تحتوي "نشرة أمان Android" على تفاصيل الثغرات الأمنية التي تؤثر في أجهزة Android. تعالج مستويات رموز تصحيح الأمان بتاريخ 2024-10-05 أو إصدار أحدث جميع هذه المشاكل. للتعرّف على كيفية التحقّق من مستوى رمز تصحيح الأمان على جهاز، يمكنك الاطّلاع على المقالة التحقّق من إصدار Android وتحديثه.
يتم إعلام شركاء Android بجميع المشاكل قبل شهر واحد على الأقل من نشرها. تم إصدار حِزم تصحيح للرمز المصدري لهذه المشاكل في مستودع "مشروع مفتوح المصدر لنظام Android" (AOSP) وتم ربطها بهذا النشرة. يتضمّن هذا النشرة أيضًا روابط تؤدي إلى تصحيحات خارج AOSP.
أخطر هذه المشاكل هي ثغرة أمنية عالية الخطورة في مكوّن النظام يمكن أن تؤدي إلى تنفيذ التعليمات البرمجية عن بُعد بدون الحاجة إلى امتيازات تنفيذ إضافية. يستند تقييم الخطورة إلى التأثير المحتمل لاستغلال الثغرة الأمنية على الجهاز المتأثر، وذلك بافتراض إيقاف إجراءات التخفيف من المخاطر على مستوى النظام الأساسي والخدمة لأغراض التطوير أو في حال تجاوزها بنجاح.
راجِع قسم إجراءات التخفيف من المخاطر في Android وGoogle Play للحصول على تفاصيل حول وسائل الحماية التي توفّرها منصة أمان Android و"Google Play للحماية"، والتي تعمل على تحسين أمان نظام Android الأساسي.
إجراءات التخفيف من المخاطر في Android وخدمات Google
هذه هي ملخّصات لوسائل الحدّ من المخاطر التي يوفّرها نظام الأمان الأساسي في Android ووسائل الحماية التي توفّرها الخدمات، مثل Google Play للحماية. وتقلّل هذه الإمكانات من احتمالية استغلال الثغرات الأمنية بنجاح على Android.
- تساهم التحسينات التي تم إجراؤها في الإصدارات الأحدث من منصة Android في الحد من استغلال العديد من المشاكل. ننصح جميع المستخدمين بالتحديث إلى أحدث إصدار من Android متى أمكن ذلك.
- يراقب فريق أمان Android بشكل نشط أي إساءة استخدام من خلال Google Play للحماية، ويحذّر المستخدمين من التطبيقات التي يُحتمل أن تكون ضارة. يتم تفعيل خدمة "Google Play للحماية" تلقائيًا على الأجهزة التي تتضمّن خدمات Google للأجهزة الجوّالة، وهي مهمة بشكل خاص للمستخدمين الذين يثبّتون التطبيقات من خارج Google Play.
تفاصيل الثغرة الأمنية لمستوى رمز تصحيح الأمان بتاريخ 2024-10-01
في الأقسام أدناه، نقدّم تفاصيل حول كل ثغرة أمنية تنطبق على مستوى تصحيح الأمان بتاريخ 1 تشرين الأول (أكتوبر) 2024. يتم تجميع الثغرات الأمنية ضمن المكوِّن الذي تتأثر به. يتم وصف المشاكل في الجداول أدناه، وتشمل معرّف CVE والمراجع المرتبطة به ونوع الثغرة الأمنية والخطورة وإصدارات AOSP المعدَّلة (حيثما ينطبق ذلك). عند توفّر التغيير العلني الذي عالج المشكلة، نربطه بمعرّف الخطأ، مثل قائمة تغييرات AOSP. عندما تتعلّق تغييرات متعدّدة بخطأ واحد، يتم ربط مراجع إضافية بالأرقام التي تلي معرّف الخطأ. قد تتلقّى الأجهزة التي تعمل بنظام التشغيل Android 10 والإصدارات الأحدث تحديثات الأمان وتحديثات نظام Google Play.
