Bulletin de sécurité Android – Juillet 2016

Publié le 06 juillet 2016 | Mis à jour le 1er avril 2019

Le bulletin de sécurité Android contient des détails sur les vulnérabilités de sécurité affectant les appareils Android. Parallèlement au bulletin, nous avons publié une mise à jour de sécurité pour les appareils Nexus via une mise à jour en direct (OTA). Les images du micrologiciel Nexus ont également été publiées sur le site Google Developer . Les niveaux de correctifs de sécurité du 5 juillet 2016 ou ultérieurs résolvent tous les problèmes applicables dans ce bulletin. Reportez-vous à la documentation pour savoir comment vérifier le niveau du correctif de sécurité.

Les partenaires ont été informés des problèmes décrits dans le bulletin le 6 juin 2016 ou avant. Le cas échéant, des correctifs de code source pour ces problèmes ont été publiés dans le référentiel Android Open Source Project (AOSP). Ce bulletin comprend également des liens vers des correctifs extérieurs à AOSP.

Le plus grave de ces problèmes est une vulnérabilité de sécurité critique qui pourrait permettre l'exécution de code à distance sur un appareil affecté via plusieurs méthodes telles que la messagerie électronique, la navigation Web et les MMS lors du traitement de fichiers multimédias. L' évaluation de la gravité est basée sur l'effet que l'exploitation de la vulnérabilité pourrait avoir sur un appareil affecté, en supposant que les atténuations de la plate-forme et du service sont désactivées à des fins de développement ou si elles sont contournées avec succès.

Nous n'avons eu aucun rapport d'exploitation ou d'abus actif de la part des clients de ces problèmes nouvellement signalés. Reportez-vous à la section Atténuations des services Android et Google pour plus de détails sur les protections de la plate-forme de sécurité Android et les protections de service telles que SafetyNet, qui améliorent la sécurité de la plate-forme Android.

Nous encourageons tous les clients à accepter ces mises à jour sur leurs appareils.

Annonces

  • Ce bulletin définit deux chaînes de niveaux de correctifs de sécurité pour offrir aux partenaires Android la possibilité d'agir plus rapidement pour corriger un sous-ensemble de vulnérabilités similaires sur tous les appareils Android. Voir Questions et réponses courantes pour plus d'informations :
    • 2016-07-01 : chaîne de niveau de correctif de sécurité partielle. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés au 01/07/2016 sont résolus.
    • 2016-07-05 : chaîne complète de niveau de correctif de sécurité. Cette chaîne de niveau de correctif de sécurité indique que tous les problèmes associés à 2016-07-01 et 2016-07-05 sont résolus.
  • Les appareils Nexus pris en charge recevront une seule mise à jour OTA avec le niveau de correctif de sécurité du 5 juillet 2016.

Atténuations des services Android et Google

Il s'agit d'un résumé des mesures d'atténuation fournies par la plate- forme de sécurité Android et les protections de service telles que SafetyNet. Ces fonctionnalités réduisent la probabilité que les vulnérabilités de sécurité puissent être exploitées avec succès sur Android.

  • L'exploitation de nombreux problèmes sur Android est rendue plus difficile par les améliorations apportées aux nouvelles versions de la plate-forme Android. Nous encourageons tous les utilisateurs à mettre à jour la dernière version d'Android dans la mesure du possible.
  • L'équipe de sécurité Android surveille activement les abus avec Verify Apps et SafetyNet , qui sont conçus pour avertir les utilisateurs des applications potentiellement dangereuses . Vérifier les applications est activé par défaut sur les appareils avec Google Mobile Services et est particulièrement important pour les utilisateurs qui installent des applications en dehors de Google Play. Les outils d'enracinement d'appareil sont interdits dans Google Play, mais Verify Apps avertit les utilisateurs lorsqu'ils tentent d'installer une application d'enracinement détectée, quelle que soit son origine. De plus, Verify Apps tente d'identifier et de bloquer l'installation d'applications malveillantes connues qui exploitent une vulnérabilité d'élévation de privilèges. Si une telle application a déjà été installée, Verify Apps avertira l'utilisateur et tentera de supprimer l'application détectée.
  • Le cas échéant, les applications Google Hangouts et Messenger ne transmettent pas automatiquement les médias à des processus tels que Mediaserver.

