Biuletyn bezpieczeństwa w Androidzie – wrzesień 2025 r.

Opublikowano 2 września 2025 r.

Biuletyn bezpieczeństwa Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach urządzeń z Androidem. Poziomy poprawek zabezpieczeń z 5 września 2025 r. lub nowsze rozwiązują wszystkie te problemy. Aby dowiedzieć się, jak sprawdzić poziom aktualizacji zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed publikacją. Poprawki kodu źródłowego dotyczące tych problemów zostaną udostępnione w repozytorium Projektu Android Open Source (AOSP) w ciągu najbliższych 48 godzin. Gdy linki do AOSP będą dostępne, zaktualizujemy ten biuletyn.

Najpoważniejszy z tych problemów to krytyczna luka w zabezpieczeniach komponentu System, która może prowadzić do zdalnego (w pobliżu) wykonania kodu bez konieczności uzyskania dodatkowych uprawnień. Do wykorzystania luki nie jest wymagana interakcja użytkownika. Ocena poziomu ważności jest oparta na wpływie, jaki wykorzystanie luki w zabezpieczeniach mogłoby mieć na urządzenie, przy założeniu, że środki zaradcze platformy i usługi są wyłączone na potrzeby programowania lub zostały skutecznie ominięte.

Więcej informacji o zabezpieczeniach platformy Android i Google Play Protect, które zwiększają bezpieczeństwo platformy Android, znajdziesz w sekcji Środki zaradcze w Androidzie i Google Play Protect.

Środki zaradcze w usługach Androida i Google

To podsumowanie środków zaradczych zapewnianych przez platformę zabezpieczeń Androida i usługi chroniące, takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo wykorzystania luk w zabezpieczeniach Androida.

  • Wykorzystanie wielu problemów na Androidzie jest utrudnione przez ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, jeśli jest to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje nadużycia za pomocą Google Play Protect i ostrzega użytkowników przed potencjalnie szkodliwymi aplikacjami. Usługa Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest ona szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play.

2025-09-01 szczegóły luki w zabezpieczeniach na poziomie aktualizacji zabezpieczeń

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej luce w zabezpieczeniach, która dotyczy poziomu poprawek z 1 września 2025 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej i zawierają identyfikator CVE, powiązane odniesienia, rodzaj luki w zabezpieczeniach, poziom ważności i zaktualizowane wersje AOSP (w stosownych przypadkach). W przypadku dostępności linkujemy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. listą zmian AOSP. Jeśli kilka zmian dotyczy jednego błędu, dodatkowe odniesienia są powiązane z numerami po identyfikatorze błędu. Urządzenia z Androidem 10 i nowszym mogą otrzymywać aktualizacje zabezpieczeń oraz aktualizacje systemowe Google Play.

środowisko wykonawcze Androida

Opisana w tej sekcji luka w zabezpieczeniach może prowadzić do lokalnej eskalacji uprawnień bez konieczności uzyskania dodatkowych uprawnień do wykonywania kodu. Do wykorzystania luki nie jest wymagana interakcja użytkownika.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2025-48543 A-421834866 EoP Wysoki 13, 14, 15, 16

Framework

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może prowadzić do lokalnego podniesienia uprawnień bez konieczności uzyskania dodatkowych uprawnień do wykonywania kodu. Wykorzystanie luki nie wymaga interakcji użytkownika.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2025-0089 A-378505461 EoP Wysoki 13, 14, 15
CVE-2025-32324 A-406763872 EoP Wysoki 15, 16
CVE-2025-32325 A-402319736 EoP Wysoki 13, 14, 15, 16
CVE-2025-32331 A-404252173 EoP Wysoki 15, 16
CVE-2025-32349 A-408215749 EoP Wysoki 13, 14, 15, 16
CVE-2025-32350 A-404256832 EoP Wysoki 14, 15, 16
CVE-2025-48522 A-418773283 EoP Wysoki 13, 14, 15, 16
CVE-2025-48528 A-384727394 EoP Wysoki 15, 16
CVE-2025-48540 A-416734088 EoP Wysoki 13, 14, 15, 16
CVE-2025-48546 A-388029380 EoP Wysoki 13, 14, 15, 16
CVE-2025-48548 A-293603271 EoP Wysoki 13, 14, 15
CVE-2025-48549 A-325912429 EoP Wysoki 13, 14, 15
CVE-2025-48552 A-365975561 EoP Wysoki 13, 14, 15, 16
CVE-2025-48553 A-384514657 EoP Wysoki 13, 14, 15, 16
CVE-2025-48556 A-419014146 EoP Wysoki 15, 16
CVE-2025-48558 A-380885270 EoP Wysoki 13, 14, 15, 16
CVE-2025-48563 A-401545800 EoP Wysoki 13, 14, 15, 16
CVE-2025-0076 A-366403307 ID Wysoki 13, 14, 15
CVE-2025-32330 A-389127608 ID Wysoki 13, 14, 15
CVE-2025-48529 A-325030433 ID Wysoki 13, 14, 15, 16
CVE-2025-48537 A-391894257 ID Wysoki 13, 14, 15, 16
CVE-2025-48545 A-397438392 ID Wysoki 13, 14, 15, 16
CVE-2025-48561 A-399120953 ID Wysoki 13, 14, 15, 16
CVE-2025-48562 A-423815728 ID Wysoki 13, 14, 15, 16
CVE-2025-48538 A-328182084 DoS Wysoki 13, 14, 15, 16
CVE-2025-48542 A-273501008 DoS Wysoki 13, 14, 15, 16
CVE-2025-48550 A-401256328 DoS Wysoki 13, 14, 15, 16
CVE-2025-48554 A-414603411 DoS Wysoki 13, 14, 15, 16
CVE-2025-48559 A-416491779 DoS Wysoki 13, 14, 15, 16

