กระดานข่าวสารด้านความปลอดภัยของ Android - มิถุนายน 2024

เผยแพร่เมื่อวันที่ 3 มิถุนายน 2024

กระดานข่าวสารด้านความปลอดภัยของ Android มีรายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่ส่งผลกระทบต่ออุปกรณ์ Android ระดับแพตช์ความปลอดภัยวันที่ 05-06-2024 หรือใหม่กว่าจะแก้ปัญหาเหล่านี้ได้ทั้งหมด ดูวิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์ได้ที่ตรวจสอบและอัปเดตเวอร์ชัน Android

พาร์ทเนอร์ Android จะได้รับการแจ้งเตือนปัญหาทั้งหมดอย่างน้อย 1 เดือนก่อนเผยแพร่ แพตช์ซอร์สโค้ดสำหรับปัญหาเหล่านี้จะเผยแพร่ในที่เก็บโปรเจ็กต์โอเพนซอร์ส Android (AOSP) ในอีก 48 ชั่วโมง เราจะแก้ไขกระดานข่าวสารนี้ที่มีลิงก์ AOSP (หากมี)

ปัญหาที่รุนแรงที่สุดคือช่องโหว่ด้านความปลอดภัยสูงในคอมโพเนนต์ของระบบซึ่งอาจนำไปสู่การโจมตีเพื่อยกระดับสิทธิ์ในเครื่องโดยไม่ต้องมีสิทธิ์ดำเนินการเพิ่มเติม การประเมินความรุนแรงจะอิงตามผลของการแสวงหาประโยชน์จากช่องโหว่ที่อาจมีในอุปกรณ์ที่ได้รับผลกระทบ โดยสมมติว่ามีการปิดแพลตฟอร์มและบริการเพื่อวัตถุประสงค์ด้านการพัฒนาหรือหากข้ามสำเร็จ

ดูรายละเอียดเกี่ยวกับการรักษาความปลอดภัยในแพลตฟอร์ม Android และ Google Play Protect ซึ่งช่วยปรับปรุงความปลอดภัยของแพลตฟอร์ม Android ได้ที่ส่วนการผ่อนปรนชั่วคราวสำหรับ Android และ Google Play Protect

การลดความเสี่ยงของบริการ Android และ Google

นี่คือสรุปการลดความเสี่ยงจากแพลตฟอร์มความปลอดภัยของ Android และการปกป้องบริการ เช่น Google Play Protect ความสามารถเหล่านี้ช่วยลดโอกาสที่จะมีการแสวงหาประโยชน์จากช่องโหว่ด้านความปลอดภัยใน Android ได้สำเร็จ

  • การใช้ประโยชน์จากปัญหาหลายอย่างบน Android ทำได้ยากขึ้นด้วยการเพิ่มประสิทธิภาพแพลตฟอร์ม Android เวอร์ชันใหม่ เราขอแนะนำให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดหากเป็นไปได้
  • ทีมรักษาความปลอดภัยของ Android คอยตรวจสอบการละเมิดผ่าน Google Play Protect และเตือนผู้ใช้เกี่ยวกับแอปที่อาจเป็นอันตราย ระบบจะเปิดใช้ Google Play Protect โดยค่าเริ่มต้นในอุปกรณ์ที่มีบริการของ Google Mobile และมีความสำคัญอย่างยิ่งสำหรับผู้ใช้ที่ติดตั้งแอปจากภายนอก Google Play

รายละเอียดช่องโหว่ระดับแพตช์ความปลอดภัย 2024-06-01

ในส่วนด้านล่าง เราให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่เกี่ยวข้องกับระดับแพตช์ 2024-06-01 ระบบจะจัดกลุ่มช่องโหว่ไว้ภายใต้คอมโพเนนต์ที่ได้รับผลกระทบ เราได้อธิบายปัญหาไว้ในตารางด้านล่าง รวมถึงรหัส CVE, ข้อมูลอ้างอิงที่เกี่ยวข้อง, ประเภทของช่องโหว่, ความรุนแรง และเวอร์ชัน AOSP ที่อัปเดตแล้ว (หากมี) เราจะลิงก์การเปลี่ยนแปลงแบบสาธารณะที่แก้ปัญหาไปยังรหัสข้อบกพร่อง เช่น รายการการเปลี่ยนแปลง AOSP (หากมี) เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับข้อบกพร่องรายการเดียว การอ้างอิงเพิ่มเติมจะเชื่อมโยงกับตัวเลขที่ตามหลังรหัสข้อบกพร่อง อุปกรณ์ที่ใช้ Android 10 ขึ้นไปอาจได้รับการอัปเดตความปลอดภัย รวมถึงการอัปเดตระบบ Google Play