Remerciements

Nous tenons à remercier ces chercheurs pour leurs contributions :

  • Abhishek Arya, Oliver Chang et Martin Barbella de l'équipe de sécurité de Google Chrome : CVE-2016-3756, CVE-2016-3741, CVE-2016-3743, CVE-2016-3742
  • Adam Donenfeld et al. de Check Point Software Technologies Ltd. : CVE-2016-2503
  • Adam Powell de Google : CVE-2016-3752
  • Alex Chapman et Paul Stone de Context Information Security : CVE-2016-3763
  • Andy Tyler ( @ticarpi ) de e2e-assure : CVE-2016-2457
  • Ben Hawkes de Google Project Zero : CVE-2016-3775
  • Chiachih Wu ( @chiachih_wu ), Yuan-Tsung Lo ( computernik@gmail.com ) et Xuxian Jiang de l'équipe C0RE : CVE-2016-3770, CVE-2016-3771, CVE-2016-3772, CVE-2016-3773, CVE-2016-3774
  • Christopher Tate de Google : CVE-2016-3759
  • Di Shen ( @returnsme ) de KeenLab ( @keen_lab ), Tencent : CVE-2016-3762
  • Gengjia Chen ( @chengjia4574 ), pjf ( weibo.com/jfpan ) de IceSword Lab, Qihoo 360 Technology Co. Ltd. : CVE-2016-3806, CVE-2016-3816, CVE-2016-3805, CVE-2016-3804 , CVE-2016-3767, CVE-2016-3810, CVE-2016-3795, CVE-2016-3796
  • Greg Kaiser de l'équipe Google Android : CVE-2016-3758
  • Guang Gong (龚广) ( @oldfresher ) de Mobile Safe Team, Qihoo 360 Technology Co. Ltd. : CVE-2016-3764
  • Hao Chen et Guang Gong de l'équipe Alpha, Qihoo 360 Technology Co. Ltd. : CVE-2016-3792, CVE-2016-3768
  • Hao Qin du laboratoire de recherche sur la sécurité, Cheetah Mobile : CVE-2016-3754, CVE-2016-3766
  • Jianqiang Zhao ( @jianqiangzhao ) et pjf ( weibo.com/jfpan ) de IceSword Lab, Qihoo 360 Technology Co. Ltd : CVE-2016-3814, CVE-2016-3802, CVE-2016-3769, CVE-2016-3807, CVE-2016-3808
  • Marco Nelissen de Google : CVE-2016-3818
  • Marque de Google Project Zero : CVE-2016-3757
  • Michal Bednarski : CVE-2016-3750
  • Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ) et Xuxian Jiang de l'équipe C0RE : CVE-2016-3747, CVE-2016-3746, CVE-2016-3765
  • Peng Xiao, Chengming Yang, Ning You, Chao Yang et Yang Ssong du groupe Alibaba Mobile Security : CVE-2016-3800, CVE-2016-3799, CVE-2016-3801, CVE-2016-3812, CVE-2016-3798
  • Peter Pi ( @heisecode ) de Trend Micro : CVE-2016-3793
  • Ricky Wai de Google : CVE-2016-3749
  • Roëland Krak : CVE-2016-3753
  • Scott Bauer ( @ScottyBauer1 ): CVE-2016-3797, CVE-2016-3813, CVE-2016-3815, CVE-2016-2501, CVE-2016-2502
  • Vasily Vasilev : CVE-2016-2507
  • Weichao Sun ( @sunblate ) d'Alibaba Inc. : CVE-2016-2508, CVE-2016-3755
  • Wen Niu ( @NWMonster ) de KeenLab ( @keen_lab ), Tencent : CVE-2016-3809
  • Xiling Gong du département de la plate-forme de sécurité de Tencent : CVE-2016-3745
  • Yacong Gu du TCA Lab, Institut des logiciels, Académie chinoise des sciences : CVE-2016-3761
  • Yongke Wang ( @Rudykewang ) de Xuanwu LAB, Tencent : CVE-2016-2505
  • Yongke Wang ( @Rudykewang ) et Wei Wei ( @Danny__Wei ) de Xuanwu LAB, Tencent : CVE-2016-2506
  • Yulong Zhang et Tao (Lenx) Wei de Baidu X-Lab : CVE-2016-3744

2016-07-01 niveau du correctif de sécurité—Détails de la vulnérabilité de sécurité

Dans les sections ci-dessous, nous fournissons des détails pour chacune des vulnérabilités de sécurité qui s'appliquent au niveau de correctif 2016-07-01. Il y a une description du problème, une justification de la gravité et un tableau avec le CVE, les références associées, la gravité, les appareils Nexus mis à jour, les versions AOSP mises à jour (le cas échéant) et la date signalée. Lorsqu'elle sera disponible, nous lierons la modification publique qui a résolu le problème à l'ID de bogue, comme la liste des modifications AOSP. Lorsque plusieurs modifications concernent un seul bogue, des références supplémentaires sont liées aux numéros suivant l'ID du bogue.

