แถลงการณ์ด้านความปลอดภัยของ Android—มกราคม 2023

กระดานข่าวความปลอดภัยของ Android มีรายละเอียดของช่องโหว่ด้านความปลอดภัยที่ส่งผลต่ออุปกรณ์ Android ระดับโปรแกรมแก้ไขความปลอดภัยของ 2023-01-05 หรือใหม่กว่าแก้ไขปัญหาเหล่านี้ทั้งหมด หากต้องการเรียนรู้วิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์ โปรดดู ตรวจสอบและอัปเดตเวอร์ชัน Android ของคุณ

พันธมิตร Android จะได้รับแจ้งเกี่ยวกับปัญหาทั้งหมดอย่างน้อยหนึ่งเดือนก่อนเผยแพร่ โปรแกรมแก้ไขซอร์สโค้ดสำหรับปัญหาเหล่านี้จะเผยแพร่ไปยังที่เก็บ Android Open Source Project (AOSP) ในอีก 48 ชั่วโมงข้างหน้า เราจะแก้ไขกระดานข่าวนี้ด้วยลิงก์ AOSP เมื่อพร้อมใช้งาน

ปัญหาที่รุนแรงที่สุดของปัญหาเหล่านี้คือช่องโหว่ด้านความปลอดภัยสูงในคอมโพเนนต์ Framework ที่อาจนำไปสู่การเพิ่มสิทธิ์ในเครื่องโดยไม่ต้องใช้สิทธิ์ในการดำเนินการเพิ่มเติม การ ประเมินความรุนแรง จะขึ้นอยู่กับผลกระทบของการใช้ประโยชน์จากช่องโหว่ที่อาจเกิดขึ้นกับอุปกรณ์ที่ได้รับผลกระทบ สมมติว่าแพลตฟอร์มและบริการปิดใช้งานเพื่อวัตถุประสงค์ในการพัฒนาหรือหากข้ามได้สำเร็จ

โปรดดูส่วนการลดระดับของ Android และ Google Play Protect สำหรับรายละเอียดเกี่ยวกับการ ป้องกันแพลตฟอร์มความปลอดภัยของ Android และ Google Play Protect ซึ่งปรับปรุงความปลอดภัยของแพลตฟอร์ม Android

การบรรเทาบริการ Android และ Google

นี่คือบทสรุปของการบรรเทาผลกระทบที่มีให้โดย แพลตฟอร์มความปลอดภัยของ Android และการปกป้องบริการ เช่น Google Play Protect ความสามารถเหล่านี้ช่วยลดโอกาสที่ช่องโหว่ด้านความปลอดภัยจะถูกโจมตีบน Android ได้สำเร็จ

• การใช้ประโยชน์จากปัญหามากมายบน Android นั้นยากขึ้นด้วยการปรับปรุงในแพลตฟอร์ม Android เวอร์ชันใหม่กว่า เราขอแนะนำให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดหากเป็นไปได้
• ทีมรักษาความปลอดภัยของ Android ตรวจสอบการละเมิดอย่างต่อเนื่องผ่าน Google Play Protect และเตือนผู้ใช้เกี่ยวกับ แอปพลิเคชันที่อาจเป็นอันตราย Google Play Protect เปิดใช้งานโดยค่าเริ่มต้นในอุปกรณ์ที่มี Google Mobile Services และมีความสำคัญอย่างยิ่งสำหรับผู้ใช้ที่ติดตั้งแอปจากภายนอก Google Play

2023-01-01 รายละเอียดช่องโหว่ระดับแพตช์ความปลอดภัย

ในส่วนด้านล่าง เราได้ให้รายละเอียดสำหรับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่ใช้กับระดับแพตช์ 2023-01-01 ช่องโหว่ถูกจัดกลุ่มภายใต้องค์ประกอบที่ได้รับผลกระทบ มีการอธิบายปัญหาในตารางด้านล่างและรวมถึง CVE ID, การอ้างอิงที่เกี่ยวข้อง, ประเภทของช่องโหว่ , ความรุนแรง และเวอร์ชัน AOSP ที่อัปเดต (ถ้ามี) เมื่อพร้อมใช้งาน เราจะเชื่อมโยงการเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับ ID จุดบกพร่อง เช่น รายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับข้อบกพร่องเดียว การอ้างอิงเพิ่มเติมจะเชื่อมโยงกับหมายเลขที่ตามหลังรหัสข้อบกพร่อง อุปกรณ์ที่ใช้ Android 10 และใหม่กว่าอาจได้รับการอัปเดตความปลอดภัย เช่นเดียวกับ การอัปเดตระบบ Google Play

กรอบ

ช่องโหว่ที่รุนแรงที่สุดในส่วนนี้อาจนำไปสู่การเพิ่มสิทธิ์ในเครื่องโดยไม่จำเป็นต้องมีสิทธิ์ดำเนินการเพิ่มเติม

