Note sulla versione di sicurezza di Android 10

Pubblicato il 20 agosto 2019 | Aggiornato il 27 gennaio 2021

Queste note sulla versione di sicurezza di Android contengono i dettagli delle vulnerabilità di sicurezza che interessano i dispositivi Android che sono risolte come parte di Android 10. I dispositivi Android 10 con un livello di patch di sicurezza di 01-09-2019 o successivo sono protetti contro questi problemi (Android 10, come rilasciato il AOSP, ha un livello di patch di sicurezza predefinito del 01-09-2019). Per informazioni su come controllare il livello di patch di sicurezza di un dispositivo, vedi Come controllare e aggiornare la versione di Android .

I partner Android vengono informati di tutti i problemi prima della pubblicazione. Le patch del codice sorgente per questi problemi verranno rilasciate nel repository Android Open Source Project (AOSP) come parte della versione Android 10.

La valutazione della gravità dei problemi in queste note di rilascio si basa sull'effetto che lo sfruttamento della vulnerabilità potrebbe avere su un dispositivo interessato, supponendo che le mitigazioni della piattaforma e del servizio siano disattivate per scopi di sviluppo o se bypassate correttamente.

Non abbiamo avuto segnalazioni di sfruttamento attivo da parte dei clienti o abuso di questi problemi appena segnalati. Fare riferimento alla sezione sulle attenuazioni di Android e Google Play Protect per i dettagli sulle protezioni della piattaforma di sicurezza Android e su Google Play Protect, che migliorano la sicurezza della piattaforma Android.

Annunci

• I problemi descritti in questo documento vengono affrontati come parte di Android 10. Queste informazioni sono fornite per riferimento e trasparenza.
• Vorremmo riconoscere e ringraziare la comunità di ricerca sulla sicurezza per il loro continuo contributo alla protezione dell'ecosistema Android.

Mitigazioni dei servizi Android e Google

Questo è un riepilogo delle attenuazioni fornite dalla piattaforma di sicurezza Android e dalle protezioni del servizio come Google Play Protect . Queste funzionalità riducono la probabilità che le vulnerabilità della sicurezza possano essere sfruttate con successo su Android.

• Lo sfruttamento per molti problemi su Android è reso più difficile dai miglioramenti nelle versioni più recenti della piattaforma Android. Incoraggiamo tutti gli utenti ad aggiornare all'ultima versione di Android, ove possibile.
• Il team di sicurezza di Android monitora attivamente gli abusi tramite Google Play Protect e avvisa gli utenti in merito alle applicazioni potenzialmente dannose . Google Play Protect è abilitato per impostazione predefinita sui dispositivi con Google Mobile Services ed è particolarmente importante per gli utenti che installano app al di fuori di Google Play.

Android 10: dettagli sulla vulnerabilità

Le sezioni seguenti forniscono dettagli per le vulnerabilità di sicurezza risolte come parte di Android 10. Le vulnerabilità sono raggruppate sotto il componente che interessano e includono dettagli come CVE, riferimenti associati, tipo di vulnerabilità e gravità .

Tempo di esecuzione Android

Struttura

Biblioteca

Quadro dei media

Sistema

Libxaac

La libreria Android 9 libxaac è stata contrassegnata come sperimentale e rimossa dalle build Android di produzione nell'ambito del Bollettino sulla sicurezza Android di novembre 2018 . Vorremmo ringraziare i ricercatori per le loro scoperte.

I problemi identificati includono i seguenti ID CVE: CVE-2019-2055, CVE-2019-2059, CVE-2019-2060, CVE-2019-2061, CVE-2019-2062, CVE-2019-2063, CVE-2019-2064 , CVE-2019-2065, CVE-2019-2066, CVE-2019-2067, CVE-2019-2068, CVE-2019-2069, CVE-2019-2070, CVE-2019-2071, CVE-2019-2072, CVE -2019-2073, CVE-2019-2074, CVE-2019-2075, CVE-2019-2076, CVE-2019-2077, CVE-2019-2078, CVE-2019-2079, CVE-2019-2080, CVE-2019 -2081, CVE-2019-2082, CVE-2019-2083, CVE-2019-2084, CVE-2019-2085, CVE-2019-2086, CVE-2019-2087, CVE-2019-2138, CVE-2019-2139 , CVE-2019-2140, CVE-2019-2141, CVE-2019-2142, CVE-2019-2143, CVE-2019-2144, CVE-2019-2145, CVE-2019-2146, CVE-2019-2147, CVE -2019-2148, CVE-2019-2149, CVE-2019-2150, CVE-2019-2151, CVE-2019-2152, CVE-2019-2153, CVE-2019-2154, CVE-2019-2155, CVE-2019 -2156, CVE-2019-2157, CVE-2019-2158, CVE-2019-2159, CVE-2019-2160, CVE-2019-2161, CVE-2019-2162, CVE-2019-2163, CVE-2019-2164 , CVE-2019-2165, CVE-2019-2166, CVE-2019-2167, CVE-2019-2168, CVE-2019-2169, CVE-2019-2170, CV E-2019-2171, CVE-2019-2172, CVE-2019-9261, CVE-2019-9264, CVE-2019-9385 e CVE-2019-9391.

Domande e risposte comuni

Questa sezione risponde alle domande più comuni che possono verificarsi dopo la lettura di questo bollettino.

1. Come faccio a determinare se il mio dispositivo è aggiornato per risolvere questi problemi?

Per informazioni su come controllare il livello di patch di sicurezza di un dispositivo, consulta Controllare e aggiornare la versione di Android .

Android 10, come rilasciato su AOSP, ha un livello di patch di sicurezza predefinito del 01-09-2019. I dispositivi Android che eseguono Android 10 e con un livello di patch di sicurezza 01-09-2019 o successivo risolvono tutti i problemi contenuti in queste note sulla versione di sicurezza.

2. Cosa significano le voci nella colonna Tipo ?
Le voci nella colonna Tipo della tabella dei dettagli della vulnerabilità fanno riferimento alla classificazione della vulnerabilità della sicurezza.

3. Cosa significano le voci nella colonna Riferimenti ?

Le voci nella colonna Riferimenti della tabella dei dettagli della vulnerabilità possono contenere un prefisso che identifica l'organizzazione a cui appartiene il valore di riferimento.

Versioni