Vulnérabilité d'exécution de code à distance dans Mediaserver

Une vulnérabilité d'exécution de code à distance dans Mediaserver pourrait permettre à un attaquant utilisant un fichier spécialement conçu de provoquer une corruption de la mémoire lors du traitement du fichier multimédia et des données. Ce problème est classé critique en raison de la possibilité d'exécution de code à distance dans le contexte du processus Mediaserver. Le processus Mediaserver a accès aux flux audio et vidéo, ainsi qu'à des privilèges auxquels les applications tierces ne pourraient normalement pas accéder.

La fonctionnalité concernée est fournie en tant que partie centrale du système d'exploitation et il existe plusieurs applications qui permettent d'y accéder avec du contenu à distance, notamment la lecture de médias par MMS et navigateur.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-2506 A-28175045 Critique Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11 avril 2016
CVE-2016-2505 A-28333006 Critique Tout Nexus 6.0, 6.0.1 21 avril 2016
CVE-2016-2507 A-28532266 Critique Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 2 mai 2016
CVE-2016-2508 A-28799341 [ 2 ] Critique Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 16 mai 2016
CVE-2016-3741 A-28165661 [ 2 ] Critique Tout Nexus 6.0, 6.0.1 Google interne
CVE-2016-3742 A-28165659 Critique Tout Nexus 6.0, 6.0.1 Google interne
CVE-2016-3743 A-27907656 Critique Tout Nexus 6.0, 6.0.1 Google interne

Vulnérabilité d'exécution de code à distance dans OpenSSL et BoringSSL

Une vulnérabilité d'exécution de code à distance dans OpenSSL et BoringSSL pourrait permettre à un attaquant utilisant un fichier spécialement conçu de provoquer une corruption de la mémoire lors du traitement des fichiers et des données. Ce problème est classé critique en raison de la possibilité d'exécution de code à distance dans le contexte d'un processus affecté.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-2108 A-28175332 Critique Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 3 mai 2016

Vulnérabilité d'exécution de code à distance dans Bluetooth

Une vulnérabilité d'exécution de code à distance dans Bluetooth pourrait permettre à un attaquant proximal d'exécuter du code arbitraire pendant le processus de couplage. Ce problème est classé comme élevé en raison de la possibilité d'exécution de code à distance lors de l'initialisation d'un périphérique Bluetooth.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3744 A-27930580 Haute Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 30 mars 2016

Vulnérabilité d'élévation de privilèges dans libpng

Une vulnérabilité d'élévation des privilèges dans libpng pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'une application système élevée. Ce problème est classé comme élevé car il pourrait être utilisé pour obtenir un accès local à des fonctionnalités élevées, telles que les privilèges d'autorisation Signature ou SignatureOrSystem , qui ne sont pas accessibles à une application tierce.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3751 A-23265085 Haute Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 3 décembre 2015

Vulnérabilité d'élévation de privilèges dans Mediaserver

Une vulnérabilité d'élévation des privilèges dans Mediaserver pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'une application système élevée. Ce problème est classé comme élevé car il pourrait être utilisé pour obtenir un accès local à des fonctionnalités élevées, telles que les privilèges d'autorisation Signature ou SignatureOrSystem , qui ne sont pas accessibles à une application tierce.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3745 A-28173666 Haute Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 10 avril 2016
CVE-2016-3746 A-27890802 Haute Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 27 mars 2016
CVE-2016-3747 A-27903498 Haute Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 28 mars 2016

Vulnérabilité d'élévation de privilèges dans les sockets

Une vulnérabilité d'élévation des privilèges dans les sockets pourrait permettre à une application malveillante locale d'accéder à des appels système en dehors de son niveau d'autorisation. Ce problème est classé comme élevé car il pourrait permettre de contourner les mesures de sécurité en place pour augmenter la difficulté des attaquants à exploiter la plate-forme.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3748 A-28171804 Haute Tout Nexus 6.0, 6.0.1 13 avril 2016

Vulnérabilité d'élévation de privilèges dans LockSettingsService

Une vulnérabilité d'élévation des privilèges dans LockSettingsService pourrait permettre à une application malveillante de réinitialiser le mot de passe de verrouillage de l'écran sans l'autorisation de l'utilisateur. Ce problème est classé comme élevé car il s'agit d'un contournement local des exigences d'interaction de l'utilisateur pour toute modification des développeurs ou des paramètres de sécurité.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3749 A-28163930 Haute Tout Nexus 6.0, 6.0.1 Google interne

Vulnérabilité d'élévation de privilèges dans les API Framework

Une vulnérabilité d'élévation des privilèges dans les API Parcels Framework pourrait permettre à une application malveillante locale de contourner les protections du système d'exploitation qui isolent les données d'application des autres applications. Ce problème est classé comme élevé car il pourrait être utilisé pour accéder à des données auxquelles l'application n'a pas accès.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3750 A-28395952 Haute Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 16 décembre 2015

