Опубликован 5 марта 2018 г. | Обновлен 7 марта 2018 г.
В этом бюллетене содержится информация об уязвимостях в защите и об улучшениях функциональных возможностей поддерживаемых устройств Pixel и Nexus (устройства Google). Все проблемы, перечисленные здесь и в бюллетене по безопасности Android за март 2018 года, устранены в исправлении 2018-03-05 или более поздних версий. Подробнее о том, как проверить версию системы безопасности на устройстве…
Поддерживаемые устройства Google получат обновление системы безопасности 2018-03-05. Мы рекомендуем всем пользователям установить его или более позднее обновление.
Примечание. Образы встроенного ПО для устройств Google можно найти на сайте Google Developers.
Объявления
Помимо исправлений уязвимостей, описанных в бюллетене по безопасности Android за март 2018 года, обновления для устройств Google содержат также исправления проблем, перечисленных ниже. Мы сообщили партнерам об этих проблемах по крайней мере месяц назад. Они могут включить их исправления в свои обновления систем безопасности.
Исправления системы безопасности
Уязвимости сгруппированы по компонентам, которые они затрагивают. Для каждого случая приведены описание и таблица, где указаны CVE, ссылки, тип уязвимости, уровень серьезности и, если применимо, версии AOSP. Где возможно, мы добавляем к идентификатору ошибки ссылку на опубликованное изменение (например, список AOSP). Если таких изменений несколько, дополнительные ссылки указываются в квадратных скобках.
Framework
| CVE | Ссылки | Тип | Уровень серьезности | Обновленные версии AOSP |
|---|---|---|---|---|
| CVE-2017-13263 | A-69383160 [2] | EoP | Средний уровень | 8.0, 8.1 |
Media Framework
| CVE | Ссылки | Тип | Уровень серьезности | Обновленные версии AOSP |
|---|---|---|---|---|
| CVE-2017-13264 | A-70294343 | NSI | NSI | 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| DoS | Высокий приоритет | 6.0, 6.0.1 | ||
| CVE-2017-13254 | A-70239507 | NSI | NSI | 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| DoS | Высокий приоритет | 5.1.1, 6.0, 6.0.1 |
Система
| CVE | Ссылки | Тип | Уровень серьезности | Обновленные версии AOSP |
|---|---|---|---|---|
| CVE-2017-13265 | A-36232423 [2] [3] | EoP | Средний уровень | 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13268 | A-67058064 | ID; | Средний уровень | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13269 | A-68818034 | ID; | Средний уровень | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
Компоненты ядра
| CVE | Ссылки | Тип | Уровень серьезности | Компонент |
|---|---|---|---|---|
| CVE-2017-5754 | A-69856074* | ID; | Высокий приоритет | Отображение файлов в память |
| CVE-2017-13270 | A-69474744* | EoP | Средний уровень | Драйвер Mnh_sm |
| CVE-2017-13271 | A-69006799* | EoP | Средний уровень | Драйвер Mnh_sm |
| CVE-2017-16527 | A-69051382 Ядро Upstream |
EoP | Средний уровень | USB-аудиодрайвер |
| CVE-2017-15649 | A-69160446 Ядро Upstream [2] |
EoP | Средний уровень | Сетевой драйвер |
| CVE-2017-1000111 | A-68806121 Ядро Upstream |
EoP | Средний уровень | Сетевой драйвер |
Компоненты NVIDIA
| CVE | Ссылки | Тип | Уровень серьезности | Компонент |
|---|---|---|---|---|
| CVE-2017-6287 | A-64893264* N-CVE-2017-6287 |
ID; | Средний уровень | Media Framework |
| CVE-2017-6285 | A-64893156* N-CVE-2017-6285 |
ID; | Средний уровень | Media Framework |
| CVE-2017-6288 | A-65482562* N-CVE-2017-6288 |
ID; | Средний уровень | Media Framework |
Компоненты Qualcomm
| CVE | Ссылки | Тип | Уровень серьезности | Компонент |
|---|---|---|---|---|
| CVE-2017-18061 | A-70237701 QC-CR#2117246 |
EoP | Средний уровень | Wil6210 |
| CVE-2017-18050 | A-70237697 QC-CR#2119443 |
EoP | Средний уровень | Управление wma |
| CVE-2017-18054 | A-70237694 QC-CR#2119432 |
EoP | Средний уровень | wma |
| CVE-2017-18055 | A-70237693 QC-CR#2119430 |
EoP | Средний уровень | wma |
| CVE-2017-18065 | A-70237685 QC-CR#2113423 |
EoP | Средний уровень | wma |
| CVE-2017-18066 | A-70235107 QC-CR#2107976 |
EoP | Средний уровень | Драйвер питания |
| CVE-2017-18062 | A-68992451 QC-CR#2115375 |
EoP | Средний уровень | wma |
| CVE-2018-3561 | A-68870904* QC-CR#2068569 |
EoP | Средний уровень | Diagchar |
| CVE-2018-3560 | A-68664502* QC-CR#2142216 |
