Opublikowano 5 lutego 2024 r.

Biuletyn zabezpieczeń Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które mają wpływ na urządzenia z Androidem. Poziomy poprawek zabezpieczeń z 5 lutego 2024 r. lub nowsze rozwiązują wszystkie te problemy. Aby dowiedzieć się, jak sprawdzić poziom aktualizacji zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed publikacją. Poprawki kodu źródłowego dotyczące tych problemów zostały opublikowane w repozytorium Projektu Android Open Source (AOSP) i są połączone z tym biuletynem. Ten biuletyn zawiera również linki do poprawek poza AOSP.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach komponentu System, która może prowadzić do zdalnego wykonania kodu bez konieczności uzyskania dodatkowych uprawnień do wykonania. Ocena ważności opiera się na wpływie, jaki wykorzystanie luki w zabezpieczeniach może mieć na urządzenie, którego dotyczy problem, przy założeniu, że środki zaradcze platformy i usługi są wyłączone na potrzeby programowania lub zostały skutecznie pominięte.

Szczegółowe informacje o zabezpieczeniach platformy Android i Google Play Protect, które zwiększają bezpieczeństwo platformy Android, znajdziesz w sekcji Środki zaradcze w Androidzie i Google Play Protect.

Środki zaradcze w przypadku Androida i usług Google

To podsumowanie środków zaradczych zapewnianych przez platformę zabezpieczeń Androida oraz zabezpieczenia usług, takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo wykorzystania luk w zabezpieczeniach Androida.

• Wykorzystanie wielu problemów na Androidzie jest utrudnione przez ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, jeśli jest to możliwe.
• Zespół ds. bezpieczeństwa Androida aktywnie monitoruje nadużycia za pomocą Google Play Protect i ostrzega użytkowników przed potencjalnie szkodliwymi aplikacjami. Usługa Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest ona szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play.

2024-02-01 szczegóły luki w zabezpieczeniach na poziomie aktualizacji zabezpieczeń

W sekcjach poniżej znajdziesz szczegółowe informacje o każdym z zagrożeń bezpieczeństwa, które dotyczą poziomu poprawek z 1 lutego 2024 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej i zawierają identyfikator CVE, powiązane odniesienia, rodzaj luki w zabezpieczeniach, poziom ważności i zaktualizowane wersje AOSP (w stosownych przypadkach). W przypadku dostępności linkujemy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. listą zmian AOSP. Jeśli kilka zmian dotyczy jednego błędu, dodatkowe odniesienia są powiązane z numerami po identyfikatorze błędu. Urządzenia z Androidem 10 i nowszym mogą otrzymywać aktualizacje zabezpieczeń oraz aktualizacje systemowe Google Play.

Framework

Najpoważniejsza luka w tej sekcji może prowadzić do lokalnego podniesienia uprawnień bez konieczności uzyskania dodatkowych uprawnień do wykonywania kodu.

CVE	Pliki referencyjne	Typ	Poziom	Zaktualizowane wersje AOSP
CVE-2024-0029	A-305664128	EoP	Wysoki	13
CVE-2024-0034	A-298094386	EoP	Wysoki	11, 12, 12L, 13
CVE-2024-0036	A-230492947	EoP	Wysoki	11, 12, 12L, 13, 14
CVE-2024-0038	A-309426390	EoP	Wysoki	14
CVE-2024-0041	A-300741186	EoP	Wysoki	14
CVE-2024-0040	A-300007708	ID	Wysoki	11, 12, 12L, 13, 14

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może prowadzić do zdalnego wykonania kodu bez konieczności uzyskania dodatkowych uprawnień do wykonania.

CVE	Pliki referencyjne	Typ	Poziom	Zaktualizowane wersje AOSP
CVE-2024-0031	A-297524203	RCE	Krytyczny	11, 12, 12L, 13, 14
CVE-2024-0014	A-304082474	EoP	Wysoki	11, 12, 12L, 13, 14
CVE-2024-0033	A-294609150 [2]	EoP	Wysoki	11, 12, 12L, 13, 14
CVE-2024-0035	A-300903792	EoP	Wysoki	11, 12, 12L, 13, 14
CVE-2023-40093	A-279055389 [2]	ID	Wysoki	11, 12, 12L, 13, 14
CVE-2024-0030	A-276898739	ID	Wysoki	11, 12, 12L, 13, 14

Aktualizacje systemowe Google Play

W tym miesiącu aktualizacje systemowe Google Play (Project Mainline) nie rozwiązują żadnych problemów z bezpieczeństwem.