Vulnérabilité d'élévation de privilèges dans le service ChooserTarget

Une vulnérabilité d'élévation des privilèges dans le service ChooserTarget pourrait permettre à une application malveillante locale d'exécuter du code dans le contexte d'une autre application. Ce problème est classé Élevé car il pourrait être utilisé pour accéder à des activités appartenant à une autre application sans autorisation.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3752 A-28384423 Haute Tout Nexus 6.0, 6.0.1 Google interne

Vulnérabilité de divulgation d'informations dans Mediaserver

Une vulnérabilité de divulgation d'informations dans Mediaserver pourrait permettre à un attaquant distant d'accéder à des données protégées normalement accessibles uniquement aux applications installées localement qui demandent une autorisation. Ce problème est classé comme élevé car il pourrait être utilisé pour accéder à des données sans autorisation.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3753 A-27210135 Haute Aucun* 4.4.4 15 février 2016

* Les appareils Nexus pris en charge qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.

Vulnérabilité de divulgation d'informations dans OpenSSL

Une vulnérabilité de divulgation d'informations dans OpenSSL pourrait permettre à un attaquant distant d'accéder à des données protégées normalement accessibles uniquement aux applications installées localement qui demandent une autorisation. Ce problème est classé comme élevé car il pourrait être utilisé pour accéder à des données sans autorisation.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-2107 A-28550804 Haute Aucun* 4.4.4, 5.0.2, 5.1.1 13 avril 2016

* Les appareils Nexus pris en charge qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.

Vulnérabilité de déni de service dans Mediaserver

Une vulnérabilité de déni de service dans Mediaserver pourrait permettre à un attaquant d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme élevé en raison de la possibilité d'un déni de service à distance temporaire.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3754 A-28615448 [ 2 ] Haute Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 5 mai 2016
CVE-2016-3755 A-28470138 Haute Tout Nexus 6.0, 6.0.1 29 avril 2016
CVE-2016-3756 A-28556125 Haute Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google interne

Vulnérabilité de déni de service dans la libc

Une vulnérabilité de déni de service dans la libc pourrait permettre à un attaquant d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme élevé en raison de la possibilité d'un déni de service à distance.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3818 A-28740702 [ 2 ] Haute Aucun* 4.4.4 Google interne

* Les appareils Nexus pris en charge qui ont installé toutes les mises à jour disponibles ne sont pas affectés par cette vulnérabilité.

Vulnérabilité d'élévation de privilèges dans lsof

Une vulnérabilité d'élévation des privilèges dans lsof pourrait permettre à une application malveillante locale d'exécuter du code arbitraire qui pourrait conduire à une compromission permanente de l'appareil. Ce problème est classé comme modéré, car il nécessite des étapes manuelles peu courantes.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3757 A-28175237 Modéré Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11 avril 2016

Vulnérabilité d'élévation de privilèges dans DexClassLoader

Une vulnérabilité d'élévation des privilèges dans DexClassLoader pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte d'un processus privilégié. Ce problème est classé comme modéré, car il nécessite des étapes manuelles peu courantes.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3758 A-27840771 Modéré Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google interne

Vulnérabilité d'élévation de privilèges dans les API Framework

Une vulnérabilité d'élévation des privilèges dans les API Framework pourrait permettre à une application malveillante locale de demander des autorisations de sauvegarde et d'intercepter toutes les données de sauvegarde. Ce problème est classé comme modéré car il nécessite des autorisations spécifiques pour contourner les protections du système d'exploitation qui isolent les données d'application des autres applications.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3759 A-28406080 Modéré Tout Nexus 5.0.2, 5.1.1, 6.0, 6.0.1 Google interne

Vulnérabilité d'élévation de privilèges dans Bluetooth

Une vulnérabilité d'élévation des privilèges dans le composant Bluetooth pourrait permettre à un attaquant local d'ajouter un appareil Bluetooth authentifié qui persiste pour l'utilisateur principal. Ce problème est classé comme modéré, car il pourrait être utilisé pour obtenir des fonctionnalités élevées sans l'autorisation explicite de l'utilisateur.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3760 A-27410683 [ 2 ] [ 3 ] Modéré Tout Nexus 5.0.2, 5.1.1, 6.0, 6.0.1 29 février 2016

Vulnérabilité d'élévation de privilèges dans NFC

Une vulnérabilité d'élévation des privilèges dans NFC pourrait permettre à une application d'arrière-plan locale malveillante d'accéder aux informations d'une application de premier plan. Ce problème est classé comme modéré, car il pourrait être utilisé pour obtenir des fonctionnalités élevées sans l'autorisation explicite de l'utilisateur.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3761 A-28300969 Modéré Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 20 avril 2016