EoP | Средний уровень | Аудиодрайвер Qdsp6v2 |
| CVE-2017-15834 | A-70237704 QC-CR#2111858 |
EoP | Средний уровень | Diagchar |
| CVE-2017-15833 | A-70237702 QC-CR#2059835 |
EoP | Средний уровень | Драйвер питания |
| CVE-2017-15831 | A-70237687 QC-CR#2114255 |
EoP | Средний уровень | wma |
| CVE-2017-15830 | A-70237719 QC-CR#2120725 |
EoP | Средний уровень | Драйвер sme |
| CVE-2017-14889 | A-70237700 QC-CR#2119803 |
EoP | Средний уровень | wma |
| CVE-2017-14887 | A-70237715 QC-CR#2119673 |
EoP | Средний уровень | WLAN |
| CVE-2017-14879 | A-63851638* QC-CR#2056307 |
EoP | Средний уровень | IPA |
| CVE-2017-11082 | A-66937387 QC-CR#2071560 |
EoP | Средний уровень | WLAN |
| CVE-2017-11074 | A-68940798 QC-CR#2049138 |
EoP | Средний уровень | WLAN |
| CVE-2017-18052 | A-70237712 QC-CR#2119439 |
ID; | Средний уровень | WLAN |
| CVE-2017-18057 | A-70237709 QC-CR#2119403 |
ID; | Средний уровень | WLAN |
| CVE-2017-18059 | A-70237708 QC-CR#2119399 |
ID; | Средний уровень | WLAN |
| CVE-2017-18060 | A-70237707 QC-CR#2119394 |
ID; | Средний уровень | WLAN |
| CVE-2017-18051 | A-70237696 QC-CR#2119442 |
ID; | Средний уровень | WLAN |
| CVE-2017-18053 | A-70237695 QC-CR#2119434 |
ID; | Средний уровень | WLAN |
| CVE-2017-18058 | A-70237690 QC-CR#2119401 |
ID; | Средний уровень | WLAN |
| CVE-2017-15855 | A-38232131* QC-CR#2025367 |
ID; | Средний уровень | Драйвер Camera_v2 |
| CVE-2017-15814 | A-64836865* QC-CR#2092793 |
ID; | Средний уровень | Драйвер Camera_v2 |
Улучшения функциональных возможностей
В эти обновления включены исправления проблем, касающихся функциональных возможностей устройств Pixel. Они не связаны с уязвимостями в защите. В таблице приведены ссылки, категория обновления (например Bluetooth или мобильный интернет), и описание улучшения, а также сведения об устройствах, для которых предназначены исправления.
| Ссылки | Категория | Улучшения | Устройства |
|---|---|---|---|
| A-70491468 | Эффективность | Улучшено включение экрана при разблокировке с помощью отпечатка пальца. | Pixel 2, Pixel 2 XL |
| A-69307875 | Аудио | Улучшено качество аудиозаписи при видеосъемке. | Pixel 2 XL |
| A-70641186 | Отчеты | Улучшены отчеты о сбоях. | Pixel 2, Pixel 2 XL |
Часто задаваемые вопросы
В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.
1. Как определить, установлено ли на устройство обновление, в котором устранены перечисленные проблемы?
В исправлении 2018-03-05 и более поздних версий устранены все проблемы, соответствующие исправлению системы безопасности 2018-03-05 и всем предыдущим исправлениям. Информацию о том, как проверить уровень исправления системы безопасности на устройстве, можно найти в статье о сроках обновления ПО.
2. Что означают сокращения в столбце Тип?
В этом столбце указан тип уязвимости по следующей классификации:
| Сокращение | Определение |
|---|---|
| RCE | Удаленное выполнение кода |
| EoP | Повышение уровня привилегий |
| ID | Раскрытие информации |
| DoS | Отказ в обслуживании |
| — | Классификация недоступна |
3. Что означает информация в столбце Ссылки?
В таблицах с описанием уязвимостей есть столбец Ссылки. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:
| Префикс | Значение |
|---|---|
| A- | Идентификатор ошибки Android |
| QC- | Ссылочный номер Qualcomm |
| M- | Ссылочный номер MediaTek |
| N- | Ссылочный номер NVIDIA |
| B- | Ссылочный номер Broadcom |
4. Что означает символ * рядом с идентификатором ошибки Android в столбце Ссылки?
Символ * означает, что исправление для уязвимости не опубликовано. Необходимое обновление обычно содержится в последних исполняемых файлах драйверов для устройств Nexus, которые можно скачать с сайта Google Developers.
5. Почему одни уязвимости описываются в этом бюллетене, а другие – в бюллетенях по безопасности Android?
В бюллетенях по безопасности Android описаны уязвимости, которые необходимо устранить для соответствия последнему уровню исправления системы безопасности Android. Решать для этого другие проблемы, например перечисленные здесь, необязательно.
Версии
| Версия | Дата | Примечания |
|---|---|---|
| 1.0 | 5 марта 2018 г. | Бюллетень опубликован. |
| 1.1 | 7 марта 2018 г. | Добавлены ссылки на AOSP, и обновлен ссылочный номер для уязвимости CVE-2017-15855. |