กระดานข่าวสารด้านความปลอดภัยของ Android - กรกฎาคม 2024

เผยแพร่วันที่ 1 กรกฎาคม 2024

กระดานข่าวสารด้านความปลอดภัยของ Android มีรายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่ส่งผลกระทบต่ออุปกรณ์ Android ระดับแพตช์ความปลอดภัยวันที่ 05-07-2024 หรือใหม่กว่าจะแก้ปัญหาเหล่านี้ได้ทั้งหมด ดูวิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์ได้ที่ตรวจสอบและอัปเดตเวอร์ชัน Android

พาร์ทเนอร์ Android จะได้รับการแจ้งเตือนปัญหาทั้งหมดอย่างน้อย 1 เดือนก่อนเผยแพร่ มีการเผยแพร่แพตช์ซอร์สโค้ดสำหรับปัญหาเหล่านี้ไปยังที่เก็บโปรเจ็กต์โอเพนซอร์ส Android (AOSP) และลิงก์จากกระดานข่าวสารนี้ กระดานข่าวสารนี้ยังมีลิงก์ไปยังแพตช์นอก AOSP ด้วย

ปัญหาที่ร้ายแรงที่สุดคือช่องโหว่ด้านความปลอดภัยที่ร้ายแรงในคอมโพเนนต์ของเฟรมเวิร์ก ซึ่งอาจทำให้มีการส่งต่อสิทธิ์ในพื้นที่โดยไม่ต้องใช้สิทธิ์ดำเนินการเพิ่มเติม การประเมินความรุนแรงจะอิงตามผลกระทบของการใช้ประโยชน์จากช่องโหว่ที่อาจมีในอุปกรณ์ที่ได้รับผลกระทบ ในกรณีที่ปิดแพลตฟอร์มและการบรรเทาบริการเพื่อวัตถุประสงค์ด้านการพัฒนาหรือหากข้ามสำเร็จ

ดูรายละเอียดเกี่ยวกับการรักษาความปลอดภัยในแพลตฟอร์ม Android และ Google Play Protect ซึ่งช่วยปรับปรุงความปลอดภัยของแพลตฟอร์ม Android ได้ที่ส่วนการผ่อนปรนชั่วคราวสำหรับ Android และ Google Play Protect

การลดความเสี่ยงของบริการ Android และ Google

นี่คือสรุปการลดความเสี่ยงจากแพลตฟอร์มความปลอดภัยของ Android และการปกป้องบริการ เช่น Google Play Protect ความสามารถเหล่านี้ช่วยลดโอกาสที่จะมีการแสวงหาประโยชน์จากช่องโหว่ด้านความปลอดภัยใน Android ได้สำเร็จ

  • การใช้ประโยชน์จากปัญหาหลายอย่างบน Android ทำได้ยากขึ้นด้วยการเพิ่มประสิทธิภาพแพลตฟอร์ม Android เวอร์ชันใหม่ เราขอแนะนำให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดหากเป็นไปได้
  • ทีมรักษาความปลอดภัยของ Android คอยตรวจสอบการละเมิดผ่าน Google Play Protect และเตือนผู้ใช้เกี่ยวกับแอปที่อาจเป็นอันตราย ระบบจะเปิดใช้ Google Play Protect โดยค่าเริ่มต้นในอุปกรณ์ที่มีบริการของ Google Mobile และมีความสำคัญอย่างยิ่งสำหรับผู้ใช้ที่ติดตั้งแอปจากภายนอก Google Play

รายละเอียดช่องโหว่ระดับแพตช์ความปลอดภัย 2024-07-01

ในส่วนด้านล่าง เราให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่เกี่ยวข้องกับระดับแพตช์ 2024-07-01 ระบบจะจัดกลุ่มช่องโหว่ไว้ภายใต้คอมโพเนนต์ที่ได้รับผลกระทบ เราได้อธิบายปัญหาไว้ในตารางด้านล่าง รวมถึงรหัส CVE, ข้อมูลอ้างอิงที่เกี่ยวข้อง, ประเภทของช่องโหว่, ความรุนแรง และเวอร์ชัน AOSP ที่อัปเดตแล้ว (หากมี) เราจะลิงก์การเปลี่ยนแปลงแบบสาธารณะที่แก้ปัญหาไปยังรหัสข้อบกพร่อง เช่น รายการการเปลี่ยนแปลง AOSP (หากมี) เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับข้อบกพร่องรายการเดียว การอ้างอิงเพิ่มเติมจะเชื่อมโยงกับตัวเลขที่ตามหลังรหัสข้อบกพร่อง อุปกรณ์ที่ใช้ Android 10 ขึ้นไปอาจได้รับการอัปเดตความปลอดภัยและการอัปเดตระบบ Google Play

