במאמר הזה מפורטות פרצות אבטחה שמשפיעות על מכשירי Android. רמות תיקוני האבטחה מ-2025-08-05 ואילך פותרות את כל הבעיות האלה. כדי ללמוד איך בודקים את רמת תיקון האבטחה של מכשיר, אפשר לעיין במאמר בנושא בדיקה ועדכון של גרסת Android.
שותפים ב-Android מקבלים הודעה על כל הבעיות לפחות חודש לפני הפרסום. טלאים של קוד מקור לבעיות האלה יפורסמו במאגר של פרויקט Android בקוד פתוח (AOSP) ב-48 השעות הקרובות. אנחנו נעדכן את ההודעה הזו עם הקישורים ל-AOSP כשהם יהיו זמינים.
הבעיה החמורה ביותר היא פרצת אבטחה קריטית ברכיב System, שיכולה להוביל להרצת קוד מרחוק בשילוב עם באגים אחרים, ללא צורך בהרשאות הרצה נוספות. לא נדרשת אינטראקציה מצד המשתמש כדי לנצל את הפגיעות. הערכת חומרת הפגיעות מבוססת על ההשפעה האפשרית של ניצול הפגיעות על מכשיר מושפע, בהנחה שהפלטפורמה והשירותים לתיקון הפגיעות מושבתים למטרות פיתוח או אם נעקפו בהצלחה.
בקטע אמצעי ההגנה של Android ו-Google Play Protect מפורטים אמצעי ההגנה של פלטפורמת האבטחה של Android ו-Google Play Protect, שמשפרים את האבטחה של פלטפורמת Android.
אמצעי הגנה בשירותי Google וב-Android
זהו סיכום של אמצעי ההגנה שמוצעים על ידי פלטפורמת האבטחה של Android ושירותי ההגנה, כמו Google Play Protect. היכולות האלה מפחיתות את הסיכוי שנקודות חולשה באבטחה ינוצלו לרעה ב-Android.
- השיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של הרבה בעיות ב-Android. מומלץ לכל המשתמשים לעבור לגרסה האחרונה של Android, אם אפשר.
- צוות האבטחה של Android עוקב באופן פעיל אחרי התנהלות פוגעת באמצעות Google Play Protect, ומזהיר משתמשים מפני אפליקציות שעלולות להזיק. Google Play Protect מופעל כברירת מחדל במכשירים עם שירותי Google לנייד, והוא חשוב במיוחד למשתמשים שמתקינים אפליקציות ממקורות אחרים ולא מ-Google Play.
2025-08-01 פרטים על פגיעות ברמת תיקון האבטחה
בקטעים הבאים מפורטות כל נקודות החולשה באבטחה שרלוונטיות לרמת התיקון 2025-08-01. נקודות החולשה מקובצות לפי הרכיב שהן משפיעות עליו. בטבלאות הבאות מתוארות הבעיות, כולל מזהה CVE, הפניות משויכות, סוג נקודת החולשה, חומרת הבעיה וגרסאות AOSP מעודכנות (אם רלוונטי). אם יש שינוי ציבורי שפותר את הבעיה, אנחנו מקשרים אותו למזהה הבאג, כמו רשימת השינויים של AOSP. אם כמה שינויים קשורים לאותו באג, הפניות הנוספות מקושרות למספרים שאחרי מזהה הבאג. יכול להיות שמכשירים עם Android 10 ואילך יקבלו עדכוני אבטחה וגם עדכוני מערכת של Google Play.
