בעדכון הזה מפורטות פרצות אבטחה שמשפיעות על מכשירי Android, והוא נכלל ב-Android 15. מכשירי Android 15 עם רמת תיקון אבטחה של 1 בספטמבר 2024 ואילך מוגנים מפני הבעיות האלה (רמת תיקון האבטחה שמוגדרת כברירת מחדל ב-Android 15, כפי שהיא פורסמה ב-AOSP, היא 1 בספטמבר 2024). במאמר איך בודקים את גרסת Android ומעדכנים אותה מוסבר איך בודקים את רמת תיקון האבטחה של המכשיר.
שותפי Android מקבלים הודעה על כל הבעיות לפני הפרסום. תיקוני קוד המקור לבעיות האלה יפורסמו במאגר של פרויקט קוד המקור של Android (AOSP) כחלק מהשקת Android 15.
הערכת החומרה של הבעיות שמפורטות בפתקים האלה מבוססת על ההשפעה האפשרית של ניצול נקודת החולשה על המכשיר המושפע, בהנחה שהאמצעי למזעור הפגיעות בפלטפורמה ובשירות מושבתים למטרות פיתוח או אם הם עוקפים בהצלחה.
לא קיבלנו דיווחים על ניצול פעיל של הבעיות החדשות האלה על ידי לקוחות או על ניצול לרעה שלהן. בקטע אמצעי המיטיגציה של Android ו-Google Play Protect מפורט מידע על ההגנות של פלטפורמת האבטחה של Android ועל Google Play Protect, שמשפרים את האבטחה של פלטפורמת Android.
הודעות
- הבעיות המתוארות במסמך הזה טופלו כחלק מ-Android 15. המידע הזה מוצג לצורך עיון ושקיפות.
- אנחנו רוצים להודות ולהכיר תודה לקהילת המחקר בתחום האבטחה על התרומות המתמשכות שלה לאבטחת הסביבה העסקית של Android.
הפחתת ההשפעה על שירותי Android ו-Google
זהו סיכום של אמצעי המיטיגציה שסופקו על ידי פלטפורמת האבטחה של Android והגנות שירות כמו Google Play Protect. היכולות האלה מצמצמות את הסיכוי לנצל לרעה נקודות חולשה באבטחה ב-Android.
- שיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של הרבה בעיות ב-Android. אנחנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
- צוות האבטחה של Android עוקב באופן פעיל אחרי התנהלות פוגעת באמצעות Google Play Protect, ומזהיר משתמשים לגבי אפליקציות שעלולות להזיק. שירות Google Play Protect מופעל כברירת מחדל במכשירים עם Google Mobile Services, והוא חשוב במיוחד למשתמשים שמתקינים אפליקציות ממקורות שאינם Google Play.
פרטי נקודת החולשה ב-Android 15
בקטעים הבאים מפורטים פרטים על נקודות חולשה באבטחה שתוקנו במסגרת Android 15. נקודות החולשה מקובצות לפי הרכיב שבו הן משפיעות, וכוללות פרטים כמו מספר ה-CVE, הפניות משויכות, סוג נקודת החולשה ומידת החומרה.
Framework
| CVE | קובצי עזר | סוג | מידת החומרה |
|---|---|---|---|
| CVE-2023-40119 | A-231476072 | EoP | גבוהה |
| CVE-2024-40678 | A-264844293 | DoS | גבוהה |
| CVE-2024-43069 | A-259946410 | EoP | גבוהה |
| CVE-2024-43070 | A-341691431 | DoS | גבוהה |
| CVE-2024-43071 | A-343169511 | EoP | גבוהה |
| CVE-2024-43074 | A-329409825 | EOP | גבוהה |
| CVE-2024-43075 | A-272740688 | EoP | גבוהה |
| CVE-2024-43076 | A-295395495 | EoP | גבוהה |
| CVE-2024-43078 | A-290365279 | מזהה | גבוהה |
| CVE-2024-43092 | A-328017524 | DoS | גבוהה |
מערכת
| CVE | קובצי עזר | סוג | מידת החומרה |
|---|---|---|---|
| CVE-2023-52160 | A-287119604 | RCE | נמוכה |
| CVE-2024-23694 | A-329067188 | EoP | גבוהה |
| CVE-2024-43068 | A-275551881 | EoP | גבוהה |
| CVE-2024-43072 | A-292548775 | EoP | גבוהה |
| CVE-2024-43073 | A-289924486 | EoP | גבוהה |
| CVE-2024-43079 | A-352309723 | EoP | גבוהה |
שאלות נפוצות ותשובות
בקטע הזה תמצאו תשובות לשאלות נפוצות שעשויות להתעורר אחרי קריאת העדכון.
1. איך אפשר לדעת אם המכשיר מעודכן כדי לטפל בבעיות האלה?
במאמר בדיקת גרסת Android ועדכון שלה מוסבר איך בודקים את רמת תיקון האבטחה של המכשיר.
ב-Android 15, כפי שהוא פורסם ב-AOSP, רמת תיקון האבטחה שמוגדרת כברירת מחדל היא 01 בספטמבר 2024. במכשירי Android עם Android מגרסה 15 ורמת תיקון אבטחה של 1 בספטמבר 2024 ואילך, תוקנו כל הבעיות שמפורטות במסמך זה.
2. מה המשמעות של הרשומות בעמודה Type?
הרשומות בעמודה Type בטבלת הפרטים של נקודת החולשה מתייחסות לסיווג של נקודת החולשה באבטחה.
| קיצור | הגדרה |
|---|---|
| RCE | ביצוע קוד מרחוק |
| EoP | הסלמת הרשאות (privilege escalation) |
| מזהה | חשיפת מידע |
| DoS | התקפת מניעת שירות (DoS) |
| לא רלוונטי | הסיווג לא זמין |
3. מה המשמעות של הרשומות בעמודה References?
רשומות בעמודה References בטבלת פרטי נקודת החולשה עשויות להכיל קידומת שמזהה את הארגון שאליו שייך ערך ההפניה.
| תחילית | חומרי עזר |
|---|---|
| A- | מזהה הבאג ב-Android |
גרסאות
| גרסה | תאריך | הערות |
|---|---|---|
| 1.0 | 3 בספטמבר 2024 | פורסם עדכון |
| 1.1 | 16 באוקטובר 2024 | העדכון עודכן |