ระบบ

ช่องโหว่ที่รุนแรงที่สุดในส่วนนี้อาจนำไปสู่การเพิ่มระดับสิทธิ์ของ BLE ในเครื่องโดยไม่จำเป็นต้องมีสิทธิ์ดำเนินการเพิ่มเติม

การอัปเดตระบบ Google Play

ปัญหาต่อไปนี้จะรวมอยู่ในส่วนประกอบ Project Mainline

2023-01-05 รายละเอียดช่องโหว่ระดับแพตช์ความปลอดภัย

ในส่วนด้านล่าง เราได้ให้รายละเอียดสำหรับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่ใช้กับระดับแพตช์ 2023-01-05 ช่องโหว่ถูกจัดกลุ่มภายใต้องค์ประกอบที่ได้รับผลกระทบ มีการอธิบายปัญหาในตารางด้านล่างและรวมถึง CVE ID, การอ้างอิงที่เกี่ยวข้อง, ประเภทของช่องโหว่ , ความรุนแรง และเวอร์ชัน AOSP ที่อัปเดต (ถ้ามี) เมื่อพร้อมใช้งาน เราจะเชื่อมโยงการเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับ ID จุดบกพร่อง เช่น รายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับข้อบกพร่องเดียว การอ้างอิงเพิ่มเติมจะเชื่อมโยงกับหมายเลขที่ตามหลังรหัสข้อบกพร่อง

เคอร์เนล

ช่องโหว่ที่รุนแรงที่สุดในส่วนนี้อาจนำไปสู่การเรียกใช้โค้ดจากระยะไกลโดยไม่จำเป็นต้องมีสิทธิ์ดำเนินการเพิ่มเติม

ส่วนประกอบเคอร์เนล

ช่องโหว่ที่รุนแรงที่สุดในส่วนนี้อาจนำไปสู่การเรียกใช้โค้ดจากระยะไกลโดยไม่จำเป็นต้องมีสิทธิ์ดำเนินการเพิ่มเติม

เคอร์เนล LTS

อัปเดตเคอร์เนลเวอร์ชันต่อไปนี้แล้ว การอัปเดตเวอร์ชันเคอร์เนลขึ้นอยู่กับเวอร์ชันของ Android OS ณ เวลาที่เปิดตัวอุปกรณ์

เทคโนโลยีจินตนาการ

ช่องโหว่นี้ส่งผลกระทบต่อส่วนประกอบของ Imagination Technologies และสามารถดูรายละเอียดเพิ่มเติมได้โดยตรงจาก Imagination Technologies การประเมินความรุนแรงของปัญหานี้จัดทำโดย Imagination Technologies โดยตรง

ส่วนประกอบ MediaTek

ช่องโหว่เหล่านี้ส่งผลกระทบต่อส่วนประกอบของ MediaTek และรายละเอียดเพิ่มเติมสามารถดูได้โดยตรงจาก MediaTek การประเมินความรุนแรงของปัญหาเหล่านี้จัดทำโดย MediaTek โดยตรง

ส่วนประกอบยูนิซอค

ช่องโหว่เหล่านี้ส่งผลกระทบต่อส่วนประกอบของ Unisoc และรายละเอียดเพิ่มเติมสามารถดูได้โดยตรงจาก Unisoc การประเมินความรุนแรงของปัญหาเหล่านี้จัดทำโดย Unisoc โดยตรง

ส่วนประกอบของวอลคอมม์

ช่องโหว่เหล่านี้ส่งผลกระทบต่อส่วนประกอบของ Qualcomm และมีการอธิบายในรายละเอียดเพิ่มเติมในกระดานข่าวความปลอดภัยของ Qualcomm ที่เหมาะสมหรือการแจ้งเตือนด้านความปลอดภัย การประเมินความรุนแรงของปัญหาเหล่านี้จัดทำโดย Qualcomm โดยตรง

คอมโพเนนต์โอเพนซอร์สของ Qualcomm

ช่องโหว่เหล่านี้ส่งผลกระทบต่อคอมโพเนนต์โอเพนซอร์สของ Qualcomm และมีการอธิบายในรายละเอียดเพิ่มเติมในกระดานข่าวความปลอดภัยของ Qualcomm ที่เหมาะสมหรือการแจ้งเตือนด้านความปลอดภัย การประเมินความรุนแรงของปัญหาเหล่านี้จัดทำโดย Qualcomm โดยตรง

คำถามและคำตอบทั่วไป

ส่วนนี้จะตอบคำถามทั่วไปที่อาจเกิดขึ้นหลังจากอ่านกระดานข่าวนี้

1. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ของฉันได้รับการอัปเดตเพื่อแก้ไขปัญหาเหล่านี้หรือไม่