Framework
يمكن أن يؤدي أشد الثغرات الأمنية خطورةً في هذا القسم إلى تصعيد امتيازات محلية بدون الحاجة إلى امتيازات تنفيذ إضافية.
| CVE | المراجع | النوع | درجة الخطورة | إصدارات AOSP المعدَّلة |
|---|---|---|---|---|
| CVE-2024-0044 | A-307532206 [2] | EoP | مرتفع | 12 و12L و13 و14 و15 |
| CVE-2024-40676 | A-349780950 | EoP | مرتفع | 12 و12L و13 و14 و15 |
| CVE-2024-40675 | A-318683126 | DoS | مرتفع | 12 و12L و13 و14 |
النظام
يمكن أن تؤدي الثغرة الأمنية الأكثر خطورة في هذا القسم إلى تنفيذ الرمز البرمجي عن بُعد بدون الحاجة إلى أي امتيازات تنفيذ إضافية.
| CVE | المراجع | النوع | درجة الخطورة | إصدارات AOSP المعدَّلة |
|---|---|---|---|---|
| CVE-2024-40673 | A-309938635 | RCE | مرتفع | 12 و12L و13 و14 |
| CVE-2024-40672 | A-327645387 | EoP | مرتفع | 12 و12L و13 و14 |
| CVE-2024-40677 | A-327748846 | EoP | مرتفع | 12 و12L و13 و14 و15 |
| CVE-2024-40674 | A-343714914 | DoS | مرتفع | 14 |
تحديثات نظام Google Play
يتم تضمين المشاكل التالية في مكونات Project Mainline.
| المكوّن الفرعي | CVE |
|---|---|
| وقت تشغيل Android (ART) | CVE-2024-40673 |
| Wi-Fi | CVE-2024-40674 |
تفاصيل الثغرة الأمنية لمستوى رمز تصحيح الأمان بتاريخ 2024-10-05
في الأقسام أدناه، نقدّم تفاصيل حول كل الثغرات الأمنية التي تنطبق على مستوى رمز تصحيح الأمان بتاريخ 2024-10-05. يتم تجميع الثغرات الأمنية ضمن المكوِّن الذي تتأثر به. يتم وصف المشاكل في الجداول أدناه، وتشمل معرّف CVE والمراجع المرتبطة به ونوع الثغرة الأمنية والخطورة وإصدارات AOSP المعدَّلة (حيثما ينطبق ذلك). عند توفّر التغيير العلني الذي عالج المشكلة، نربطه بمعرّف الخطأ، مثل قائمة تغييرات AOSP. عندما تتعلّق تغييرات متعدّدة بخطأ واحد، يتم ربط مراجع إضافية بالأرقام التي تلي معرّف الخطأ.
Imagination Technologies
تؤثر هذه الثغرات الأمنية في مكونات Imagination Technologies، ويمكنك الحصول على مزيد من التفاصيل مباشرةً من Imagination Technologies. يتم تقديم تقييم خطورة هذه المشاكل مباشرةً من قِبل شركة Imagination Technologies.
| CVE | المراجع | درجة الخطورة | المكوّن الفرعي |
|---|---|---|---|
| CVE-2024-34732 | A-340332428 * | مرتفع | PowerVR-GPU |
| CVE-2024-34733 |
A-340329532 * | مرتفع | PowerVR-GPU |
| CVE-2024-34748 |
A-346640884 * | مرتفع | PowerVR-GPU |
| CVE-2024-40649 |
A-346635977 * | مرتفع | PowerVR-GPU |
| CVE-2024-40651 |
A-346633576 * | مرتفع | PowerVR-GPU |
| CVE-2024-40669 |
A-354268756 * | مرتفع | PowerVR-GPU |
| CVE-2024-40670 |
A-354263469 * | مرتفع | PowerVR-GPU |
مكوّنات MediaTek
تؤثّر هذه الثغرات الأمنية في مكونات MediaTek، ويمكنك الحصول على مزيد من التفاصيل مباشرةً من MediaTek. وتقدّم شركة MediaTek تقييمًا لمدى خطورة هذه المشاكل.