เฟรมเวิร์ก

ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจนำไปสู่การส่งต่อสิทธิ์ในพื้นที่โดยไม่ต้องมีสิทธิ์ดำเนินการเพิ่มเติม

CVE ข้อมูลอ้างอิง ประเภท ความรุนแรง เวอร์ชัน AOSP ที่อัปเดตแล้ว
CVE-2024-31320 A-329230490 [2] EP สำคัญ 12 ลิตร
CVE-2024-31331 A-297517712 EP สูง 12, 12, 13, 14
CVE-2024-34720 A-319081336 EP สูง 12, 12, 13, 14
CVE-2024-34723 A-317048338 EP สูง 12, 12, 13, 14

ระบบ

ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจนำไปสู่การส่งต่อสิทธิ์ในพื้นที่โดยไม่ต้องมีสิทธิ์ดำเนินการเพิ่มเติม

CVE ข้อมูลอ้างอิง ประเภท ความรุนแรง เวอร์ชัน AOSP ที่อัปเดตแล้ว
CVE-2024-31332 A-299931076 EP สูง 13, 14
CVE-2024-31339 A-292160348 EP สูง 12, 12, 13, 14
CVE-2024-34722 A-251514170 EP สูง 12, 12, 13, 14
CVE-2024-34721 A-294406604 รหัส สูง 12, 12, 13, 14

การอัปเดตระบบ Google Play

ปัญหาต่อไปนี้รวมอยู่ในคอมโพเนนต์ Project Mainline

องค์ประกอบย่อย CVE
ผู้ให้บริการสื่อ CVE-2024-34721
สถิติ CVE-2024-31339

รายละเอียดช่องโหว่ระดับแพตช์ความปลอดภัย 2024-07-05

ในส่วนด้านล่าง เราให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่เกี่ยวข้องกับระดับแพตช์ 2024-07-05 ระบบจะจัดกลุ่มช่องโหว่ไว้ภายใต้คอมโพเนนต์ที่ได้รับผลกระทบ เราได้อธิบายปัญหาไว้ในตารางด้านล่าง รวมถึงรหัส CVE, ข้อมูลอ้างอิงที่เกี่ยวข้อง, ประเภทของช่องโหว่, ความรุนแรง และเวอร์ชัน AOSP ที่อัปเดตแล้ว (หากมี) เราจะลิงก์การเปลี่ยนแปลงแบบสาธารณะที่แก้ปัญหาไปยังรหัสข้อบกพร่อง เช่น รายการการเปลี่ยนแปลง AOSP (หากมี) เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับข้อบกพร่องรายการเดียว การอ้างอิงเพิ่มเติมจะเชื่อมโยงกับตัวเลขที่ตามหลังรหัสข้อบกพร่อง

เคอร์เนล

ช่องโหว่ในส่วนนี้อาจนำไปสู่การโจมตีเพื่อยกระดับสิทธิ์ภายในเครื่องโดยไม่จำเป็นต้องมีสิทธิ์ดำเนินการเพิ่มเติม

CVE ข้อมูลอ้างอิง ประเภท ความรุนแรง องค์ประกอบย่อย
CVE-2024-26923 A-336268889
เคอร์เนลอัปสตรีม [2] [3] [4] 		EP สูง เคอร์เนล

ส่วนประกอบของแขน

ช่องโหว่เหล่านี้ส่งผลต่อคอมโพเนนต์ของ Arm และดูรายละเอียดเพิ่มเติมได้ที่ Arm โดยตรง โดย Arm จะเป็นผู้ประเมินความรุนแรงของปัญหาเหล่านี้โดยตรง

CVE ข้อมูลอ้างอิง ความรุนแรง องค์ประกอบย่อย
CVE-2024-0153
 A-302570828 * สูง มาลี
CVE-2024-4610
 A-260126994 * สูง มาลี

เทคโนโลยีจินตนาการ

ช่องโหว่เหล่านี้ส่งผลต่อคอมโพเนนต์ Imagination Technologies และสามารถดูรายละเอียดเพิ่มเติมได้โดยตรงจาก Imagination Technologies การประเมินความรุนแรงของปัญหาเหล่านี้ดำเนินการโดย Imagination Technologies โดยตรง

CVE ข้อมูลอ้างอิง ความรุนแรง องค์ประกอบย่อย
CVE-2024-31334
 A-337947582 * สูง PowerVR-GPU
CVE-2024-31335
 A-337951645 * สูง PowerVR-GPU
CVE-2024-34724
 A-331437482 * สูง PowerVR-GPU
CVE-2024-34725
 A-331438755 * สูง PowerVR-GPU
CVE-2024-34726
 A-331439207 * สูง PowerVR-GPU