หากต้องการเรียนรู้วิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์ โปรดดู ตรวจสอบและอัปเดตเวอร์ชัน Android ของคุณ

• ระดับแพตช์ความปลอดภัยของ 2023-01-01 หรือใหม่กว่าแก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2023-01-01
• ระดับแพตช์ความปลอดภัยของ 2023-01-05 หรือใหม่กว่าแก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2023-01-05 และระดับแพตช์ก่อนหน้าทั้งหมด

ผู้ผลิตอุปกรณ์ที่มีการอัปเดตเหล่านี้ควรตั้งค่าระดับสตริงของแพตช์เป็น:

• [ro.build.version.security_patch]:[2023-01-01]
• [ro.build.version.security_patch]:[2023-01-05]

สำหรับอุปกรณ์บางรุ่นที่ใช้ Android 10 หรือใหม่กว่า การอัปเดตระบบ Google Play จะมีสตริงวันที่ตรงกับระดับแพตช์ความปลอดภัย 2023-01-01 โปรดดู บทความนี้ สำหรับรายละเอียดเพิ่มเติมเกี่ยวกับวิธีการติดตั้งโปรแกรมปรับปรุงความปลอดภัย

2. เหตุใดกระดานข่าวนี้จึงมีแพตช์ความปลอดภัยสองระดับ

กระดานข่าวนี้มีแพตช์ความปลอดภัยสองระดับเพื่อให้พาร์ทเนอร์ Android มีความยืดหยุ่นในการแก้ไขช่องโหว่บางส่วนที่คล้ายกันในอุปกรณ์ Android ทุกเครื่องได้รวดเร็วยิ่งขึ้น พันธมิตร Android ได้รับการสนับสนุนให้แก้ไขปัญหาทั้งหมดในกระดานข่าวนี้ และใช้ระดับแพตช์ความปลอดภัยล่าสุด

• อุปกรณ์ที่ใช้ระดับแพตช์ความปลอดภัย 2023-01-01 จะต้องมีปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัยนั้น เช่นเดียวกับการแก้ไขปัญหาทั้งหมดที่รายงานในกระดานข่าวความปลอดภัยก่อนหน้านี้
• อุปกรณ์ที่ใช้แพตช์ความปลอดภัยระดับ 2023-01-05 หรือใหม่กว่าต้องมีแพตช์ที่เกี่ยวข้องทั้งหมดในกระดานข่าวความปลอดภัยนี้ (และก่อนหน้า)

พันธมิตรได้รับการสนับสนุนให้รวมการแก้ไขสำหรับปัญหาทั้งหมดที่พวกเขากำลังแก้ไขในการอัปเดตเดียว

3. รายการในคอลัมน์ Type หมายถึงอะไร

รายการในคอลัมน์ Type ของตารางรายละเอียดช่องโหว่อ้างอิงการจัดประเภทของช่องโหว่ด้านความปลอดภัย

4. รายการในคอลัมน์ References หมายถึงอะไร?

รายการภายใต้คอลัมน์ References ของตารางรายละเอียดช่องโหว่อาจมีคำนำหน้าที่ระบุถึงองค์กรที่เป็นเจ้าของค่าอ้างอิง

5. เครื่องหมาย * ถัดจาก ID จุดบกพร่องของ Android ในคอลัมน์ References หมายถึงอะไร

ปัญหาที่ไม่เปิดเผยต่อสาธารณะจะมี * ถัดจาก ID อ้างอิงที่เกี่ยวข้อง การอัปเดตสำหรับปัญหานั้นโดยทั่วไปมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Pixel ที่มีให้จาก ไซต์ Google Developer

6. เหตุใดช่องโหว่ด้านความปลอดภัยจึงแยกระหว่างกระดานข่าวนี้กับกระดานข่าวความปลอดภัยของอุปกรณ์/พันธมิตร เช่น กระดานข่าว Pixel

ช่องโหว่ด้านความปลอดภัยที่บันทึกไว้ในกระดานข่าวความปลอดภัยนี้จำเป็นต้องประกาศระดับแพตช์ความปลอดภัยล่าสุดบนอุปกรณ์ Android ช่องโหว่ด้านความปลอดภัยเพิ่มเติมที่บันทึกไว้ในกระดานข่าวความปลอดภัยของอุปกรณ์/คู่ค้าไม่จำเป็นสำหรับการประกาศระดับแพตช์ความปลอดภัย ผู้ผลิตอุปกรณ์ Android และชิปเซ็ตอาจเผยแพร่รายละเอียดช่องโหว่ด้านความปลอดภัยเฉพาะสำหรับผลิตภัณฑ์ของตน เช่น Google , Huawei , LGE , Motorola , Nokia หรือ Samsung

รุ่น