เฟรมเวิร์ก

ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจนำไปสู่การส่งต่อสิทธิ์ในพื้นที่โดยไม่ต้องมีสิทธิ์ดำเนินการเพิ่มเติม

CVE ข้อมูลอ้างอิง ประเภท ความรุนแรง เวอร์ชัน AOSP ที่อัปเดตแล้ว
CVE-2023-21266 A-223376078 EP สูง 12, 12 ลิตร, 13 ลิตร
CVE-2024-31310 A-324874908 EP สูง 12, 12, 13, 14
CVE-2024-31316 A-321941232 EP สูง 12, 12, 13, 14
CVE-2024-31317 A-316153291 EP สูง 12, 12, 13, 14
CVE-2024-31318 A-313428840 EP สูง 12, 12, 13, 14
CVE-2024-31319 A-317357401 EP สูง 12, 12, 13, 14
CVE-2024-31322 A-326485767 EP สูง 12, 12, 13, 14
CVE-2024-31324 A-302431573 EP สูง 12, 12, 13, 14
CVE-2024-31325 A-317503801 EP สูง 12, 12, 13, 14
CVE-2024-31326 A-318497672 [2] EP สูง 14
CVE-2024-31312 A-314333719 รหัส สูง 12, 12, 13, 14
CVE-2024-31314 A-304290201 สิ่งที่ควรทำ สูง 12, 12, 13, 14

ระบบ

ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจนำไปสู่การส่งต่อสิทธิ์ในพื้นที่โดยไม่ต้องมีสิทธิ์ดำเนินการเพิ่มเติม

CVE ข้อมูลอ้างอิง ประเภท ความรุนแรง เวอร์ชัน AOSP ที่อัปเดตแล้ว
CVE-2023-21113 A-267231571 [2] [3] EP สูง 12, 12 ลิตร, 13 ลิตร
CVE-2023-21114 A-272106880 [2] [3] EP สูง 13
CVE-2024-31311 A-330054251 EP สูง 12, 12, 13, 14
CVE-2024-31313 A-321341508 EP สูง 12, 12, 13, 14
CVE-2024-31315 A-321707289 EP สูง 12, 12, 13, 14
CVE-2024-31323 A-313425281 EP สูง 14
CVE-2024-31327 A-321326147 EP สูง 12, 12, 13, 14

การอัปเดตระบบ Google Play

ปัญหาต่อไปนี้รวมอยู่ในคอมโพเนนต์ Project Mainline

องค์ประกอบย่อย CVE
สุขภาพ CVE-2024-31323
สถิติ CVE-2024-31311
Wi-Fi CVE-2023-21114

รายละเอียดช่องโหว่ระดับแพตช์ความปลอดภัย 2024-06-05

ในส่วนด้านล่าง เราให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่เกี่ยวข้องกับระดับแพตช์ 2024-06-05 ระบบจะจัดกลุ่มช่องโหว่ไว้ภายใต้คอมโพเนนต์ที่ได้รับผลกระทบ เราได้อธิบายปัญหาไว้ในตารางด้านล่าง รวมถึงรหัส CVE, ข้อมูลอ้างอิงที่เกี่ยวข้อง, ประเภทของช่องโหว่, ความรุนแรง และเวอร์ชัน AOSP ที่อัปเดตแล้ว (หากมี) เราจะลิงก์การเปลี่ยนแปลงแบบสาธารณะที่แก้ปัญหาไปยังรหัสข้อบกพร่อง เช่น รายการการเปลี่ยนแปลง AOSP (หากมี) เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับข้อบกพร่องรายการเดียว การอ้างอิงเพิ่มเติมจะเชื่อมโยงกับตัวเลขที่ตามหลังรหัสข้อบกพร่อง

เคอร์เนล

ช่องโหว่ในส่วนนี้อาจนำไปสู่การโจมตีเพื่อยกระดับสิทธิ์ในเครื่องในเคอร์เนลโดยไม่จำเป็นต้องใช้สิทธิ์การดำเนินการเพิ่มเติม

CVE ข้อมูลอ้างอิง ประเภท ความรุนแรง องค์ประกอบย่อย
CVE-2024-26926 A-320661088
เคอร์เนลอัปสตรีม [2] 		EP สูง แฟ้ม

ส่วนประกอบของแขน

ช่องโหว่เหล่านี้ส่งผลต่อคอมโพเนนต์ของ Arm และดูรายละเอียดเพิ่มเติมได้ที่ Arm โดยตรง โดย Arm จะเป็นผู้ประเมินความรุนแรงของปัญหาเหล่านี้โดยตรง

