بولتن امنیتی اندروید حاوی جزئیاتی از آسیب پذیری های امنیتی است که بر دستگاه های اندرویدی تأثیر می گذارد. سطوح وصله امنیتی 2022-07-05 یا جدیدتر همه این مشکلات را برطرف می کند. برای آشنایی با نحوه بررسی سطح وصله امنیتی دستگاه، به بررسی و بهروزرسانی نسخه Android خود مراجعه کنید.
شرکای Android حداقل یک ماه قبل از انتشار از همه مشکلات مطلع می شوند. وصله کد منبع برای این مشکلات در مخزن پروژه منبع باز Android (AOSP) منتشر شده و از این بولتن پیوند داده شده است. این بولتن همچنین شامل پیوندهایی به وصله های خارج از AOSP است.
شدیدترین این مسائل یک آسیب پذیری امنیتی حیاتی در مؤلفه System است که می تواند منجر به اجرای کد از راه دور بدون نیاز به مجوزهای اجرایی اضافی شود. ارزیابی شدت بر اساس تأثیری است که بهرهبرداری از آسیبپذیری احتمالاً روی دستگاه آسیبدیده میگذارد، با این فرض که پلتفرم و کاهش خدمات برای اهداف توسعه خاموش شدهاند یا اگر با موفقیت دور زده شوند.
برای جزئیات بیشتر در مورد حفاظت های پلتفرم امنیتی اندروید و Google Play Protect که امنیت پلتفرم اندروید را بهبود می بخشد، به بخش کاهش دهنده های Android و Google Play Protect مراجعه کنید.
کاهش خدمات اندروید و گوگل
این خلاصهای از کاهشهای ارائهشده توسط پلتفرم امنیتی Android و محافظتهای خدماتی مانند Google Play Protect است. این قابلیت ها احتمال سوء استفاده موفقیت آمیز از آسیب پذیری های امنیتی در اندروید را کاهش می دهد.
- بهره برداری از بسیاری از مسائل در اندروید با پیشرفت در نسخه های جدیدتر پلتفرم اندروید دشوارتر شده است. ما همه کاربران را تشویق می کنیم تا در صورت امکان به آخرین نسخه اندروید بروزرسانی کنند.
- تیم امنیتی Android به طور فعال از طریق Google Play Protect برای سوء استفاده نظارت می کند و به کاربران در مورد برنامه های بالقوه مضر هشدار می دهد. Google Play Protect به طور پیشفرض در دستگاههای دارای سرویسهای تلفن همراه Google فعال است و به ویژه برای کاربرانی که برنامههایی را از خارج از Google Play نصب میکنند، مهم است.
جزئیات آسیب پذیری سطح وصله امنیتی 01/07/2022
در بخشهای زیر، جزئیات مربوط به هر یک از آسیبپذیریهای امنیتی را که در سطح وصله ۲۰۲۲-۰۷-۰۱ اعمال میشوند، ارائه میکنیم. آسیبپذیریها بر اساس مؤلفهای که بر آن تأثیر میگذارند گروهبندی میشوند. مشکلات در جداول زیر توضیح داده شده است و شامل شناسه CVE، مراجع مرتبط، نوع آسیبپذیری ، شدت و نسخههای بهروزشده AOSP (در صورت لزوم) میشود. هنگامی که در دسترس باشد، تغییر عمومی را که مشکل را حل کرده است، مانند لیست تغییرات AOSP، به شناسه اشکال مرتبط می کنیم. هنگامی که تغییرات متعدد به یک باگ مربوط می شود، ارجاعات اضافی به اعدادی که پس از شناسه اشکال مرتبط هستند، مرتبط می شوند. دستگاههای دارای Android 10 و بالاتر ممکن است بهروزرسانیهای امنیتی و همچنین بهروزرسانیهای سیستم Google Play را دریافت کنند.
چارچوب
شدیدترین آسیبپذیری در این بخش میتواند منجر به افشای اطلاعات محلی بدون نیاز به مجوزهای اجرایی اضافی شود.
CVE | منابع | تایپ کنید | شدت | نسخه های AOSP به روز شده |
---|---|---|---|---|
CVE-2022-20219 | A-224585613 [ 2 ] [ 3 ] [ 4 ] [ 5 ] | شناسه | بالا | 10، 11، 12، 12 لیتر |
CVE-2022-20228 | الف-213850092 | شناسه | بالا | 12، 12 لیتر |
سیستم
شدیدترین آسیبپذیری در این بخش میتواند منجر به اجرای کد از راه دور بدون نیاز به مجوزهای اجرایی اضافی شود.