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może prowadzić do zdalnego (w pobliżu) wykonania kodu bez konieczności uzyskania dodatkowych uprawnień do wykonania. Wykorzystanie luki nie wymaga interakcji użytkownika.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2025-48539 A-406785684 RCE Krytyczny 15, 16
CVE-2021-39810 A-212610736 EoP Wysoki 13
CVE-2023-24023 A-255601934 EoP Wysoki 13, 14, 15
CVE-2024-49714 A-271962784 EoP Wysoki 13, 14
CVE-2025-26454 A-299928772 EoP Wysoki 13, 14, 15
CVE-2025-26464 A-392614489 EoP Wysoki 15
CVE-2025-32321 A-378902342 EoP Wysoki 13, 14, 15, 16
CVE-2025-32323 A-397216537 EoP Wysoki 13, 14, 15, 16
CVE-2025-32326 A-365739560 EoP Wysoki 13, 14, 15, 16
CVE-2025-32327 A-389681152 EoP Wysoki 14, 15
CVE-2025-32333 A-409780975 EoP Wysoki 14
CVE-2025-32345 A-409318132 EoP Wysoki 15, 16
CVE-2025-32346 A-337785563 EoP Wysoki 16
CVE-2025-32347 A-388528350 EoP Wysoki 13, 14, 15, 16
CVE-2025-48523 A-388032224 EoP Wysoki 13, 14, 15, 16
CVE-2025-48526 A-407764858 EoP Wysoki 13, 14, 15, 16
CVE-2025-48531 A-389681530 EoP Wysoki 13, 14, 15, 16
CVE-2025-48532 A-417194323 EoP Wysoki 16
CVE-2025-48535 A-353680402 EoP Wysoki 13, 14, 15, 16
CVE-2025-48541 A-411418366 EoP Wysoki 13, 14, 15, 16
CVE-2025-48544 A-415783046 EoP Wysoki 13, 14, 15, 16
CVE-2025-48547 A-419105158 EoP Wysoki 13, 14, 15, 16
CVE-2025-48581 A-428945391 EoP Wysoki 16
CVE-2025-48527 A-378088320 ID Wysoki 13, 14, 15, 16
CVE-2025-48551 A-407991863 ID Wysoki 13, 14, 15, 16
CVE-2025-48560 A-419110583 ID Wysoki 15, 16
CVE-2025-48524 A-399885815 DoS Wysoki 13, 14, 15, 16
CVE-2025-48534 A-381419370 DoS Wysoki 13, 14, 15

DRM Widevine

Ta luka w zabezpieczeniach dotyczy komponentów DRM Widevine. Więcej informacji można uzyskać bezpośrednio od Widevine DRM. Ocena ważności tego problemu jest podawana bezpośrednio przez Widevine DRM.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2025-32332
A-319147124 * Wysoki Widevine

Aktualizacje systemowe Google Play

Komponenty Project Mainline obejmują te problemy:

Składnik podrzędny CVE
ART CVE-2025-48543
AppSearch CVE-2025-26464
Transmisja komórkowa CVE-2025-48534
Interfejs Dokumentów CVE-2025-32323
MediaProvider CVE-2025-32327, CVE-2025-48532, CVE-2025-48544
Kontroler uprawnień CVE-2025-48547
Wi-Fi CVE-2025-48524

Szczegóły luki w zabezpieczeniach na poziomie aktualizacji zabezpieczeń z 5 września 2025 r.