Vulnérabilité d'élévation de privilèges dans les sockets

Une vulnérabilité d'élévation des privilèges dans les sockets pourrait permettre à une application malveillante locale d'accéder à certains types de sockets peu courants, entraînant éventuellement l'exécution de code arbitraire dans le contexte du noyau. Ce problème est classé comme modéré car il pourrait permettre de contourner les mesures de sécurité en place pour augmenter la difficulté des attaquants à exploiter la plate-forme.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3762 A-28612709 Modéré Tout Nexus 5.0.2, 5.1.1, 6.0, 6.0.1 21 avril 2016

Vulnérabilité de divulgation d'informations dans Proxy Auto-Config

Une vulnérabilité de divulgation d'informations dans le composant Proxy Auto-Config pourrait permettre à une application d'accéder à des informations sensibles. Ce problème est classé modéré car il pourrait être utilisé pour accéder à des données sans autorisation.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3763 A-27593919 Modéré Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 10 mars 2016

Vulnérabilité de divulgation d'informations dans Mediaserver

Une vulnérabilité de divulgation d'informations dans Mediaserver pourrait permettre à une application malveillante locale d'accéder à des informations sensibles. Ce problème est classé comme modéré, car il pourrait être utilisé pour accéder à des données sans autorisation.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3764 A-28377502 Modéré Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 25 avril 2016
CVE-2016-3765 A-28168413 Modéré Tout Nexus 6.0, 6.0.1 8 avril 2016

Vulnérabilité de déni de service dans Mediaserver

Une vulnérabilité de déni de service dans Mediaserver pourrait permettre à un attaquant d'utiliser un fichier spécialement conçu pour provoquer le blocage ou le redémarrage d'un appareil. Ce problème est classé comme modéré en raison de la possibilité d'un déni de service à distance.

CVE Références Gravité Appareils Nexus mis à jour Versions AOSP mises à jour Date du rapport
CVE-2016-3766 A-28471206 [ 2 ] Modéré Tout Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 29 avril 2016

2016-07-05 niveau du correctif de sécurité—Détails de la vulnérabilité

Dans les sections ci-dessous, nous fournissons des détails pour chacune des vulnérabilités de sécurité qui s'appliquent au niveau de correctif 2016-07-05. Il y a une description du problème, une justification de la gravité et un tableau avec le CVE, les références associées, la gravité, les appareils Nexus mis à jour, les versions AOSP mises à jour (le cas échéant) et la date signalée. Lorsqu'elle sera disponible, nous lierons la modification publique qui a résolu le problème à l'ID de bogue, comme la liste des modifications AOSP. Lorsque plusieurs modifications concernent un seul bogue, des références supplémentaires sont liées aux numéros suivant l'ID du bogue.

Vulnérabilité d'élévation de privilèges dans le pilote GPU Qualcomm

Une vulnérabilité d'élévation des privilèges dans le pilote GPU Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-2503 A-28084795* QC-CR1006067 Critique Nexus 5X, Nexus 6P 5 avril 2016
CVE-2016-2067 A-28305757 QC-CR988993 Critique Nexus 5X, Nexus 6, Nexus 6P 20 avril 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote Wi-Fi MediaTek

Une vulnérabilité d'élévation des privilèges dans le pilote Wi-Fi MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-3767 A-28169363*
M-ALPS02689526
Critique Android 1 6 avril 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le composant de performance Qualcomm

Une vulnérabilité d'élévation des privilèges dans le composant de performance Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme étant de gravité critique en raison de la possibilité d'une compromission permanente de l'appareil local, ce qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-3768 A-28172137* QC-CR1010644 Critique Nexus 5, Nexus 6, Nexus 5X, Nexus 6P, Nexus 7 (2013) 9 avril 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote vidéo NVIDIA

Une vulnérabilité d'élévation des privilèges dans le pilote vidéo NVIDIA pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-3769 A-28376656*
N-CVE20163769
Critique Nexus 9 18 avril 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans les pilotes MediaTek (spécifique à l'appareil)

Une vulnérabilité d'élévation des privilèges dans plusieurs pilotes MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-3770 A-28346752*
M-ALPS02703102
Critique Android 1 22 avril 2016
CVE-2016-3771 A-29007611*
M-ALPS02703102
Critique Android 1 22 avril 2016
CVE-2016-3772 A-29008188*
M-ALPS02703102
Critique Android 1 22 avril 2016
CVE-2016-3773 A-29008363*
M-ALPS02703102
Critique Android 1 22 avril 2016
CVE-2016-3774 A-29008609*
M-ALPS02703102
Critique Android 1 22 avril 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le système de fichiers du noyau

Une vulnérabilité d'élévation des privilèges dans le système de fichiers du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme critique en raison de la possibilité d'une compromission permanente de l'appareil local, qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-3775 A-28588279* Critique Nexus 5X, Nexus 6, Nexus 6P et Nexus Player, Pixel C 4 mai 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote USB

Une vulnérabilité d'élévation des privilèges dans le pilote USB pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme étant de gravité critique en raison de la possibilité d'une compromission permanente de l'appareil local, ce qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2015-8816 A-28712303* Critique Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Nexus Player, Pixel C 4 mai 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans les composants Qualcomm

Le tableau ci-dessous contient les vulnérabilités de sécurité affectant les composants Qualcomm, notamment le chargeur de démarrage, le pilote de caméra, le pilote de personnage, la mise en réseau, le pilote audio et le pilote vidéo.