Framework
נקודת החולשה החמורה ביותר בקטע הזה עלולה להוביל להסלמת הרשאות מקומית ללא צורך בהרשאות ביצוע נוספות. נדרשת אינטראקציה של המשתמש כדי לנצל את הפרצה.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2025-22441 | A-376028556 | EoP | גבוהה | 13, 14, 15 |
| CVE-2025-48533 | A-383131643 | EoP | גבוהה | 13, 14, 15, 16 |
מערכת
הפגיעות שמתוארת בקטע הזה עלולה להוביל להרצת קוד מרחוק בשילוב עם באגים אחרים, ללא צורך בהרשאות הרצה נוספות. לא נדרשת אינטראקציה מצד המשתמש כדי לנצל את הפגיעות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2025-48530 | A-419563680 | RCE | קריטית | 16 |
עדכוני מערכת של Google Play
אין בעיות אבטחה שמתוקנות בעדכוני המערכת של Google Play (Project Mainline) החודש.
2025-08-05 פרטים על פגיעות ברמת תיקון האבטחה
בקטעים הבאים מפורטות כל נקודות החולשה באבטחה שרלוונטיות לרמת התיקון 2025-08-05. נקודות החולשה מקובצות לפי הרכיב שהן משפיעות עליו. בטבלאות הבאות מתוארות הבעיות, כולל מזהה CVE, הפניות משויכות, סוג נקודת החולשה, חומרת הבעיה וגרסאות AOSP מעודכנות (אם רלוונטי). אם יש שינוי ציבורי שפותר את הבעיה, אנחנו מקשרים אותו למזהה הבאג, כמו רשימת השינויים של AOSP. אם כמה שינויים קשורים לאותו באג, הפניות הנוספות מקושרות למספרים שאחרי מזהה הבאג.
רכיבים של זרוע תותבת
נקודת החולשה באבטחה משפיעה על רכיבי Arm, ופרטים נוספים זמינים ישירות מ-Arm. הערכת רמת החומרה של הבעיה הזו מסופקת ישירות על ידי Arm.
| CVE | קובצי עזר | מידת החומרה | רכיב משנה |
|---|---|---|---|
| CVE-2025-0932 | A-407994187* | גבוהה | מאלי |
רכיבי Qualcomm
נקודת החולשה באבטחה משפיעה על רכיבי Qualcomm, והיא מתוארת בפירוט רב יותר בעדכון האבטחה הדחוף או בהתראת האבטחה המתאימים של Qualcomm. הערכת חומרת הבעיה מסופקת ישירות על ידי Qualcomm.
| CVE | קובצי עזר | מידת החומרה | רכיב משנה | |
|---|---|---|---|---|
| CVE-2025-27038 | A-418032173
QC-CR#4080397 * |
גבוהה | תצוגה |
רכיבים של Qualcomm עם מקור סגור
נקודת החולשה באבטחה משפיעה על רכיבים של Qualcomm עם קוד סגור, והיא מתוארת בפירוט נוסף בפרסום או באזהרת האבטחה המתאימים של Qualcomm. הערכת חומרת הבעיה מסופקת ישירות על ידי Qualcomm.
| CVE | קובצי עזר | מידת החומרה | רכיב משנה | |
|---|---|---|---|---|
| CVE-2025-21479 | A-415772610 * | קריטית | רכיב מקור סגור |
שאלות ותשובות נפוצות
בקטע הזה תמצאו תשובות לשאלות נפוצות שעשויות להתעורר אחרי קריאת העלון הזה.
1. איך אפשר לדעת אם המכשיר שלי עודכן כדי לפתור את הבעיות האלה?
כך בודקים את רמת תיקון האבטחה של המכשיר ומעדכנים את גרסת Android
- רמות תיקון האבטחה מ-2025-08-01 ואילך מטפלות בכל הבעיות שמשויכות לרמת תיקון האבטחה מ-2025-08-01.
- רמות תיקון אבטחה מ-2025-08-05 ואילך מטפלות בכל הבעיות שמשויכות לרמת תיקון האבטחה מ-2025-08-05 ולכל רמות התיקון הקודמות.
