Android Automotive OS (AAOS) 更新公告包含影响 Android Automotive OS 平台的安全漏洞的详细信息。完整的 AAOS 更新包括2022 年 12 月 Android 安全公告的 2022-12-05 或更高版本的安全补丁程序级别以及此公告中的所有问题。
我们鼓励所有客户接受他们设备的这些更新。
这些问题中最严重的是平台应用程序组件中的一个高安全漏洞，它可能导致本地权限升级而无需额外的执行权限。严重性评估基于利用漏洞可能对受影响设备产生的影响，假设平台和服务缓解措施已关闭以用于开发目的或成功绕过。
公告
- 除了 2022 年 12 月 Android 安全公告中描述的安全漏洞外，2022 年 12 月 Android 汽车操作系统更新公告还包含专门针对 AAOS 漏洞的补丁，如下所述。
2022-12-01 安全补丁级漏洞详情
在下面的部分中，我们提供了适用于 2022-12-01 补丁级别的每个安全漏洞的详细信息。漏洞被分组在它们影响的组件下。下表描述了问题，包括 CVE ID、相关参考、漏洞类型、严重性和更新的 AOSP 版本（如果适用）。如果可用，我们会将解决问题的公共更改链接到错误 ID，例如 AOSP 更改列表。当多个更改与单个错误相关时，其他参考链接到错误 ID 后面的数字。搭载 Android 10 及更高版本的设备可能会收到安全更新以及Google Play 系统更新。
平台应用
这一部分中最严重的漏洞可能导致本地权限提升，而无需额外的执行权限。| CVE | 参考 | 类型 | 严重性 | 更新的 AOSP 版本 |
|---|---|---|---|---|
| CVE-2021-0481 | A-172939189 | 期末 | 高的 | 10, 11 |
| CVE-2021-39706 | A-200164168 | 期末 | 高的 | 10, 11 |
| CVE-2021-39707 | A-200688991 | 期末 | 高的 | 10, 11 |
| CVE-2022-20144 | A-250637906 | 期末 | 高的 | 10, 11 |
| CVE-2022-20223 | A-223578534 | 期末 | 高的 | 10, 11 |
| CVE-2022-20348 | A-250910523 | 期末 | 高的 | 10, 11 |
| CVE-2021-39631 | A-193890833 | ID | 高的 | 10、11、12、12L、13 |
系统
此部分中的漏洞可能导致需要用户执行权限的本地权限提升。| CVE | 参考 | 类型 | 严重程度 | 更新的 AOSP 版本 |
|---|---|---|---|---|
| CVE-2021-0954 | A-143559931 | 期末 | 高的 | 11, 12, 12L, 13 |
常见问题与解答
本节回答阅读本公告后可能出现的常见问题。
1. 如何确定我的设备是否已更新以解决这些问题？
要了解如何检查设备的安全补丁级别，请阅读Google 设备更新计划中的说明。
- 2022-12-01 或更高级别的安全补丁程序解决了与 2022-12-01 安全补丁程序级别相关的所有问题。
包含这些更新的设备制造商应将补丁字符串级别设置为：
- [ro.build.version.security_patch]:[2022-12-01]
对于某些运行 Android 10 或更高版本的设备，Google Play 系统更新将具有与 2022-12-01 安全补丁级别匹配的日期字符串。有关如何安装安全更新的更多详细信息，请参阅本文。
2.类型栏中的条目是什么意思？
漏洞详细信息表的类型列中的条目引用安全漏洞的分类。
| 缩写 | 定义 |
|---|---|
| RCE | 远程代码执行 |
| 期末 | 特权提升 |
| ID | 信息披露 |
| 拒绝服务 | 拒绝服务 |
| 不适用 | 分类不可用 |
3. References栏中的条目是什么意思？
漏洞详细信息表的参考列下的条目可能包含一个前缀，用于标识参考值所属的组织。
| 字首 | 参考 |
|---|---|
| 一个- | 安卓漏洞编号 |
| 质检- | 高通参考编号 |
| M- | 联发科参考编号 |
| N- | NVIDIA 参考编号 |
| B- | 博通参考编号 |
| U- | 紫光展锐参考编号 |
4. References栏中Android bug ID 旁边的* 是什么意思？
未公开发布的问题在相应的参考 ID 旁边有一个 *。该问题的更新通常包含在可从Google Developer 站点获得的 Pixel 设备的最新二进制驱动程序中。
5. 为什么安全漏洞在此公告和设备/合作伙伴安全公告（例如 Pixel 公告）之间分开？
此安全公告中记录的安全漏洞需要在 Android 设备上声明最新的安全补丁程序级别。设备/合作伙伴安全公告中记录的其他安全漏洞不需要声明安全补丁程序级别。 Android 设备和芯片组制造商也可能会发布特定于其产品的安全漏洞详细信息，例如谷歌、华为、 LGE 、摩托罗拉、诺基亚或三星。
版本
版本
| 版本 | 日期 | 笔记 |
|---|---|---|
| 1.0 | 2022 年 12 月 5 日 | 公告发布 |