Le plus grave de ces problèmes est classé comme critique en raison de la possibilité d'exécution de code arbitraire conduisant à la possibilité d'une compromission permanente de l'appareil local, ce qui peut nécessiter un reflashage du système d'exploitation pour réparer l'appareil.

CVE Références Gravité* Appareils Nexus mis à jour Date du rapport
CVE-2014-9795 A-28820720
QC-CR681957 [ 2 ]
Critique Nexus 5 8 août 2014
CVE-2014-9794 A-28821172
QC-CR646385
Critique Nexus 7 (2013) 8 août 2014
CVE-2015-8892 A-28822807
QC-CR902998
Critique Nexus 5X, Nexus 6P 30 décembre 2015
CVE-2014-9781 A-28410333
QC-CR556471
Haute Nexus 7 (2013) 6 février 2014
CVE-2014-9786 A-28557260
QC-CR545979
Haute Nexus 5, Nexus 7 (2013) 13 mars 2014
CVE-2014-9788 A-28573112
QC-CR548872
Haute Nexus 5 13 mars 2014
CVE-2014-9779 A-28598347
QC-CR548679
Haute Nexus 5 13 mars 2014
CVE-2014-9780 A-28602014
QC-CR542222
Haute Nexus 5, Nexus 5X, Nexus 6P 13 mars 2014
CVE-2014-9789 A-28749392
QC-CR556425
Haute Nexus 5 13 mars 2014
CVE-2014-9793 A-28821253
QC-CR580567
Haute Nexus 7 (2013) 13 mars 2014
CVE-2014-9782 A-28431531
QC-CR511349
Haute Nexus 5, Nexus 7 (2013) 31 mars 2014
CVE-2014-9783 A-28441831
QC-CR511382 [ 2 ]
Haute Nexus 7 (2013) 31 mars 2014
CVE-2014-9785 A-28469042
QC-CR545747
Haute Nexus 7 (2013) 31 mars 2014
CVE-2014-9787 A-28571496
QC-CR545764
Haute Nexus 7 (2013) 31 mars 2014
CVE-2014-9784 A-28442449
QC-CR585147
Haute Nexus 5, Nexus 7 (2013) 30 avril 2014
CVE-2014-9777 A-28598501
QC-CR563654
Haute Nexus 5, Nexus 7 (2013) 30 avril 2014
CVE-2014-9778 A-28598515
QC-CR563694
Haute Nexus 5, Nexus 7 (2013) 30 avril 2014
CVE-2014-9790 A-28769136
QC-CR545716 [ 2 ]
Haute Nexus 5, Nexus 7 (2013) 30 avril 2014
CVE-2014-9792 A-28769399
QC-CR550606
Haute Nexus 5 30 avril 2014
CVE-2014-9797 A-28821090
QC-CR674071
Haute Nexus 5 3 juil. 2014
CVE-2014-9791 A-28803396
QC-CR659364
Haute Nexus 7 (2013) 29 août 2014
CVE-2014-9796 A-28820722
QC-CR684756
Haute Nexus 5, Nexus 7 (2013) 30 septembre 2014
CVE-2014-9800 A-28822150
QC-CR692478
Haute Nexus 5, Nexus 7 (2013) 31 octobre 2014
CVE-2014-9799 A-28821731
QC-CR691916
Haute Nexus 5, Nexus 7 (2013) 31 octobre 2014
CVE-2014-9801 A-28822060
QC-CR705078
Haute Nexus 5 28 novembre 2014
CVE-2014-9802 A-28821965
QC-CR705108
Haute Nexus 5, Nexus 7 (2013) 31 décembre 2014
CVE-2015-8891 A-28842418
QC-CR813930
Haute Nexus 5, Nexus 7 (2013) 29 mai 2015
CVE-2015-8888 A-28822465
QC-CR813933
Haute Nexus 5 30 juin 2015
CVE-2015-8889 A-28822677
QC-CR804067
Haute Nexus 6P 30 juin 2015
CVE-2015-8890 A-28822878
QC-CR823461
Haute Nexus 5, Nexus 7 (2013) 19 août 2015

* L'indice de gravité de ces problèmes est fourni directement par Qualcomm.

