עדכון האבטחה הדחוף ל-Wear OS מכיל פרטים על נקודות חולשה שמשפיעות על פלטפורמת Wear OS. העדכון המלא של Wear OS כולל את רמת תיקוני האבטחה מ-2024-07-05 ואילך מחדשות האבטחה של Android מיולי 2024, בנוסף לכל הבעיות שפורטו בעדכון הזה.
אנחנו ממליצים לכל הלקוחות להתקין את העדכונים האלה במכשירים שלהם.
הבעיה החמורה ביותר היא נקודת חולשה באבטחה ברמה גבוהה ברכיב Framework, שעלולה להוביל להסלמת הרשאות מקומית ללא צורך בהרשאות ביצוע נוספות. הערכת חומרת הפגיעות מבוססת על ההשפעה האפשרית של ניצול הפגיעות על מכשיר מושפע, בהנחה שהפלטפורמה והשירותים להפחתת הסיכון מושבתים למטרות פיתוח או אם נעקפו בהצלחה.
הודעות
- בנוסף לנקודות החולשה שמתוארות בחדשות האבטחה של Android מיולי 2024, בחדשות האבטחה של Wear OS מיולי 2024 יש גם תיקונים לנקודות חולשה ספציפיות ב-Wear OS, כפי שמתואר בהמשך.
פרטים על נקודת החולשה ברמת תיקוני האבטחה – 01.07.2024
בקטעים הבאים מפורטות כל נקודות החולשה באבטחה שרלוונטיות לרמת התיקון 2024-07-01. נקודות החולשה מקובצות לפי הרכיב שהן משפיעות עליו. בטבלאות הבאות מפורטות הבעיות, כולל מזהה CVE, הפניות למקורות חיצוניים, סוג נקודת החולשה, חומרת הבעיה ומספרי הגרסאות המעודכנות של AOSP (אם רלוונטי). כשאפשר אנחנו מקשרים את התיקון שפורסם ופותר את הבעיה למזהה של הבאג, כמו ברשימת השינויים ב-AOSP. אם כמה עדכונים קשורים לאותו באג, אנחנו מקשרים מקורות נוספים למספרים שמופיעים אחרי המזהה של הבאג. במכשירים עם Android מגרסה 10 ואילך, יכול להיות שיתקבלו עדכוני אבטחה וגם עדכוני מערכת של Google Play.
מערכת
נקודת החולשה החמורה ביותר בקטע הזה עלולה להוביל להעלאת הרשאות מקומית ללא צורך בהרשאות ביצוע נוספות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2024-31338 | A-324406734 | EoP | גבוהה | 13 |
תשובות לשאלות נפוצות
בקטע הזה תמצאו תשובות לשאלות נפוצות שיכולות לעלות אחרי שתקראו את פרטי העדכון הזה.
1. איך אפשר לבדוק אם המכשיר שלי קיבל את העדכון שפותר את הבעיות האלה?
בלוח הזמנים של עדכוני מכשירי Google מוסבר איך בודקים את רמת תיקוני האבטחה במכשיר.
- תיקוני אבטחה מרמה 2024-07-01 ואילך פותרים את כל הבעיות שמשויכות להם.
יצרני מכשירים שכוללים את העדכונים האלה צריכים להגדיר את רמת מחרוזת התיקון לערך הבא:
- [ro.build.version.security_patch]:[2024-07-01]
במכשירים מסוימים עם Android מגרסה 10 ואילך, עדכון המערכת של Google Play יכלול מחרוזת תאריך שתואמת לרמת תיקון האבטחה 2024-07-01. במאמר הזה מוסבר איך להתקין עדכוני אבטחה.
2. מה המשמעות של הערכים בעמודה סוג?
הערכים בעמודה סוג בטבלת הפרטים של נקודות החולשה מתייחסים לסיווג שלהן.
| קיצור | ההגדרה |
|---|---|
| RCE | הרצת קוד מרחוק |
| EoP | רמת הרשאה גבוהה יותר |
| ID | חשיפת מידע |
| מניעת שירות (DoS) | התקפת מניעת שירות |
| N/A | אין סיווג |
3. מה המשמעות של הערכים בעמודה הפניות למקורות חיצוניים?
מידע על הערכים בעמודה הפניות למקורות חיצוניים בטבלה של פרטי נקודות החולשה: יש מקרים שבהם לערך יש תחילית שמציינת לאיזה ארגון משויך מקור המידע החיצוני.
| תחילית | מקור המידע החיצוני |
|---|---|
| A- | מזהה הבאג ב-Android |
| QC- | מספר סימוכין של Qualcomm |
| M- | מספר סימוכין של MediaTek |
| N- | מספר סימוכין של NVIDIA |
| B- | מספר סימוכין של Broadcom |
| U- | מספר סימוכין של UNISOC |
4. מה המשמעות של הכוכבית (*) לצד מזהה הבאג ב-Android בעמודה הפניות למקור חיצוני?
אם הנתונים על הבעיה לא פורסמו לציבור הרחב, יש סימן * לצד מזהה ההפניה המתאים. העדכון לבעיה הזו בדרך כלל כלול במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Pixel שזמינים באתר המפתחים של Google.
5. למה חלק מנקודות החולשה מפורטות כאן וחלק בחדשות האבטחה של מכשירים או שותפים, כמו החדשות של Pixel?
נקודות חולשה באבטחה שמתועדות בעדכון האבטחה הדחוף הזה נדרשות כדי להצהיר על רמת תיקוני האבטחה העדכנית ביותר במכשירי Android. נקודות חולשה נוספות באבטחה שמתועדות בעדכוני האבטחה הדחופים של המכשיר / השותף אינן נדרשות להצהרה על רמת תיקוני האבטחה. יצרנים של מכשירי Android וערכות שבבים עשויים לפרסם גם פרטים על פגיעויות אבטחה שספציפיות למוצרים שלהם, כמו Google, Huawei, LGE, Motorola, Nokia או Samsung.
גרסאות
| הגרסה | תאריך | הערות |
|---|---|---|
| 1.0 | 3 ביולי 2024 | עדכון האבטחה פורסם |