| CVE | المراجع | درجة الخطورة | المكوّن الفرعي |
|---|---|---|---|
| CVE-2024-20100 |
A-359699097 M-ALPS08998449 * |
مرتفع | wlan |
| CVE-2024-20101 |
A-359699100 M-ALPS08998901 * |
مرتفع | wlan |
| CVE-2024-20103 |
A-359692770 M-ALPS09001358 * |
مرتفع | wlan |
| CVE-2024-20090 |
A-359692902 M-ALPS09028313 * |
مرتفع | vdec |
| CVE-2024-20092 |
A-359699094 M-ALPS09028313 * |
مرتفع | vdec |
| CVE-2024-20091 |
A-359699091 M-ALPS09028313 * |
مرتفع | vdec |
| CVE-2024-20093 |
A-359699096 M-ALPS09028313 * |
مرتفع | vdec |
| CVE-2024-20094 |
A-359692772 M-MOLY00843282 * |
مرتفع | مودم |
مكوّنات Qualcomm
تؤثر هذه الثغرات الأمنية في مكوّنات Qualcomm، ويتم توضيحها بالتفصيل في نشرة أمان Qualcomm أو تنبيه الأمان المناسبَين. وتقدّم شركة Qualcomm تقييمًا لمدى خطورة هذه المشاكل مباشرةً.
| CVE | المراجع | درجة الخطورة | المكوّن الفرعي |
|---|---|---|---|
| CVE-2024-33049 |
A-344620633 QC-CR#3717569 |
مرتفع | شبكة WLAN |
| CVE-2024-33069 |
A-350500907 QC-CR#3772014 |
مرتفع | شبكة WLAN |
| CVE-2024-38399 |
A-350500647 QC-CR#3762629 [2] |
مرتفع | الشاشة |
مكوّنات Qualcomm المغلقة المصدر
تؤثر هذه الثغرة الأمنية في مكونات Qualcomm ذات المصدر المغلق، ويتم توضيحها بتفصيل أكبر في نشرة أمان Qualcomm أو تنبيه الأمان المناسبَين. يتم تقديم تقييم خطورة هذه المشكلة مباشرةً من قِبل شركة Qualcomm.
| CVE | المراجع | درجة الخطورة | المكوّن الفرعي |
|---|---|---|---|
| CVE-2024-23369 |
A-332315343 * | مرتفع | مكوّن مغلق المصدر |
الأسئلة الشائعة والإجابات
يجيب هذا القسم عن الأسئلة الشائعة التي قد تطرأ بعد قراءة هذا النشرة.
1. كيف يمكنني معرفة ما إذا كان جهازي قد تم تحديثه لحلّ هذه المشاكل؟
لمعرفة كيفية التحقّق من مستوى رمز تصحيح الأمان على جهاز، يمكنك الاطّلاع على المقالة التحقّق من إصدار Android وتحديثه.
- تعالج مستويات رموز تصحيح الأمان الصادرة في 2024-10-01 أو بعده جميع المشاكل المرتبطة بمستوى رمز تصحيح الأمان الصادر في 2024-10-01.
- تعالج مستويات رمز تصحيح الأمان بتاريخ 2024-10-05 أو الإصدارات الأحدث جميع المشاكل المرتبطة بمستوى رمز تصحيح الأمان بتاريخ 2024-10-05 وجميع مستويات رمز التصحيح السابقة.
على الشركات المصنّعة للأجهزة التي تتضمّن هذه التحديثات ضبط مستوى سلسلة التصحيح على ما يلي:
- [ro.build.version.security_patch]:[2024-10-01]
- [ro.build.version.security_patch]:[2024-10-05]
بالنسبة إلى بعض الأجهزة التي تعمل بالإصدار 10 أو الإصدارات الأحدث من نظام التشغيل Android، سيتضمّن تحديث نظام Google Play سلسلة تاريخ تتطابق مع مستوى رمز تصحيح الأمان 2024-10-01. يُرجى الاطّلاع على هذه المقالة للحصول على مزيد من التفاصيل حول كيفية تثبيت تحديثات الأمان.