Vulnérabilité d'élévation de privilèges dans le pilote USB Qualcomm

Une vulnérabilité d'élévation des privilèges dans le pilote USB Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-2502 A-27657963 QC-CR997044 Haute Nexus 5X, Nexus 6P 11 mars 2016

Vulnérabilité d'élévation de privilèges dans le pilote Wi-Fi Qualcomm

Une vulnérabilité d'élévation des privilèges dans le pilote Wi-Fi Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-3792 A-27725204 QC-CR561022 Haute Nexus 7 (2013) 17 mars 2016

Vulnérabilité d'élévation de privilèges dans le pilote de caméra Qualcomm

Une vulnérabilité d'élévation des privilèges dans le pilote de caméra Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-2501 A-27890772* QC-CR1001092 Haute Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013) 27 mars 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote de caméra NVIDIA

Une vulnérabilité d'élévation des privilèges dans le pilote de caméra NVIDIA pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-3793 A-28026625*
N-CVE20163793
Haute Nexus 9 5 avril 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote d'alimentation MediaTek

Une élévation de privilèges dans le pilote d'alimentation MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-3795 A-28085222*
M-ALPS02677244
Haute Android 1 7 avril 2016
CVE-2016-3796 A-29008443*
M-ALPS02677244
Haute Android 1 7 avril 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote Wi-Fi Qualcomm

Une vulnérabilité d'élévation des privilèges dans le pilote Wi-Fi Qualcomm pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-3797 A-28085680* QC-CR1001450 Haute Nexus 5X 7 avril 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote de capteur matériel MediaTek

Une vulnérabilité d'élévation des privilèges dans le pilote du capteur matériel MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-3798 A-28174490*
M-ALPS02703105
Haute Android 1 11 avril 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote vidéo MediaTek

Une vulnérabilité d'élévation des privilèges dans le pilote vidéo MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-3799 A-28175025*
M-ALPS02693738
Haute Android 1 11 avril 2016
CVE-2016-3800 A-28175027*
M-ALPS02693739
Haute Android 1 11 avril 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le pilote GPS MediaTek

Une vulnérabilité d'élévation des privilèges dans le pilote GPS MediaTek pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. Ce problème est classé comme élevé car il nécessite d'abord de compromettre un processus privilégié.

CVE Références Gravité Appareils Nexus mis à jour Date du rapport
CVE-2016-3801 A-28174914*
M-ALPS02688853
Haute Android 1 11 avril 2016

* Le correctif pour ce problème n'est pas accessible au public. La mise à jour est contenue dans les derniers pilotes binaires pour les appareils Nexus disponibles sur le site Google Developer .

Vulnérabilité d'élévation de privilèges dans le système de fichiers du noyau

Une vulnérabilité d'élévation des privilèges dans le système de fichiers du noyau pourrait permettre à une application malveillante locale d'exécuter du code arbitraire dans le contexte du noyau. This issue is rated as High because it first requires compromising a privileged process.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2016-3802 A-28271368* Haute Nexus 9 Apr 19, 2016
CVE-2016-3803 A-28588434* Haute Nexus 5X, Nexus 6P May 4, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in MediaTek power management driver

An elevation of privilege in the MediaTek power management driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2016-3804 A-28332766*
M-ALPS02694410
Haute Android One Apr 20, 2016
CVE-2016-3805 A-28333002*
M-ALPS02694412
Haute Android One Apr 21, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in MediaTek display driver

An elevation of privilege vulnerability in the MediaTek display driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2016-3806 A-28402341*
M-ALPS02715341
Haute Android One Apr 26, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in serial peripheral interface driver

An elevation of privilege vulnerability in the serial peripheral interface driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2016-3807 A-28402196* Haute Nexus 5X, Nexus 6P Apr 26, 2016
CVE-2016-3808 A-28430009* Haute Pixel C Apr 26, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in Qualcomm sound driver

An elevation of privilege vulnerability in the Qualcomm sound driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High severity because it first requires compromising a privileged process.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2016-2068 A-28470967 QC-CR1006609 Haute Nexus 5, Nexus 5X, Nexus 6, Nexus 6P Apr 28, 2016

Elevation of privilege vulnerability in kernel

An elevation of privilege vulnerability in the kernel could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2014-9803 A-28557020
Upstream kernel
Haute Nexus 5X, Nexus 6P Google internal

Information disclosure vulnerability in networking component

An information disclosure vulnerability in the networking component could enable a local malicious application to access data outside of its permission levels. This issue is rated as High because it could be used to access sensitive data without explicit user permission.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2016-3809 A-27532522* Haute All Nexus Mar 5, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Information disclosure vulnerability in MediaTek Wi-Fi driver

An information disclosure vulnerability in the MediaTek Wi-Fi driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as High because it could be used to access sensitive data without explicit user permission.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2016-3810 A-28175522*
M-ALPS02694389
Haute Android One Apr 12, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in kernel video driver