יצרני מכשירים שכוללים את העדכונים האלה צריכים להגדיר את הרמה של מחרוזת התיקון לערך הבא:
- [ro.build.version.security_patch]:[2025-08-01]
- [ro.build.version.security_patch]:[2025-08-05]
במכשירים מסוימים עם Android בגרסה 10 ואילך, עדכון המערכת של Google Play יכלול מחרוזת תאריך שתואמת לרמה של תיקוני האבטחה מ-2025-08-01. במאמר הזה מוסבר איך להתקין עדכוני אבטחה.
2. למה בפרסום הזה יש שתי רמות של תיקוני אבטחה?
במאמר הזה יש שתי רמות של תיקוני אבטחה, כדי ששותפי Android יוכלו לתקן במהירות קבוצת משנה של פגיעויות שדומות בכל מכשירי Android. אנחנו ממליצים לשותפי Android לפתור את כל הבעיות שמפורטות בעלון הזה ולהשתמש ברמת תיקון האבטחה העדכנית ביותר.
- מכשירים שמשתמשים ברמת תיקון האבטחה 2025-08-01 חייבים לכלול את כל הבעיות שמשויכות לרמת תיקון האבטחה הזו, וגם תיקונים לכל הבעיות שדווחו בפרסומים הקודמים בנושא אבטחה.
- מכשירים שמשתמשים ברמת תיקון האבטחה 2025-08-05 או חדשה יותר חייבים לכלול את כל התיקונים הרלוונטיים בפרסום הזה (ובפרסומים קודמים) בנושא אבטחה.
אנחנו ממליצים לשותפים לאגד את התיקונים לכל הבעיות שהם מטפלים בהן בעדכון אחד.
3. מה המשמעות של הערכים בעמודה Type (סוג)?
הערכים בעמודה סוג בטבלת פרטי נקודת החולשה מתייחסים לסיווג של נקודת החולשה באבטחה.
| קיצור | הגדרה |
|---|---|
| RCE | ביצוע קוד מרחוק |
| EoP | העלאת רמת ההרשאה |
| מזהה | גילוי נאות לגבי מידע |
| DoS | מניעת שירות |
| לא רלוונטי | הסיווג לא זמין |
4. מה המשמעות של הערכים בעמודה הפניות?
רשומות בעמודה References בטבלת פרטי הפגיעות עשויות להכיל קידומת שמזהה את הארגון שאליו שייך ערך ההפניה.
| תחילית | חומרי עזר |
|---|---|
| A- | מזהה הבאג ב-Android |
| QC- | מספר סימוכין של Qualcomm |
| M- | מספר סימוכין של MediaTek |
| N- | מספר סימוכין של NVIDIA |
| B- | מספר סימוכין של Broadcom |
| U- | מספר סימוכין של UNISOC |
5. מה המשמעות של הכוכבית (*) לצד מזהה הבאג ב-Android בעמודה References?
לבעיות שלא זמינות לציבור יש * ליד מזהה ההפניה המתאים. העדכון לבעיה הזו בדרך כלל כלול במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Pixel שזמינים באתר Google Developers.
6. למה נקודות החולשה באבטחה מחולקות בין העלון הזה לבין עלוני אבטחה של מכשירים או שותפים, כמו עלון Pixel?
כדי להצהיר על רמת תיקון האבטחה העדכנית במכשירי Android, צריך לתקן את נקודות החולשה באבטחה שמתועדות בחדשות האבטחה האלה. לא נדרש להצהיר על רמת תיקון אבטחה לגבי נקודות חולשה נוספות באבטחה שמפורטות בפרסומי האבטחה של המכשיר או השותף. יצרנים של מכשירי Android וערכות שבבים עשויים לפרסם גם פרטים על פגיעויות אבטחה שספציפיות למוצרים שלהם, כמו Google, Huawei, LGE, Motorola, Nokia או Samsung.
גרסאות
| גרסה | תאריך | הערות |
|---|---|---|
| 1.0 | 4 באוגוסט 2025 | Bulletin published |