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej luce w zabezpieczeniach, która dotyczy poziomu poprawek z 5 września 2025 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej i zawierają identyfikator CVE, powiązane odniesienia, rodzaj luki w zabezpieczeniach, poziom ważności i zaktualizowane wersje AOSP (w stosownych przypadkach). Jeśli to możliwe, łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. listą zmian AOSP. Jeśli kilka zmian dotyczy jednego błędu, dodatkowe odniesienia są powiązane z numerami po identyfikatorze błędu.

Bąbelki

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może prowadzić do lokalnego podniesienia uprawnień bez konieczności uzyskania dodatkowych uprawnień do wykonywania kodu. Wykorzystanie luki nie wymaga interakcji użytkownika.
CVE Pliki referencyjne Typ Poziom Składnik podrzędny
CVE-2025-21755 A-396331793
Upstream kernel [2] [3] [4] [5] [6]
EoP Wysoki VMW VSOCK
CVE-2025-38352 A-425282960
Upstream kernel [2]
EoP Wysoki Godzina
CVE-2025-021701 A-392852041
Upstream kernel [2]
EoP Wysoki Netto

Komponenty ramienia

Te luki w zabezpieczeniach dotyczą komponentów Arm, a więcej szczegółów można znaleźć bezpośrednio na stronie Arm. Ocena ważności tych problemów jest podawana bezpośrednio przez firmę Arm.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2024-7881
A-361573291 * Wysoki CPU
CVE-2025-1246
A-402121892 * Wysoki Mali
CVE-2025-3212
A-421179224 * Wysoki Mali

Imagination Technologies

Te luki w zabezpieczeniach dotyczą komponentów Imagination Technologies. Więcej szczegółów można uzyskać bezpośrednio od Imagination Technologies. Ocenę ważności tych problemów podaje bezpośrednio firma Imagination Technologies.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2024-47898
A-381272949 * Wysoki PowerVR-GPU
CVE-2024-47899
A-381279421 * Wysoki PowerVR-GPU
CVE-2025-0467
A-382313133 * Wysoki PowerVR-GPU
CVE-2025-1706
A-389976559 * Wysoki PowerVR-GPU
CVE-2025-8109
A-383851764 * Wysoki PowerVR-GPU
CVE-2025-25179
A-383186226 * Wysoki PowerVR-GPU
CVE-2025-25180
A-383348101 * Wysoki PowerVR-GPU
CVE-2025-46707
A-416682620 * Wysoki PowerVR-GPU
CVE-2025-46708
A-416527351 * Wysoki PowerVR-GPU
CVE-2025-46710
A-382329905 * Wysoki PowerVR-GPU

Komponenty MediaTek

Te luki w zabezpieczeniach dotyczą komponentów MediaTek, a więcej szczegółów można uzyskać bezpośrednio od firmy MediaTek. Ocena ważności tych problemów jest dostarczana bezpośrednio przez firmę MediaTek.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2025-20696
A-421781778
M-ALPS09915215 *
Wysoki DA
CVE-2025-20704
A-429908205
M-MOLY01516959 *
Wysoki Modem
CVE-2025-20708
A-429908202
M-MOLY01123853 *
Wysoki Modem
CVE-2025-20703
A-429908203
M-MOLY01599794 *
Wysoki Modem

Komponenty Qualcomm

Te luki w zabezpieczeniach dotyczą komponentów firmy Qualcomm i są szczegółowo opisane w odpowiednim biuletynie lub alercie dotyczącym bezpieczeństwa firmy Qualcomm. Ocena ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2025-27042
A-409047250
QC-CR#3935673
Wysoki Wideo
CVE-2025-27043
A-409047487
QC-CR#3935643
Wysoki Bezpieczeństwo
CVE-2025-27056
A-409047405
QC-CR#4005840
Wysoki Bąbelki
CVE-2025-27057
A-409047176
QC-CR#4009252
Wysoki WLAN
CVE-2025-27061
A-409047527
QC-CR#3947576
Wysoki Wideo

Komponenty Qualcomm o zamkniętym kodzie źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm o zamkniętym kodzie źródłowym i są szczegółowo opisane w odpowiednim biuletynie bezpieczeństwa lub alercie bezpieczeństwa firmy Qualcomm. Ocena ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2025-21450
A-388047924 * Krytyczny Komponent o zamkniętym kodzie źródłowym
CVE-2025-21483
A-400449682 * Krytyczny Komponent o zamkniętym kodzie źródłowym
CVE-2025-27034
A-400449915 * Krytyczny Komponent o zamkniętym kodzie źródłowym
CVE-2025-21427
A-388048130 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-21432
A-388048399 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-21433
A-388048557 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-21446
A-388047809 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-21449
A-388047515 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-21454
A-394100848 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-21464
A-394100533 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-21465
A-394099456 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-21477
A-394100233 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-21481
A-400450230 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-21482
A-400449894 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-21484
A-400449949 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-21487
A-400449501 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-21488
A-400450092 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-27032
A-400449519 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-27052
A-409039825 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-27065
A-415772924 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-27066
A-415773002 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-27073
A-415773576 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-47317
A-421905408 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-47318
A-421905743 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-47326
A-421904339 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-47328
A-421905306 * Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-47329
A-421905175 * Wysoki Komponent o zamkniętym kodzie źródłowym