CVE ข้อมูลอ้างอิง ความรุนแรง องค์ประกอบย่อย
CVE-2024-0671
 A-329094549 * สูง มาลี
CVE-2024-1065
 A-329096276 * สูง มาลี

เทคโนโลยีจินตนาการ

ช่องโหว่เหล่านี้ส่งผลต่อคอมโพเนนต์ Imagination Technologies และสามารถดูรายละเอียดเพิ่มเติมได้โดยตรงจาก Imagination Technologies การประเมินความรุนแรงของปัญหาเหล่านี้ดำเนินการโดย Imagination Technologies โดยตรง

CVE ข้อมูลอ้างอิง ความรุนแรง องค์ประกอบย่อย
CVE-2024-23695
 A-331245718 * สูง PowerVR-GPU
CVE-2024-23696
 A-331244771 * สูง PowerVR-GPU
CVE-2024-23697
 A-331245500 * สูง PowerVR-GPU
CVE-2024-23698
 A-331239675 * สูง PowerVR-GPU
CVE-2024-23711
 A-332571891 * สูง PowerVR-GPU

คอมโพเนนต์ของ MediaTek

ช่องโหว่เหล่านี้ส่งผลต่อคอมโพเนนต์ MediaTek และสามารถดูรายละเอียดเพิ่มเติมจาก MediaTek ได้โดยตรง MediaTek เป็นผู้ประเมินความรุนแรงของปัญหาเหล่านี้โดยตรง

CVE ข้อมูลอ้างอิง ความรุนแรง องค์ประกอบย่อย
CVE-2024-20065
 A-332178746
M-ALPS08698617 * 		สูง โทรศัพท์
CVE-2024-20069
 A-332178751
M-MOLY01286330 * 		สูง โมเด็ม
CVE-2024-20066
 A-332001819
M-MOLY01267281 * 		สูง โมเด็ม
CVE-2024-20067
 A-332186387
M-MOLY01267285 * 		สูง โมเด็ม
CVE-2024-20068
 A-332178749
M-MOLY01270721 * 		สูง โมเด็ม

คอมโพเนนต์โอเพนซอร์สของ Qualcomm

ช่องโหว่เหล่านี้ส่งผลต่อคอมโพเนนต์โอเพนซอร์สของ Qualcomm และได้อธิบายรายละเอียดเพิ่มเติมในกระดานข่าวสารด้านความปลอดภัยหรือการแจ้งเตือนด้านความปลอดภัยของ Qualcomm ที่เหมาะสม Qualcomm เป็นผู้ประเมินความรุนแรงของปัญหาเหล่านี้โดยตรง

CVE ข้อมูลอ้างอิง ความรุนแรง องค์ประกอบย่อย
CVE-2023-43538
 A-314791539 * สำคัญ คอมโพเนนต์แบบปิด
CVE-2023-43551
 A-314791442 * สำคัญ คอมโพเนนต์แบบปิด
CVE-2023-43556
 A-314791052 * สำคัญ คอมโพเนนต์แบบปิด
CVE-2023-43542
 A-314790691 * สูง คอมโพเนนต์แบบปิด
CVE-2024-23363
 A-328084351 * สูง คอมโพเนนต์แบบปิด

คำถามที่พบบ่อยและคำตอบ

ส่วนนี้จะตอบคำถามที่พบบ่อยที่อาจเกิดขึ้นหลังจากอ่านกระดานข่าวสารนี้

1. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ได้รับการอัปเดตเพื่อแก้ไขปัญหาเหล่านี้แล้ว

หากต้องการดูวิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์ โปรดดูตรวจสอบและอัปเดตเวอร์ชัน Android

  • ระดับแพตช์ความปลอดภัย 01-06-2024 หรือใหม่กว่าจะแก้ปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2024-06-01
  • ระดับแพตช์ความปลอดภัยของ 2024-06-05 หรือใหม่กว่าจะแก้ปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2024-06-05 และระดับแพตช์ก่อนหน้าทั้งหมด

ผู้ผลิตอุปกรณ์ที่มีการอัปเดตเหล่านี้ควรตั้งค่าระดับสตริงแพตช์ดังนี้

  • [ro.build.version.security_patch]:[01-06-2024]
  • [ro.build.version.security_patch]:[05-06-2024]

สำหรับอุปกรณ์บางเครื่องใน Android 10 ขึ้นไป การอัปเดตระบบ Google Play จะมีสตริงวันที่ที่ตรงกับระดับแพตช์ความปลอดภัย 2024-06-01 โปรดดูรายละเอียดเพิ่มเติมเกี่ยวกับวิธีติดตั้งการอัปเดตความปลอดภัยในบทความนี้

