חדשות האבטחה של Android מכילות פרטים על נקודות חולשה שמשפיעות על מכשירי Android. תיקוני אבטחה מרמה 2024-09-05 ואילך פותרים את כל הבעיות האלה. במאמר איך בודקים ומעדכנים את גרסת Android מוסבר איך בודקים את רמת תיקוני האבטחה במכשיר.
שותפי Android מקבלים הודעה על כל הבעיות לפחות חודש לפני הפרסום. תיקונים של קוד המקור לבעיות האלה יפורסמו במאגר של פרויקט קוד פתוח של Android (AOSP) ב-48 השעות הקרובות. אנחנו נעדכן את ההודעה הזו עם הקישורים ל-AOSP כשהם יהיו זמינים.
הבעיה החמורה ביותר היא נקודת חולשה ברמת אבטחה גבוהה ברכיב Framework, שעלולה להוביל להסלמת הרשאות (privilege escalation) ברמה המקומית ללא צורך בהרשאות ביצוע נוספות. הערכת חומרת הפגיעות מבוססת על ההשפעה האפשרית של ניצול הפגיעות על מכשיר מושפע, בהנחה שהפלטפורמה והשירותים להפחתת הסיכון מושבתים למטרות פיתוח או אם נעקפו בהצלחה.
בקטע אמצעי ההגנה של Android ו-Google Play Protect מפורטים אמצעי ההגנה של פלטפורמת האבטחה של Android ו-Google Play Protect, שמשפרים את האבטחה של פלטפורמת Android.
אמצעי ההגנה בשירותי Google וב-Android
זהו סיכום של אמצעי ההגנה שמוצעים על ידי פלטפורמת האבטחה של Android והגנות השירותים, כמו Google Play Protect. היכולות האלה מצמצמות את הסיכוי שנקודות חולשה באבטחה ינוצלו לרעה ב-Android.
- בגרסאות חדשות יותר של פלטפורמת Android יש שיפורים שמקשים על ניצול של הרבה בעיות. מומלץ לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
- צוות האבטחה של Android עוקב באופן פעיל אחרי ניצול לרעה באמצעות Google Play Protect ומזהיר את המשתמשים מפני אפליקציות שעלולות להזיק. Google Play Protect מופעל כברירת מחדל במכשירים עם שירותי Google לנייד, והוא חשוב במיוחד למשתמשים שמתקינים אפליקציות ממקורות אחרים ולא מ-Google Play.
פרטים על נקודת החולשה ברמת תיקוני האבטחה – 01.09.2024
בקטעים הבאים מפורטות כל נקודות החולשה באבטחה שרלוונטיות לרמת התיקון 2024-09-01. נקודות החולשה מקובצות לפי הרכיב שהן משפיעות עליו. הבעיות מתוארות בטבלאות שבהמשך, וכוללות את מזהה ה-CVE, הפניות למקורות חיצוניים, סוג נקודת החולשה, חומרת הבעיה ומספרי הגרסאות המעודכנות של AOSP (אם רלוונטי). כשאפשר אנחנו מקשרים את התיקון שפורסם ופותר את הבעיה למזהה של הבאג, כמו ברשימת השינויים ב-AOSP. אם כמה עדכונים קשורים לאותו באג, אנחנו מקשרים מקורות נוספים למספרים שמופיעים אחרי המזהה של הבאג. מכשירים עם Android מגרסה 10 ואילך עשויים לקבל עדכוני אבטחה וגם עדכוני מערכת של Google Play.