2024-02-05 Szczegóły luki w zabezpieczeniach na poziomie aktualizacji zabezpieczeń

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej luce w zabezpieczeniach, która dotyczy poziomu poprawek z 5 lutego 2024 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej i zawierają identyfikator CVE, powiązane odniesienia, rodzaj luki w zabezpieczeniach, poziom ważności i zaktualizowane wersje AOSP (w stosownych przypadkach). W przypadku dostępności linkujemy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. listą zmian AOSP. Jeśli kilka zmian dotyczy jednego błędu, dodatkowe odniesienia są powiązane z numerami po identyfikatorze błędu.

Komponenty ramienia

Te luki w zabezpieczeniach dotyczą komponentów Arm, a więcej szczegółów można znaleźć bezpośrednio na stronie Arm. Ocena ważności tych problemów jest dostarczana bezpośrednio przez firmę Arm.

CVE	Pliki referencyjne	Poziom	Składnik podrzędny
CVE-2023-5091	A-298150556 *	Wysoki	Mali
CVE-2023-5249	A-301630648 *	Wysoki	Mali
CVE-2023-5643	A-308188986 *	Wysoki	Mali

Komponenty MediaTek

Te luki w zabezpieczeniach dotyczą komponentów MediaTek, a więcej szczegółów można uzyskać bezpośrednio od firmy MediaTek. Ocena ważności tych problemów jest dostarczana bezpośrednio przez firmę MediaTek.

CVE	Pliki referencyjne	Poziom	Składnik podrzędny
CVE-2024-20011	A-314698315 M-ALPS08441146 *	Wysoki	dekoder ALAC,
CVE-2024-20006	A-314707751 M-ALPS08477148 *	Wysoki	DA
CVE-2024-20007	A-314698312 M-ALPS08441369 *	Wysoki	dekoder mp3
CVE-2024-20009	A-314698313 M-ALPS08441150 *	Wysoki	dekoder ALAC,
CVE-2024-20010	A-314698314 M-ALPS08358560 *	Wysoki	keyInstall
CVE-2023-32841	A-317829109 M-MOLY01128524 *	Wysoki	Modem 5G
CVE-2023-32842	A-317826159 M-MOLY01130256 *	Wysoki	Modem 5G
CVE-2023-32843	A-317829110 M-MOLY01130204 *	Wysoki	Modem 5G
CVE-2024-20003	A-317829112 M-MOLY01191612 *	Wysoki	Modem 5G

Komponenty Unisoc

Te luki w zabezpieczeniach dotyczą komponentów Unisoc, a więcej szczegółów można uzyskać bezpośrednio od firmy Unisoc. Ocena ważności tych problemów jest dostarczana bezpośrednio przez firmę Unisoc.

CVE	Pliki referencyjne	Poziom	Składnik podrzędny
CVE-2023-49667	A-314033392 U-2455269 *	Wysoki	Bąbelki
CVE-2023-49668	A-314032846 U-2455269 *	Wysoki	Bąbelki

Komponenty Qualcomm

Te luki w zabezpieczeniach dotyczą komponentów firmy Qualcomm i są szczegółowo opisane w odpowiednim biuletynie lub alercie dotyczącym bezpieczeństwa firmy Qualcomm. Ocena ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE	Pliki referencyjne	Poziom	Składnik podrzędny
CVE-2023-43513	A-303101658 QC-CR#3545432 [2]	Wysoki	Bąbelki
CVE-2023-43516	A-309461150 QC-CR#3536092	Wysoki	Wideo
CVE-2023-43520	A-309461173 QC-CR#3575335	Wysoki	WLAN
CVE-2023-43534	A-309461218 QC-CR#3575491 QC-CR#3578829	Wysoki	WLAN

Komponenty Qualcomm o zamkniętym kodzie źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm o zamkniętym kodzie źródłowym i są szczegółowo opisane w odpowiednim biuletynie lub alercie dotyczącym bezpieczeństwa firmy Qualcomm. Ocena ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE	Pliki referencyjne	Poziom	Składnik podrzędny
CVE-2023-33046	A-295038516 *	Wysoki	Komponent o zamkniętym kodzie źródłowym
CVE-2023-33049	A-295039556 *	Wysoki	Komponent o zamkniętym kodzie źródłowym
CVE-2023-33057	A-295039728 *	Wysoki	Komponent o zamkniętym kodzie źródłowym
CVE-2023-33058	A-295038658 *	Wysoki	Komponent o zamkniętym kodzie źródłowym
CVE-2023-33060	A-295039022 *	Wysoki	Komponent o zamkniętym kodzie źródłowym
CVE-2023-33072	A-295038660 *	Wysoki	Komponent o zamkniętym kodzie źródłowym
CVE-2023-33076	A-295039588 *	Wysoki	Komponent o zamkniętym kodzie źródłowym
CVE-2023-43518	A-309460837 *	Wysoki	Komponent o zamkniętym kodzie źródłowym
CVE-2023-43519	A-309461083 *	Wysoki	Komponent o zamkniętym kodzie źródłowym
CVE-2023-43522	A-309461138 *	Wysoki	Komponent o zamkniętym kodzie źródłowym
CVE-2023-43523	A-309460866 *	Wysoki	Komponent o zamkniętym kodzie źródłowym
CVE-2023-43533	A-309461430 *	Wysoki	Komponent o zamkniętym kodzie źródłowym
CVE-2023-43536	A-309461332 *	Wysoki	Komponent o zamkniętym kodzie źródłowym

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą się pojawić po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie zostało zaktualizowane w celu rozwiązania tych problemów?