CVE | منابع | تایپ کنید | شدت | نسخه های AOSP به روز شده |
---|---|---|---|---|
CVE-2022-20222 | الف-228078096 | RCE | بحرانی | 12، 12 لیتر |
CVE-2022-20229 | الف-224536184 | RCE | بحرانی | 10، 11، 12، 12 لیتر |
CVE-2021-0981 | الف-191981182 | EoP | بالا | 10، 11 |
CVE-2022-20223 | الف-223578534 | EoP | بالا | 10، 11، 12، 12 لیتر |
CVE-2022-20226 | A-213644870 [ 2 ] | EoP | بالا | 12، 12 لیتر |
CVE-2022-20221 | الف-205571133 | شناسه | بالا | 10، 11، 12، 12 لیتر |
CVE-2022-20224 | الف-220732646 | شناسه | بالا | 10، 11، 12، 12 لیتر |
CVE-2022-20225 | الف-213457638 | شناسه | بالا | 10، 11، 12، 12 لیتر |
CVE-2022-20230 | الف-221859869 | شناسه | بالا | 10، 11، 12، 12 لیتر |
به روز رسانی سیستم گوگل پلی
مسائل زیر در اجزای Project Mainline گنجانده شده است.
جزء | CVE |
---|---|
کدک های رسانه، اجزای چارچوب رسانه | CVE-2022-20228 |
جزئیات آسیب پذیری سطح وصله امنیتی 05/07/2022
در بخشهای زیر، جزئیات مربوط به هر یک از آسیبپذیریهای امنیتی را که در سطح وصله ۰۵-۰۷-۲۰۲۲ اعمال میشوند، ارائه میکنیم. آسیبپذیریها بر اساس مؤلفهای که بر آن تأثیر میگذارند گروهبندی میشوند. مشکلات در جداول زیر توضیح داده شده است و شامل شناسه CVE، مراجع مرتبط، نوع آسیبپذیری ، شدت و نسخههای بهروزشده AOSP (در صورت لزوم) میشود. هنگامی که در دسترس باشد، تغییر عمومی را که مشکل را حل کرده است، مانند لیست تغییرات AOSP، به شناسه اشکال مرتبط می کنیم. هنگامی که تغییرات متعدد به یک باگ مربوط می شود، ارجاعات اضافی به اعدادی که پس از شناسه اشکال مرتبط هستند، مرتبط می شوند.
چارچوب
آسیبپذیری در این بخش میتواند منجر به افزایش محلی امتیاز با مجوزهای اجرای کاربر مورد نیاز شود.
CVE | منابع | تایپ کنید | شدت | نسخه های AOSP به روز شده |
---|---|---|---|---|
CVE-2022-20220 | الف-219015884 | EoP | بالا | 12، 12 لیتر |
اجزای هسته
شدیدترین آسیبپذیری در این بخش میتواند منجر به افشای اطلاعات محلی بدون نیاز به مجوزهای اجرایی اضافی شود.
CVE | منابع | تایپ کنید | شدت | جزء |
---|---|---|---|---|
CVE-2022-20227 | الف-216825460 هسته بالادست [ 2 ] | شناسه | بالا | هسته |
اجزای مدیاتک
این آسیبپذیریها بر اجزای MediaTek تأثیر میگذارند و جزئیات بیشتر مستقیماً از MediaTek در دسترس است. ارزیابی شدت این مسائل به طور مستقیم توسط مدیاتک ارائه شده است.
CVE | منابع | شدت | جزء |
---|---|---|---|
CVE-2022-20083 | الف-231275475 M-MOLY00803883 * | بالا | مودم 2G/3G CC |
CVE-2022-21744 | الف-231281131 M-MOLY00810064 * | بالا | مودم 2G RR |
CVE-2022-21767 | الف-231275476 M-ALPS06784430 * | بالا | بلوتوث |
CVE-2022-21768 | الف-231281132 M-ALPS06784351 * | بالا | بلوتوث |
CVE-2022-21763 | الف-231275473 M-ALPS07044717 * | بالا | خدمات مخابراتی |
CVE-2022-21764 | الف-231271468 M-ALPS07044717 * | بالا | خدمات مخابراتی |
اجزای Unisoc
این آسیبپذیریها بر اجزای Unisoc تأثیر میگذارند و جزئیات بیشتر مستقیماً از Unisoc در دسترس هستند. ارزیابی شدت این مسائل به طور مستقیم توسط Unisoc ارائه شده است.
CVE | منابع | شدت | جزء |
---|---|---|---|
CVE-2022-20216 | الف-231911916 U-1867981 * | بالا | تلفن |
CVE-2022-20217 | الف-232441378 U-1882905 * | بالا | تلفن |
CVE-2022-20236 | الف-233124709 U-1883940 * | بالا | gpu |
CVE-2022-20238 | الف-233154555 U-1883892 * | بالا | هسته |
قطعات کوالکام
این آسیبپذیریها بر اجزای کوالکام تأثیر میگذارند و با جزئیات بیشتر در بولتن امنیتی یا هشدار امنیتی کوالکام توضیح داده شدهاند. ارزیابی شدت این مسائل به طور مستقیم توسط کوالکام ارائه شده است.