Framework
נקודת החולשה החמורה ביותר בקטע הזה עלולה להוביל להסלמת הרשאות מקומית ללא צורך בהרשאות ביצוע נוספות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2024-32896 | A-324321147 [2] | EoP | גבוהה | 12, 12L, 13, 14 |
| CVE-2024-40658 | A-329641908 | EoP | גבוהה | 12, 12L, 13, 14 |
| CVE-2024-40662 | A-261721900 | EoP | גבוהה | 12, 12L, 13, 14 |
מערכת
נקודת החולשה החמורה ביותר בקטע הזה עלולה להוביל להסלמת הרשאות מקומית ללא צורך בהרשאות ביצוע נוספות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2024-40650 | A-293199910 | EoP | גבוהה | 12, 12L, 13, 14 |
| CVE-2024-40652 | A-327749022 | EoP | גבוהה | 12, 12L, 13, 14 |
| CVE-2024-40654 | A-333364513 | EoP | גבוהה | 12, 12L, 13, 14 |
| CVE-2024-40655 | A-300904123 | EoP | גבוהה | 12, 12L, 13, 14 |
| CVE-2024-40657 | A-341886134 | EoP | גבוהה | 12, 12L, 13, 14 |
| CVE-2024-40656 | A-329058967 | מזהה | גבוהה | 12, 12L, 13, 14 |
| CVE-2024-40659 | A-336976105 | מניעת שירות (DoS) | גבוהה | 14 |
עדכוני מערכת של Google Play
הבעיות הבאות כלולות ברכיבי Project Mainline.
| רכיב משנה | CVE |
|---|---|
| הקצאת הרשאות למפתח מרחוק | CVE-2024-40659 |
פרטים על נקודת החולשה ברמת תיקוני האבטחה – 05.09.2024
בקטעים הבאים מפורטות נקודות החולשה באבטחה שרלוונטיות לרמת התיקון 2024-09-05. נקודות החולשה מקובצות לפי הרכיב שהן משפיעות עליו. הבעיות מתוארות בטבלאות שבהמשך, וכוללות את מזהה ה-CVE, הפניות למקורות חיצוניים, סוג נקודת החולשה, חומרת הבעיה ומספרי הגרסאות המעודכנות של AOSP (אם רלוונטי). כשאפשר אנחנו מקשרים את התיקון שפורסם ופותר את הבעיה למזהה של הבאג, כמו ברשימת השינויים ב-AOSP. אם כמה עדכונים קשורים לאותו באג, אנחנו מקשרים מקורות נוספים למספרים שמופיעים אחרי המזהה של הבאג.
ליבה
נקודת החולשה שמתוארת בקטע הזה עלולה להוביל להסלמת הרשאות מקומית, בלי שיידרשו הרשאות ביצוע נוספות.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב משנה |
|---|---|---|---|---|
| CVE-2024-36972 |
A-342490466 Upstream kernel [2] [3] [4] [5] [6] |
EoP | גבוהה | רשת |
רכיבים של זרוע
נקודת החולשה באבטחה משפיעה על רכיבי Arm, ופרטים נוספים זמינים ישירות מ-Arm. הערכת רמת החומרה של הבעיה הזו מסופקת ישירות על ידי Arm.
| CVE | הפניות למקור חיצוני | מידת החומרה | רכיב משנה |
|---|---|---|---|
| CVE-2024-3655 |
A-346629290 * | גבוהה | מאלי |
Imagination Technologies
נקודות החולשה האלה משפיעות על רכיבים של Imagination Technologies. פרטים נוספים זמינים ישירות מ-Imagination Technologies. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Imagination Technologies.
| CVE | הפניות למקור חיצוני | מידת החומרה | רכיב משנה |
|---|---|---|---|
| CVE-2024-23716 |
A-350535746 * | גבוהה | PowerVR-GPU |
| CVE-2024-31336 |
A-337949672 * | גבוהה | PowerVR-GPU |
רכיבי Unisoc
נקודות החולשה האלה משפיעות על רכיבי Unisoc, ופרטים נוספים זמינים ישירות מ-Unisoc. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Unisoc.
| CVE | הפניות למקור חיצוני | מידת החומרה | רכיב משנה |
|---|---|---|---|
| CVE-2024-39431 |
A-349917018 U-2638126 * |
גבוהה | מודם |
| CVE-2024-39432 |
A-349916584 U-2638173 * |
גבוהה | מודם |
רכיבים של Qualcomm
נקודות החולשה האלה משפיעות על רכיבים של Qualcomm, והן מתוארות בפירוט בחדשות האבטחה או בהתראת האבטחה המתאימים של Qualcomm. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Qualcomm.