An elevation of privilege vulnerability in the kernel video driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2016-3811 A-28447556* Modéré Nexus 9 Google internal

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Information disclosure vulnerability in MediaTek video codec driver

An information disclosure vulnerability in the MediaTek video codec driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2016-3812 A-28174833*
M-ALPS02688832
Modéré Android One Apr 11, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Information disclosure vulnerability in Qualcomm USB driver

An information disclosure vulnerability in the Qualcomm USB driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2016-3813 A-28172322* QC-CR1010222 Modéré Nexus 5, Nexus 5X, Nexus 6, Nexus 6P Apr 11, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Information disclosure vulnerability in NVIDIA camera driver

An information disclosure vulnerability in the NVIDIA camera driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2016-3814 A-28193342*
N-CVE20163814
Modéré Nexus 9 Apr 14, 2016
CVE-2016-3815 A-28522274*
N-CVE20163815
Modéré Nexus 9 May 1, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Information disclosure vulnerability in MediaTek display driver

An information disclosure vulnerability in the MediaTek display driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2016-3816 A-28402240* Modéré Android One Apr 26, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Information disclosure vulnerability in kernel teletype driver

An information disclosure vulnerability in the teletype driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2016-0723 A-28409131
Upstream kernel
Modéré Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Nexus Player, Pixel C Apr 26, 2016

Denial of service vulnerability in Qualcomm bootloader

A denial of service vulnerability in the Qualcomm bootloader could enable a local malicious application to cause a local permanent device compromise, which may require reflashing the operating system to repair the device. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE Références Gravité Updated Nexus devices Date reported
CVE-2014-9798 A-28821448 QC-CR681965 Modéré Nexus 5 Oct 31, 2014
CVE-2015-8893 A-28822690 QC-CR822275 Modéré Nexus 5, Nexus 7 (2013) Aug 19, 2015

Questions et réponses courantes

Cette section répond aux questions courantes qui peuvent survenir après la lecture de ce bulletin.

1. Comment puis-je déterminer si mon appareil est mis à jour pour résoudre ces problèmes ?

Security Patch Levels of 2016-07-01 or later address all issues associated with the 2016-7-01 security patch string level. Security Patch Levels of 2016-07-05 or later address all issues associated with the 2016-07-05 security patch string level. Refer to the help center for instructions on how to check the security patch level. Device manufacturers that include these updates should set the patch string level to: [ro.build.version.security_patch]:[2016-07-01] or [ro.build.version.security_patch]:[2016-07-05].

2. Why does this bulletin have two security patch level strings?

This bulletin has two security patch level strings in order to provide Android partners with the flexibility to move more quickly to fix a subset of vulnerabilities that are similar across all Android devices. Android partners are encouraged to fix all issues in this bulletin and use the latest security patch level string.

Devices that use the security patch level of July 5, 2016 or newer must include all applicable patches in this (and previous) security bulletins.

Devices that use the July 1, 2016 security patch level must include all issues associated with that security patch level, as well as fixes for all issues reported in previous security bulletins. Devices that use July 1, 2016 security patch level may also include a subset of fixes associated with the July 5, 2016 security patch level.

3. How do I determine which Nexus devices are affected by each issue?

In the 2016-07-01 and 2016-07-05 security vulnerability details sections, each table has an Updated Nexus devices column that covers the range of affected Nexus devices updated for each issue. This column has a few options:

  • All Nexus devices : If an issue affects all Nexus devices, the table will have “All Nexus” in the Updated Nexus devices column. “All Nexus” encapsulates the following supported devices : Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player, and Pixel C.
  • Some Nexus devices : If an issue doesn't affect all Nexus devices, the affected Nexus devices are listed in the Updated Nexus devices column.
  • No Nexus devices : If no Nexus devices are affected by the issue, the table will have “None” in the Updated Nexus devices column.

4. What do the entries in the references column map to?

Les entrées sous la colonne Références du tableau des détails de la vulnérabilité peuvent contenir un préfixe identifiant l'organisation à laquelle appartient la valeur de référence. These prefixes map as follows:

Préfixe Référence
UN- ID de bogue Android
QC- Numéro de référence Qualcomm
M- Numéro de référence MediaTek
N- Numéro de référence NVIDIA

Revisions

  • July 06, 2016: Bulletin published.
  • July 07, 2016:
    • Added AOSP links.
    • Removed CVE-2016-3794 because it is a duplicate of CVE-2016-3814
    • Added attribution for CVE-2016-2501 and CVE-2016-2502
  • July 11, 2016: Updated attribution for CVE-2016-3750
  • July 14, 2016: Updated attribution for CVE-2016-2503
  • April 1, 2019: Updated patch links for CVE-2016-3818