В этих примечаниях к выпуску содержится информация об уязвимостях в защите, исправленных в Android 15. Все перечисленные здесь проблемы устранены на устройствах Android 15 с исправлением системы безопасности 2024-09-01 или более новым (исправление 2024-09-01 по умолчанию используется в версии Android 15, опубликованной на сайте AOSP). О том, как проверить уровень исправления системы безопасности на устройстве, рассказывается в статье о сроках обновления ПО.
Мы сообщаем партнерам Android обо всех проблемах до публикации бюллетеней. Исправления для устранения указанных уязвимостей в исходном коде будут добавлены в хранилище Android Open Source Project (AOSP) в рамках выпуска Android 15.
Уровень серьезности, указанный в этих примечаниях к выпуску, зависит от того, какой ущерб потенциально может быть нанесен устройству в случае использования уязвимости, если средства защиты будут отключены в целях разработки или злоумышленнику удастся их обойти.
У нас нет информации об активном использовании обнаруженных уязвимостей. О том, как платформа безопасности Android и Google Play Защита помогают снизить вероятность использования уязвимостей Android, рассказывается в разделе Предотвращение атак.
Объявления
- Проблемы, описанные в этом документе, устранены в Android 15. Сведения о них предоставлены для справки и обеспечения информационной прозрачности.
- Мы благодарим исследователей в области безопасности за их непрерывную работу, которая помогает обеспечивать защиту экосистемы Android.
Предотвращение атак
Здесь описано, как платформа безопасности Android и средства защиты сервисов, например Google Play Защита, позволяют снизить вероятность успешного использования уязвимостей Android.
- В новых версиях Android сложнее использовать многие уязвимости, поэтому мы рекомендуем всем своевременно обновлять систему.
- Команда, отвечающая за безопасность Android, активно отслеживает случаи злоупотребления с помощью Google Play Защиты и предупреждает пользователей об установке потенциально опасных приложений. Google Play Защита по умолчанию включена на телефонах и планшетах, использующих сервисы Google для мобильных устройств. Она особенно важна для тех, кто устанавливает приложения не из Google Play.
Описание уязвимостей Android 15
В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в Android 15. Проблемы сгруппированы по компонентам, которые они затрагивают. Для каждого случая указаны CVE, ссылки, тип уязвимости и уровень серьезности.
Framework
| CVE | Ссылки | Тип | Уровень серьезности |
|---|---|---|---|
| CVE-2023-40119 | A-231476072 | EoP | Высокий |
| CVE-2024-40678 | A-264844293 | DoS | Высокий |
| CVE-2024-43069 | A-259946410 | EoP | Высокий |
| CVE-2024-43070 | A-341691431 | DoS | Высокий |
| CVE-2024-43071 | A-343169511 | EoP | Высокий |
| CVE-2024-43074 | A-329409825 | EoP | Высокий |
| CVE-2024-43075 | A-272740688 | EoP | Высокий |
| CVE-2024-43076 | A-295395495 | EoP | Высокий |
| CVE-2024-43078 | A-290365279 | ID | Высокий |
Система
| CVE | Ссылки | Тип | Уровень серьезности |
|---|---|---|---|
| CVE-2024-23694 | A-329067188 | EoP | Высокий |
| CVE-2024-43068 | A-275551881 | EoP | Высокий |
| CVE-2024-43072 | A-292548775 | EoP | Высокий |
| CVE-2024-43073 | A-289924486 | EoP | Высокий |
| CVE-2024-43079 | A-352309723 | EoP | Высокий |
Часто задаваемые вопросы
В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.
1. Как определить, установлено ли на устройстве обновление, в котором устранены перечисленные проблемы?
О том, как проверить уровень исправления системы безопасности на устройстве, рассказывается в статье о сроках обновления ПО.
В версии Android 15, опубликованной на сайте AOSP, по умолчанию используется исправление системы безопасности 2024-09-01. На устройствах Android 15 с исправлением 2024-09-01 или более новыми устранены все уязвимости, описанные в этих примечаниях к выпуску.
2. Что означают сокращения в столбце Тип?
В этом столбце указан тип уязвимости по следующей классификации:
| Сокращение | Описание |
|---|---|
| RCE | Удаленное выполнение кода |
| EoP | Повышение привилегий |
| ID | Раскрытие информации |
| DoS | Отказ в обслуживании |
| Н/Д | Классификация недоступна |
3. Что означает информация в столбце Ссылки?
В таблицах с описанием уязвимостей есть столбец Ссылки. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:
| Префикс | Значение |
|---|---|
| A- | Идентификатор ошибки Android |
Версии
| Версия | Дата | Примечания |
|---|---|---|
| 1.0 | 3 сентября 2024 г. | Бюллетень опубликован. |