| CVE | הפניות למקור חיצוני | מידת החומרה | רכיב משנה |
|---|---|---|---|
| CVE-2024-33042 |
A-344620519 QC-CR#3774878 |
קריטית | WLAN |
| CVE-2024-33052 |
A-344620630 QC-CR#3773240 |
קריטית | WLAN |
| CVE-2024-33034 |
A-350500940 QC-CR#3744850 |
גבוהה | תצוגה |
| CVE-2024-33035 |
A-344620673 QC-CR#3734251 |
גבוהה | תצוגה |
| CVE-2024-33038 |
A-344620773 QC-CR#3696086 |
גבוהה | מצלמה |
| CVE-2024-33043 |
A-344620433 QC-CR#3774849 |
גבוהה | WLAN |
| CVE-2024-33045 |
A-344620353 QC-CR#3745620 |
גבוהה | תוכנת אתחול |
| CVE-2024-33048 |
A-344620292 QC-CR#3704739 QC-CR#3707241 |
גבוהה | WLAN |
| CVE-2024-33050 |
A-344620238 QC-CR#3717568 |
גבוהה | WLAN |
| CVE-2024-33054 |
A-344620733 QC-CR#3667735 |
גבוהה | מצלמה |
| CVE-2024-33057 |
A-344620215 QC-CR#3699767 |
גבוהה | WLAN |
| CVE-2024-33060 |
A-350500584 QC-CR#3735984 [2] |
גבוהה | ליבה |
רכיבים של Qualcomm שהקוד שלהם סגור
נקודות החולשה האלה משפיעות על רכיבים של Qualcomm שהקוד שלהם סגור, והן מתוארות בפירוט נוסף בעדכון אבטחה דחוף או בהתראת האבטחה הרלוונטיים של Qualcomm. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Qualcomm.
| CVE | הפניות למקור חיצוני | מידת החומרה | רכיב משנה |
|---|---|---|---|
| CVE-2024-23358 |
A-328083897 * | גבוהה | רכיב שהקוד שלו סגור |
| CVE-2024-23359 |
A-328083933 * | גבוהה | רכיב שהקוד שלו סגור |
| CVE-2024-23362 |
A-328084308 * | גבוהה | רכיב שהקוד שלו סגור |
| CVE-2024-23364 |
A-328083671 * | גבוהה | רכיב שהקוד שלו סגור |
| CVE-2024-23365 |
A-328083987 * | גבוהה | רכיב שהקוד שלו סגור |
| CVE-2024-33016 |
A-339043498 * | גבוהה | רכיב שהקוד שלו סגור |
| CVE-2024-33051 |
A-344620373 * | גבוהה | רכיב שהקוד שלו סגור |
שאלות נפוצות ותשובות
בקטע הזה תמצאו תשובות לשאלות נפוצות שיכולות לעלות אחרי שתקראו את פרטי העדכון הזה.
1. איך אפשר לבדוק אם המכשיר שלי קיבל את העדכון שפותר את הבעיות האלה?
במאמר איך בודקים ומעדכנים את גרסת Android מוסבר איך בודקים את רמת תיקון האבטחה במכשיר.
- תיקוני אבטחה מרמה 2024-09-01 ואילך פותרים את כל הבעיות שמשויכות להם.
- רמות תיקוני האבטחה מ-2024-09-05 ואילך פותרות את כל הבעיות שמשויכות לרמת תיקוני האבטחה מ-2024-09-05 וגם את כל הבעיות שמשויכות לרמות תיקונים קודמות.
