urządzeń i partnerów, np. biuletyn o Pixelu?

Aby zadeklarować najnowszy poziom poprawek zabezpieczeń na urządzeniach z Androidem, należy uwzględnić luki w zabezpieczeniach opisane w tym biuletynie. Dodatkowe luki w zabezpieczeniach, które są udokumentowane w biuletynach bezpieczeństwa dotyczących urządzenia lub partnera, nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producenci urządzeń i układów scalonych z Androidem mogą też publikować informacje o lukach w zabezpieczeniach w swoich produktach, takich jak Google, Huawei, LGE, Motorola, Nokia i Samsung.

Wersje

Wersja Data Uwagi
1,0 1 listopada 2021 roku Biuletyn opublikowany
1,1 2 listopada 2021 r. Wprowadziliśmy zmiany w powiadomieniu, aby zawierało linki do AOSP
1,2 3 grudnia 2021 r. Zmieniona tabela CVE