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą się pojawić po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie zostało zaktualizowane w celu rozwiązania tych problemów?

Aby dowiedzieć się, jak sprawdzić poziom aktualizacji zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Poziomy aktualizacji zabezpieczeń z 1 września 2025 r. lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 1 września 2025 r.
  • Aktualizacje zabezpieczeń z 5 września 2025 r. lub nowsze rozwiązują wszystkie problemy związane z aktualizacją zabezpieczeń z 5 września 2025 r. i wszystkimi poprzednimi aktualizacjami.

Producenci urządzeń, którzy uwzględniają te aktualizacje, powinni ustawić poziom ciągu aktualizacji na:

  • [ro.build.version.security_patch]:[2025-09-01]
  • [ro.build.version.security_patch]:[2025-09-05]

W przypadku niektórych urządzeń z Androidem 10 lub nowszym aktualizacja systemu Google Play będzie zawierać ciąg daty zgodny z poziomem aktualizacji zabezpieczeń z 1 września 2025 r. Więcej informacji o instalowaniu aktualizacji zabezpieczeń znajdziesz w tym artykule.

2. Dlaczego ten biuletyn zawiera 2 poziomy aktualizacji zabezpieczeń?

Ten biuletyn zawiera 2 poziomy aktualizacji zabezpieczeń, dzięki czemu partnerzy Androida mogą szybciej naprawiać podzbiór luk w zabezpieczeniach, które są podobne na wszystkich urządzeniach z Androidem. Zachęcamy partnerów Androida do rozwiązania wszystkich problemów opisanych w tym biuletynie i korzystania z najnowszej wersji poprawki zabezpieczeń.

  • Urządzenia, które korzystają z poziomu aktualizacji zabezpieczeń z 1 września 2025 r., muszą zawierać wszystkie problemy związane z tym poziomem aktualizacji zabezpieczeń, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia, które korzystają ze stanu aktualizacji zabezpieczeń z 5 września 2025 r. lub nowszego, muszą zawierać wszystkie odpowiednie poprawki z tego (i poprzednich) biuletynów zabezpieczeń.

Zachęcamy partnerów do łączenia poprawek wszystkich problemów, które rozwiązują, w jednej aktualizacji.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów luki w zabezpieczeniach odnoszą się do klasyfikacji luki w zabezpieczeniach.

Skrót Definicja
RCE Zdalne wykonanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odwołania?

Wpisy w kolumnie Odwołania w tabeli szczegółów dotyczących luki w zabezpieczeniach mogą zawierać prefiks identyfikujący organizację, do której należy wartość odwołania.

Prefiks Źródła wiedzy
A- Identyfikator błędu Androida
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom
U- Numer referencyjny UNISOC

5. Co oznacza gwiazdka (*) obok identyfikatora błędu Androida w kolumnie Odwołania?

Problemy, które nie są publicznie dostępne, mają gwiazdkę (*) obok odpowiedniego identyfikatora referencyjnego. Aktualizacja rozwiązująca ten problem jest zwykle zawarta w najnowszych sterownikach binarnych dla urządzeń Pixel dostępnych na stronie Google dla deweloperów.

6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny dotyczące zabezpieczeń urządzeń lub partnerów, takie jak biuletyn Pixela?

Luki w zabezpieczeniach udokumentowane w tym biuletynie bezpieczeństwa są wymagane do zadeklarowania najnowszego stanu aktualizacji zabezpieczeń na urządzeniach z Androidem. Dodatkowe luki w zabezpieczeniach, które są udokumentowane w biuletynach bezpieczeństwa urządzenia lub partnera, nie są wymagane do deklarowania stanu aktualizacji zabezpieczeń. Producenci urządzeń z Androidem i chipsetów mogą też publikować szczegóły dotyczące luk w zabezpieczeniach swoich produktów, np. Google, Huawei, LGE, Motorola, Nokia lub Samsung.

Wersje

Wersja Data Uwagi
1,0 2 września 2025 r. Biuletyn opublikowany