יצרני מכשירים שכוללים את העדכונים האלה צריכים להגדיר את הרמה של מחרוזת התיקון ל:
- [ro.build.version.security_patch]:[2024-09-01]
- [ro.build.version.security_patch]:[2024-09-05]
במכשירים מסוימים עם Android מגרסה 10 ואילך, לעדכון המערכת של Google Play יהיה מחרוזת תאריך שתואמת לרמת תיקון האבטחה 2024-09-01. במאמר הזה מוסבר איך להתקין עדכוני אבטחה.
2. למה בחדשות האבטחה האלה יש שתי רמות של תיקוני אבטחה?
בחדשות האבטחה האלה יש שתי רמות של תיקוני אבטחה, כדי ששותפי Android יוכלו לתקן במהירות רבה יותר קבוצת משנה של נקודות חולשה שדומות בכל מכשירי Android. אנחנו ממליצים לשותפי Android לפתור את כל הבעיות שמפורטות בחדשות האבטחה האלה ולהשתמש ברמת תיקוני האבטחה העדכנית ביותר.
- במכשירים שמשתמשים בתיקוני אבטחה ברמה 2024-09-01, צריך לכלול את כל הבעיות שמשויכות לרמת תיקוני האבטחה הזו, וגם תיקונים לכל הבעיות שדווחו בחדשות אבטחה קודמות.
- מכשירים שמשתמשים בתיקוני אבטחה מרמה 2024-09-05 ואילך חייבים לכלול את כל התיקונים הרלוונטיים בעדכון האבטחה הזה (ובעדכוני אבטחה קודמים).
אנחנו ממליצים לשותפים לאגד את התיקונים לכל הבעיות שהם מטפלים בהן בעדכון אחד.
3. מה המשמעות של הערכים בעמודה סוג?
הערכים בעמודה סוג בטבלת הפרטים של נקודות החולשה מתייחסים לסיווג שלהן.
| קיצור | ההגדרה |
|---|---|
| RCE | הרצת קוד מרחוק |
| EoP | רמת הרשאה גבוהה יותר |
| ID | חשיפת מידע |
| מניעת שירות (DoS) | התקפת מניעת שירות |
| N/A | אין סיווג |
4. מה המשמעות של הערכים בעמודה הפניות למקורות חיצוניים?
מידע על הערכים בעמודה הפניות למקורות חיצוניים בטבלה של פרטי נקודות החולשה: יש מקרים שבהם לערך יש תחילית שמציינת לאיזה ארגון משויך מקור המידע החיצוני.
| תחילית | מקור המידע החיצוני |
|---|---|
| A- | מזהה הבאג ב-Android |
| QC- | מספר סימוכין של Qualcomm |
| M- | מספר סימוכין של MediaTek |
| N- | מספר סימוכין של NVIDIA |
| B- | מספר סימוכין של Broadcom |
| U- | מספר סימוכין של UNISOC |
5. מה המשמעות של הכוכבית (*) לצד מזהה הבאג ב-Android בעמודה הפניות למקור חיצוני?
אם הנתונים על הבעיה לא פורסמו לציבור הרחב, יש סימן * לצד מזהה ההפניה המתאים. העדכון לבעיה הזו בדרך כלל כלול במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Pixel שזמינים באתר Google Developers.
6. למה חלק מנקודות החולשה מפורטות כאן וחלק בחדשות האבטחה של מכשירים או שותפים, כמו החדשות של Pixel?
כדי שנוכל להצהיר על רמת תיקוני האבטחה הכי עדכנית במכשירי Android, אנחנו חייבים לתעד בחדשות האבטחה האלה את נקודות החולשה הרלוונטיות. אין צורך לתעד נקודות חולשה נוספות שמתועדות בעדכוני האבטחה הדחופים של המכשיר / השותף כדי להצהיר על רמת תיקוני האבטחה. יצרני מכשירי Android וערכות שבבים עשויים גם לפרסם פרטים על פגיעויות אבטחה שספציפיות למוצרים שלהם, כמו Huawei, LGE, Motorola, Nokia או Samsung.
גרסאות
| הגרסה | תאריך | הערות |
|---|---|---|
| 1.0 | 3 בספטמבר 2024 | עדכון האבטחה פורסם |