คอมโพเนนต์ของ MediaTek

ช่องโหว่เหล่านี้ส่งผลต่อคอมโพเนนต์ MediaTek และสามารถดูรายละเอียดเพิ่มเติมจาก MediaTek ได้โดยตรง MediaTek เป็นผู้ประเมินความรุนแรงของปัญหาเหล่านี้โดยตรง

CVE ข้อมูลอ้างอิง ความรุนแรง องค์ประกอบย่อย
CVE-2024-20076
 A-338887100
MOLY01297806 * 		สูง โมเด็ม
CVE-2024-20077
 A-338887097
MOLY01297807 * 		สูง โมเด็ม

คอมโพเนนต์ Qualcomm

ช่องโหว่เหล่านี้ส่งผลต่อคอมโพเนนต์ Qualcomm และจะมีการอธิบายรายละเอียดเพิ่มเติมในกระดานข่าวสารด้านความปลอดภัยหรือการแจ้งเตือนด้านความปลอดภัยของ Qualcomm ที่เหมาะสม Qualcomm เป็นผู้ประเมินความรุนแรงของปัญหาเหล่านี้โดยตรง

CVE ข้อมูลอ้างอิง ความรุนแรง องค์ประกอบย่อย
CVE-2024-23368
 A-332315224
QC-CR#3522299 		สูง เคอร์เนล
CVE-2024-23372
 A-332315102
QC-CR#3692589 [2] 		สูง จอแสดงผล
CVE-2024-23373
 A-332315050
QC-CR#3692564 [2] 		สูง จอแสดงผล
CVE-2024-23380
 A-332315362
QC-CR#3690718 [2] 		สูง จอแสดงผล

คอมโพเนนต์โอเพนซอร์สของ Qualcomm

ช่องโหว่เหล่านี้ส่งผลต่อคอมโพเนนต์โอเพนซอร์สของ Qualcomm และได้อธิบายรายละเอียดเพิ่มเติมในกระดานข่าวสารด้านความปลอดภัยหรือการแจ้งเตือนด้านความปลอดภัยของ Qualcomm ที่เหมาะสม Qualcomm เป็นผู้ประเมินความรุนแรงของปัญหาเหล่านี้โดยตรง

CVE ข้อมูลอ้างอิง ความรุนแรง องค์ประกอบย่อย
CVE-2024-21461
 A-318393487 * สำคัญ คอมโพเนนต์แบบปิด
CVE-2024-21460
 A-318393435 * สูง คอมโพเนนต์แบบปิด
CVE-2024-21462
 A-318394116 * สูง คอมโพเนนต์แบบปิด
CVE-2024-21465
 A-318393702 * สูง คอมโพเนนต์แบบปิด
CVE-2024-21469
 A-318393825 * สูง คอมโพเนนต์แบบปิด

คำถามที่พบบ่อยและคำตอบ

ส่วนนี้จะตอบคำถามที่พบบ่อยที่อาจเกิดขึ้นหลังจากอ่านกระดานข่าวสารนี้

1. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ได้รับการอัปเดตเพื่อแก้ไขปัญหาเหล่านี้แล้ว

หากต้องการดูวิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์ โปรดดูตรวจสอบและอัปเดตเวอร์ชัน Android

  • ระดับแพตช์ความปลอดภัย 01-07-2024 หรือใหม่กว่าจะแก้ปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2024-07-01
  • ระดับแพตช์ความปลอดภัย 2024-07-05 หรือใหม่กว่าจะแก้ปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2024-07-05 และระดับแพตช์ก่อนหน้าทั้งหมด

ผู้ผลิตอุปกรณ์ที่มีการอัปเดตเหล่านี้ควรตั้งค่าระดับสตริงแพตช์ดังนี้

  • [ro.build.version.security_patch]:[01-07-2024]
  • [ro.build.version.security_patch]:[05-07-2024]

สำหรับอุปกรณ์บางเครื่องใน Android 10 ขึ้นไป การอัปเดตระบบ Google Play จะมีสตริงวันที่ที่ตรงกับระดับแพตช์ความปลอดภัย 2024-07-01 โปรดดูรายละเอียดเพิ่มเติมเกี่ยวกับวิธีติดตั้งการอัปเดตความปลอดภัยในบทความนี้