CVE | منابع | شدت | جزء |
---|---|---|---|
CVE-2022-22096 | الف-213371834 QC-CR#3105585 | بحرانی | بلوتوث |
CVE-2022-22058 | الف-209075540 QC-CR#2747422 QC-CR#2338216 | بالا | هسته |
اجزای منبع بسته کوالکام
این آسیبپذیریها بر اجزای منبع بسته کوالکام تأثیر میگذارند و با جزئیات بیشتر در بولتن امنیتی یا هشدار امنیتی کوالکام توضیح داده شدهاند. ارزیابی شدت این مسائل به طور مستقیم توسط کوالکام ارائه شده است.
CVE | منابع | شدت | جزء |
---|---|---|---|
CVE-2022-25657 | A-228101835 * | بالا | جزء منبع بسته |
CVE-2022-25658 | A-228101855 * | بالا | جزء منبع بسته |
CVE-2022-25659 | A-228101819 * | بالا | جزء منبع بسته |
پرسش و پاسخ متداول
این بخش به سوالات متداولی که ممکن است پس از خواندن این بولتن رخ دهد پاسخ می دهد.
1. چگونه تشخیص دهم که آیا دستگاه من برای رفع این مشکلات به روز شده است؟
برای آشنایی با نحوه بررسی سطح وصله امنیتی دستگاه، به بررسی و بهروزرسانی نسخه Android خود مراجعه کنید.
- سطوح وصله امنیتی 2022-07-01 یا جدیدتر تمام مسائل مرتبط با سطح وصله امنیتی 2022-07-01 را برطرف می کند.
- سطوح وصله امنیتی 2022-07-05 یا جدیدتر، تمام مسائل مرتبط با سطح وصله امنیتی 2022-07-05 و تمام سطوح وصله قبلی را برطرف می کند.
سازندگان دستگاههایی که شامل این بهروزرسانیها میشوند باید سطح رشته وصله را روی موارد زیر تنظیم کنند:
- [ro.build.version.security_patch]:[01-07-2022]
- [ro.build.version.security_patch]:[05-07-2022]
برای برخی از دستگاههای اندروید 10 یا بالاتر، بهروزرسانی سیستم Google Play دارای یک رشته تاریخی است که با سطح وصله امنیتی 01-07-2022 مطابقت دارد. لطفاً برای جزئیات بیشتر در مورد نحوه نصب بهروزرسانیهای امنیتی، این مقاله را ببینید.
2. چرا این بولتن دارای دو سطح وصله امنیتی است؟
این بولتن دارای دو سطح وصله امنیتی است تا شرکای Android انعطافپذیری لازم را داشته باشند تا زیرمجموعهای از آسیبپذیریها را که در همه دستگاههای اندرویدی مشابه هستند، سریعتر برطرف کنند. شرکای Android تشویق می شوند تا تمام مشکلات موجود در این بولتن را برطرف کنند و از آخرین سطح وصله امنیتی استفاده کنند.
- دستگاههایی که از سطح وصله امنیتی 01-07-2022 استفاده میکنند باید شامل تمام مشکلات مرتبط با آن سطح وصله امنیتی و همچنین رفع تمام مشکلات گزارششده در بولتنهای امنیتی قبلی باشند.
- دستگاههایی که از سطح وصله امنیتی 2022-07-05 یا جدیدتر استفاده میکنند، باید همه وصلههای قابلاجرا در این (و قبلی) بولتنهای امنیتی را شامل شوند.
شرکا تشویق می شوند تا اصلاحات مربوط به همه مشکلاتی را که در حال رفع آنها هستند در یک به روز رسانی واحد جمع کنند.
3. ورودی های ستون Type به چه معناست؟
ورودی های ستون نوع جدول جزئیات آسیب پذیری به طبقه بندی آسیب پذیری امنیتی اشاره دارد.
مخفف | تعریف |
---|---|
RCE | اجرای کد از راه دور |
EoP | بالا بردن امتیاز |
شناسه | افشای اطلاعات |
DoS | خود داری از خدمات |
N/A | طبقه بندی در دسترس نیست |
4. ورودی های ستون References به چه معناست؟
ورودیهای زیر ستون مراجع جدول جزئیات آسیبپذیری ممکن است حاوی پیشوندی باشد که سازمانی را که مقدار مرجع به آن تعلق دارد، مشخص میکند.
پیشوند | ارجاع | |
---|---|---|
آ- | شناسه باگ اندروید | |
QC- | شماره مرجع کوالکام | |
M- | شماره مرجع مدیاتک | |
N- | شماره مرجع NVIDIA | |
ب- | شماره مرجع Broadcom | |
U- | شماره مرجع UNISOC |
نسخه | تاریخ | یادداشت |
---|---|---|
1.0 | 6 جولای 2022 | بولتن منتشر شد |
1.1 | 7 جولای 2022 | بولتن اصلاح شد تا شامل پیوندهای AOSP و جدول CVE اصلاح شده باشد |
محتوا و نمونه کدها در این صفحه مشمول پروانههای توصیفشده در پروانه محتوا هستند. جاوا و OpenJDK علامتهای تجاری یا علامتهای تجاری ثبتشده Oracle و/یا وابستههای آن هستند.
تاریخ آخرین بهروزرسانی 2024-09-05 بهوقت ساعت هماهنگ جهانی.