2. لماذا تتضمّن هذه النشرة مستويَين لرمز تصحيح الأمان؟
تتضمّن هذه النشرة مستويَين لرموز تصحيح الأمان، ما يتيح لشركاء Android المرونة في إصلاح مجموعة فرعية من الثغرات الأمنية المتشابهة على جميع أجهزة Android بشكل أسرع. ننصح شركاء Android بإصلاح جميع المشاكل الواردة في هذه النشرة واستخدام أحدث مستوى لرموز تصحيح الأمان.
- يجب أن تتضمّن الأجهزة التي تستخدم مستوى رمز تصحيح الأمان 2024-10-01 جميع المشاكل المرتبطة بمستوى رمز تصحيح الأمان هذا، بالإضافة إلى حلول لجميع المشاكل التي تم الإبلاغ عنها في نشرات الأمان السابقة.
- يجب أن تتضمّن الأجهزة التي تستخدم مستوى رمز تصحيح الأمان بتاريخ 2024-10-05 أو أحدث جميع رموز التصحيح السارية في نشرات الأمان هذه (والنشرات السابقة).
ننصح الشركاء بتجميع الإصلاحات لجميع المشاكل التي يعملون على حلّها في تحديث واحد.
3. ما هي معاني الإدخالات في عمود النوع؟
تشير الإدخالات في عمود النوع ضمن جدول تفاصيل الثغرة الأمنية إلى تصنيف الثغرة الأمنية.
| الاختصار | التعريف |
|---|---|
| RCE | تنفيذ الرمز عن بعد |
| EoP | تعلية الامتيازات |
| رقم التعريف | الإفصاح عن المعلومات |
| DoS | رفض الخدمة |
| لا ينطبق | التصنيف غير متوفّر |
4. ما هي المعلومات التي تتضمّنها الإدخالات في عمود المراجع؟
قد تحتوي الإدخالات ضمن عمود المراجع في جدول تفاصيل الثغرات الأمنية على بادئة تحدّد المؤسسة التي تنتمي إليها قيمة المرجع.
| بادئة | مراجع |
|---|---|
| A- | رقم تعريف الخطأ في Android |
| QC- | الرقم المرجعي لشركة Qualcomm |
| M- | رقم مرجع MediaTek |
| N- | الرقم المرجعي لشركة NVIDIA |
| B- | رقم Broadcom المرجعي |
| U- | الرقم المرجعي لـ UNISOC |
5. ماذا يعني ظهور علامة النجمة (*) بجانب رقم تعريف خطأ Android في عمود المراجع؟
تحتوي المشاكل غير المتاحة للجميع على علامة نجمة (*) بجانب رقم التعريف المرجعي الخاص بها. يتضمّن أحدث برنامج تشغيل ثنائي لأجهزة Pixel متاح على موقع Google Developers الإلكتروني عادةً التحديث الخاص بهذه المشكلة.
6- لماذا يتم تقسيم الثغرات الأمنية بين هذه النشرة ونشرات الأمان الخاصة بشركاء تصنيع الأجهزة، مثل نشرة Pixel؟
يجب الإفصاح عن مستوى رموز تصحيح الأمان الأحدث على أجهزة Android عند توثيق الثغرات الأمنية في نشرة الأمان هذه. لا يلزم توفّر ثغرات أمنية إضافية، مثل تلك الموضّحة في نشرات أمان شركاء تصنيع الأجهزة، لتحديد مستوى رمز تصحيح الأمان. قد تنشر الشركات المصنّعة لأجهزة Android وشرائح المعالجة أيضًا تفاصيل حول الثغرات الأمنية الخاصة بمنتجاتها، مثل Google أو Huawei أو LGE أو Motorola أو Nokia أو Samsung.
الإصدارات
| الإصدار | التاريخ | ملاحظات |
|---|---|---|
| 1.0 | 7 أكتوبر 2024 | تم نشر النشرة. |