2. เหตุใดกระดานข่าวสารนี้มีแพตช์ความปลอดภัย 2 ระดับ

กระดานข่าวสารนี้มีแพตช์ความปลอดภัย 2 ระดับเพื่อให้พาร์ทเนอร์ Android มีความยืดหยุ่นในการแก้ไขช่องโหว่บางส่วนที่คล้ายกันในอุปกรณ์ Android ทั้งหมดได้เร็วขึ้น เราขอแนะนำให้พาร์ทเนอร์ Android แก้ไขปัญหาทั้งหมดในกระดานข่าวสารนี้และใช้ระดับแพตช์ความปลอดภัยล่าสุด

  • อุปกรณ์ที่ใช้ระดับแพตช์ความปลอดภัย 2024-07-01 ต้องมีปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัยนั้น รวมถึงการแก้ไขปัญหาทั้งหมดที่รายงานในกระดานข่าวสารด้านความปลอดภัยก่อนหน้านี้
  • อุปกรณ์ที่ใช้ระดับแพตช์ความปลอดภัย 05-07-2024 หรือใหม่กว่าต้องมีแพตช์ที่เกี่ยวข้องทั้งหมดในกระดานข่าวสารด้านความปลอดภัยนี้ (และก่อนหน้า)

พาร์ทเนอร์ควรรวมการแก้ไขสำหรับปัญหาทั้งหมดที่กำลังแก้ไขไว้ในการอัปเดตครั้งเดียว

3. รายการในคอลัมน์ประเภทหมายความว่าอย่างไร

รายการในคอลัมน์ประเภทของตารางรายละเอียดช่องโหว่จะอ้างอิงการแยกประเภทช่องโหว่ด้านความปลอดภัย

ตัวย่อ คำจำกัดความ
ใหม่ การดำเนินการกับโค้ดจากระยะไกล
EP การยกระดับสิทธิ์
รหัส การเปิดเผยข้อมูล
สิ่งที่ควรทำ ปฏิเสธการให้บริการ
ไม่มีข้อมูล ไม่มีการแยกประเภท

4. รายการในคอลัมน์ข้อมูลอ้างอิงหมายความว่าอย่างไร

รายการในคอลัมน์ข้อมูลอ้างอิงของตารางรายละเอียดช่องโหว่อาจมีคำนำหน้าที่ระบุองค์กรที่ใช้ค่าอ้างอิงดังกล่าว

คำนำหน้า การอ้างอิง
A- รหัสข้อบกพร่องของ Android
QC- หมายเลขอ้างอิง Qualcomm
จ- หมายเลขอ้างอิง MediaTek
น. หมายเลขอ้างอิง NVIDIA
B- หมายเลขอ้างอิง Broadcom
U- หมายเลขอ้างอิง UNISOC

5. เครื่องหมาย * ข้างรหัสข้อบกพร่องของ Android ในคอลัมน์ข้อมูลอ้างอิงหมายความว่าอย่างไร

ปัญหาที่ไม่ได้เผยแพร่ต่อสาธารณะจะมีเครื่องหมาย * อยู่ข้างๆ รหัสอ้างอิงที่เกี่ยวข้อง โดยทั่วไปการอัปเดตสำหรับปัญหานั้นจะอยู่ในไดรเวอร์ไบนารีล่าสุดของอุปกรณ์ Pixel ที่มีให้จากเว็บไซต์ Google Developers

6. เหตุใดช่องโหว่ด้านความปลอดภัยจึงแบ่งระหว่างกระดานข่าวสารด้านความปลอดภัยนี้กับกระดานข่าวสารด้านความปลอดภัยของอุปกรณ์ / พาร์ทเนอร์ เช่น กระดานข่าวสารของ Pixel

ช่องโหว่ด้านความปลอดภัยที่ระบุในกระดานข่าวสารด้านความปลอดภัยนี้จำเป็นต้องมีเพื่อประกาศระดับแพตช์ความปลอดภัยล่าสุดในอุปกรณ์ Android สำหรับการประกาศระดับแพตช์ความปลอดภัย คุณไม่จำเป็นต้องระบุช่องโหว่ด้านความปลอดภัยเพิ่มเติมที่บันทึกไว้ในกระดานข่าวสารด้านความปลอดภัยของอุปกรณ์ / พาร์ทเนอร์ นอกจากนี้ ผู้ผลิตอุปกรณ์และชิปเซ็ต Android อาจเผยแพร่รายละเอียดช่องโหว่ด้านความปลอดภัยของผลิตภัณฑ์ของบริษัทโดยเฉพาะ เช่น Google, Huawei, LGE, Motorola, Nokia หรือ Samsung

ฉบับ

เวอร์ชัน วันที่ Notes
1.0 1 กรกฎาคม 2024 เผยแพร่กระดานข่าวสารแล้ว