Aby dowiedzieć się, jak sprawdzić poziom aktualizacji zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

• Poziomy aktualizacji zabezpieczeń z 1 lutego 2024 r. lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 1 lutego 2024 r.
• Poziomy aktualizacji zabezpieczeń z 5 lutego 2024 r. lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 5 lutego 2024 r. i wszystkimi poprzednimi poziomami aktualizacji.

Producenci urządzeń, którzy uwzględniają te aktualizacje, powinni ustawić ciąg stanu aktualizacji na:

• [ro.build.version.security_patch]:[2024-02-01]
• [ro.build.version.security_patch]:[2024-02-05]

W przypadku niektórych urządzeń z Androidem 10 lub nowszym aktualizacja systemu Google Play będzie miała ciąg daty zgodny z poziomem aktualizacji zabezpieczeń z 1 lutego 2024 r. Więcej informacji o instalowaniu aktualizacji zabezpieczeń znajdziesz w tym artykule.

2. Dlaczego ten biuletyn zawiera 2 poziomy aktualizacji zabezpieczeń?

Ten biuletyn zawiera 2 poziomy aktualizacji zabezpieczeń, dzięki czemu partnerzy Androida mogą szybciej naprawiać podzbiór luk w zabezpieczeniach, które są podobne na wszystkich urządzeniach z Androidem. Zachęcamy partnerów Androida do rozwiązania wszystkich problemów opisanych w tym biuletynie i korzystania z najnowszej wersji poprawki zabezpieczeń.

• Urządzenia, które korzystają z poziomu aktualizacji zabezpieczeń z 1 lutego 2024 r., muszą zawierać wszystkie problemy związane z tym poziomem aktualizacji zabezpieczeń, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
• Urządzenia, w których poprawka zabezpieczeń jest z 5 lutego 2024 r. lub nowsza, muszą zawierać wszystkie odpowiednie poprawki z tego (i poprzednich) biuletynu zabezpieczeń.

Zachęcamy partnerów do łączenia poprawek wszystkich problemów, które rozwiązują, w jednej aktualizacji.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów dotyczących luk w zabezpieczeniach odnoszą się do klasyfikacji luki w zabezpieczeniach.

Skrót	Definicja
RCE	Zdalne wykonanie kodu
EoP	Podniesienie uprawnień
ID	Ujawnianie informacji
DoS	Atak typu DoS
Nie dotyczy	Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odwołania?

Wpisy w kolumnie Odwołania w tabeli szczegółów dotyczących podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odwołania.

Prefiks	Źródła wiedzy
A-	Identyfikator błędu Androida
QC-	Numer referencyjny Qualcomm
M-	Numer referencyjny MediaTek
N-	Numer referencyjny NVIDIA
B-	Numer referencyjny Broadcom
U-	Numer referencyjny UNISOC

5. Co oznacza gwiazdka (*) obok identyfikatora błędu Androida w kolumnie Odwołania?

Problemy, które nie są publicznie dostępne, mają gwiazdkę (*) obok odpowiedniego identyfikatora referencyjnego. Aktualizacja rozwiązująca ten problem jest zwykle zawarta w najnowszych sterownikach binarnych dla urządzeń Pixel dostępnych na stronie Google dla deweloperów.

6. Dlaczego luki w zabezpieczeniach są dzielone między ten biuletyn a biuletyny dotyczące zabezpieczeń urządzeń lub partnerów, takie jak biuletyn Pixela?

Luki w zabezpieczeniach udokumentowane w tym biuletynie bezpieczeństwa są wymagane do deklarowania najnowszego stanu aktualizacji zabezpieczeń na urządzeniach z Androidem. Dodatkowe luki w zabezpieczeniach udokumentowane w biuletynach zabezpieczeń urządzenia lub partnera nie są wymagane do deklarowania stanu aktualizacji zabezpieczeń. Producenci urządzeń z Androidem i chipsetów mogą też publikować szczegółowe informacje o lukach w zabezpieczeniach, które dotyczą ich produktów. Przykłady to Google, Huawei, LGE, Motorola, Nokia i Samsung.

Wersje

Wersja	Data	Uwagi
1,0	5 lutego 2024 r.	Biuletyn opublikowany.