2. เหตุใดกระดานข่าวสารนี้มีแพตช์ความปลอดภัย 2 ระดับ

กระดานข่าวสารนี้มีแพตช์ความปลอดภัย 2 ระดับเพื่อให้พาร์ทเนอร์ Android มีความยืดหยุ่นในการแก้ไขช่องโหว่บางส่วนที่คล้ายกันในอุปกรณ์ Android ทั้งหมดได้เร็วขึ้น เราขอแนะนำให้พาร์ทเนอร์ Android แก้ไขปัญหาทั้งหมดในกระดานข่าวสารนี้และใช้ระดับแพตช์ความปลอดภัยล่าสุด

  • อุปกรณ์ที่ใช้ระดับแพตช์ความปลอดภัย 2024-06-01 ต้องมีปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัยนั้น รวมถึงการแก้ไขปัญหาทั้งหมดที่รายงานในกระดานข่าวสารด้านความปลอดภัยก่อนหน้านี้
  • อุปกรณ์ที่ใช้ระดับแพตช์ความปลอดภัย 05-06-2024 หรือใหม่กว่าต้องมีแพตช์ที่เกี่ยวข้องทั้งหมดในกระดานข่าวสารด้านความปลอดภัยนี้ (และก่อนหน้า)

พาร์ทเนอร์ควรรวมการแก้ไขสำหรับปัญหาทั้งหมดที่กำลังแก้ไขไว้ในการอัปเดตครั้งเดียว

3. รายการในคอลัมน์ประเภทหมายความว่าอย่างไร

รายการในคอลัมน์ประเภทของตารางรายละเอียดช่องโหว่จะอ้างอิงการแยกประเภทช่องโหว่ด้านความปลอดภัย

ตัวย่อ คำจำกัดความ
ใหม่ การดำเนินการกับโค้ดจากระยะไกล
EP การยกระดับสิทธิ์
รหัส การเปิดเผยข้อมูล
สิ่งที่ควรทำ ปฏิเสธการให้บริการ
ไม่มีข้อมูล ไม่มีการแยกประเภท

4. รายการในคอลัมน์ข้อมูลอ้างอิงหมายความว่าอย่างไร

รายการในคอลัมน์ข้อมูลอ้างอิงของตารางรายละเอียดช่องโหว่อาจมีคำนำหน้าที่ระบุองค์กรที่ใช้ค่าอ้างอิงดังกล่าว

คำนำหน้า การอ้างอิง
A- รหัสข้อบกพร่องของ Android
QC- หมายเลขอ้างอิง Qualcomm
จ- หมายเลขอ้างอิง MediaTek
น. หมายเลขอ้างอิง NVIDIA
B- หมายเลขอ้างอิง Broadcom
U- หมายเลขอ้างอิง UNISOC

5. เครื่องหมาย * ข้างรหัสข้อบกพร่องของ Android ในคอลัมน์ข้อมูลอ้างอิงหมายความว่าอย่างไร

ปัญหาที่ไม่ได้เผยแพร่ต่อสาธารณะจะมีเครื่องหมาย * อยู่ข้างๆ รหัสอ้างอิงที่เกี่ยวข้อง โดยทั่วไปการอัปเดตสำหรับปัญหานั้นจะอยู่ในไดรเวอร์ไบนารีล่าสุดของอุปกรณ์ Pixel ที่มีให้จากเว็บไซต์ Google Developers

6. เหตุใดช่องโหว่ด้านความปลอดภัยจึงแบ่งระหว่างกระดานข่าวสารด้านความปลอดภัยนี้กับกระดานข่าวสารด้านความปลอดภัยของอุปกรณ์ / พาร์ทเนอร์ เช่น กระดานข่าวสารของ Pixel

ช่องโหว่ด้านความปลอดภัยที่ระบุในกระดานข่าวสารด้านความปลอดภัยนี้จำเป็นต้องมีเพื่อประกาศระดับแพตช์ความปลอดภัยล่าสุดในอุปกรณ์ Android สำหรับการประกาศระดับแพตช์ความปลอดภัย คุณไม่จำเป็นต้องระบุช่องโหว่ด้านความปลอดภัยเพิ่มเติมที่บันทึกไว้ในกระดานข่าวสารด้านความปลอดภัยของอุปกรณ์ / พาร์ทเนอร์ นอกจากนี้ ผู้ผลิตอุปกรณ์และชิปเซ็ต Android อาจเผยแพร่รายละเอียดช่องโหว่ด้านความปลอดภัยของผลิตภัณฑ์ของตนโดยเฉพาะ เช่น Google, Huawei, LGE, Motorola, Nokia หรือ Samsung

ฉบับ

เวอร์ชัน วันที่ Notes
1.0 3 มิถุนายน 2024 เผยแพร่กระดานข่าวสารแล้ว