Google is committed to advancing racial equity for Black communities. See how.
Esta página foi traduzida pela API Cloud Translation.
Switch to English

Boletim de segurança do Android - novembro de 2016

Publicado em 07 de novembro de 2016 | Atualizado em 21 de dezembro de 2016

O Boletim de Segurança do Android contém detalhes de vulnerabilidades de segurança que afetam dispositivos Android. Juntamente com o boletim, lançamos uma atualização de segurança para dispositivos do Google por meio de uma atualização over-the-air (OTA). As imagens de firmware do dispositivo Google também foram lançadas no site Google Developer . Os níveis de patch de segurança de 6 de novembro de 2016 ou posterior tratam de todos esses problemas. Consulte a programação de atualização do Pixel e Nexus para saber como verificar o nível de patch de segurança de um dispositivo.

Os parceiros foram notificados sobre os problemas descritos no boletim em 20 de outubro de 2016 ou antes. Quando aplicável, os patches de código-fonte para esses problemas foram lançados no repositório Android Open Source Project (AOSP). Este boletim também inclui links para patches fora do AOSP.

O mais grave desses problemas é uma vulnerabilidade de segurança crítica que pode permitir a execução remota de código em um dispositivo afetado por meio de vários métodos, como email, navegação na Web e MMS, ao processar arquivos de mídia. A avaliação da gravidade é baseada no efeito que a exploração da vulnerabilidade possivelmente teria em um dispositivo afetado, assumindo que a plataforma e as atenuações do serviço estão desabilitadas para fins de desenvolvimento ou se contornadas com sucesso.

Não recebemos relatórios de exploração ativa do cliente ou abuso desses problemas relatados recentemente. Consulte a seção de mitigações de serviço Android e Google para obter detalhes sobre as proteções da plataforma de segurança Android e proteções de serviço, como SafetyNet , que melhoram a segurança da plataforma Android.

Incentivamos todos os clientes a aceitar essas atualizações em seus dispositivos.

Anúncios

  • Com a introdução dos dispositivos Pixel e Pixel XL, o termo para todos os dispositivos suportados pelo Google é "dispositivos Google" em vez de "dispositivos Nexus".
  • Este boletim tem três níveis de patch de segurança para fornecer aos parceiros Android a flexibilidade para corrigir mais rapidamente um subconjunto de vulnerabilidades que são semelhantes em todos os dispositivos Android. Consulte Perguntas e respostas comuns para obter informações adicionais:
    • 01-11-2016 : Nível de patch de segurança parcial. Este nível de patch de segurança indica que todos os problemas associados a 2016-11-01 (e todos os níveis de patch de segurança anteriores) foram resolvidos.
    • 05-11-2016 : Nível de patch de segurança completo. Este nível de patch de segurança indica que todos os problemas associados a 2016-11-01 e 2016-11-05 (e todos os níveis de patch de segurança anteriores) foram resolvidos.
    • Níveis de patch de segurança suplementar

      Níveis de patch de segurança suplementares são fornecidos para identificar dispositivos que contêm correções para problemas que foram divulgados publicamente depois que o nível de patch foi definido. A solução dessas vulnerabilidades recentemente divulgadas não é necessária até o nível do patch de segurança 2016-12-01.

      • 06-11-2016 : Este nível de patch de segurança indica que o dispositivo resolveu todos os problemas associados a 05-11-2016 e CVE-2016-5195, que foi divulgado publicamente em 19 de outubro de 2016.
  • Os dispositivos compatíveis do Google receberão uma única atualização OTA com o nível de patch de segurança de 5 de novembro de 2016.

Reduções de serviço do Android e do Google

Este é um resumo das atenuações fornecidas pela plataforma de segurança Android e proteções de serviço, como SafetyNet. Esses recursos reduzem a probabilidade de que as vulnerabilidades de segurança possam ser exploradas com êxito no Android.

  • A exploração de muitos problemas no Android é dificultada pelos aprimoramentos nas versões mais recentes da plataforma Android. Incentivamos todos os usuários a atualizar para a versão mais recente do Android sempre que possível.
  • A equipe de segurança do Android monitora ativamente o abuso com Verify Apps e SafetyNet , que são projetados para alertar os usuários sobre aplicativos potencialmente nocivos . Verificar aplicativos é habilitado por padrão em dispositivos com Google Mobile Services e é especialmente importante para usuários que instalam aplicativos de fora do Google Play. As ferramentas de rooting do dispositivo são proibidas no Google Play, mas o Verify Apps avisa os usuários quando eles tentam instalar um aplicativo de rooting detectado, não importa de onde ele venha. Além disso, o Verify Apps tenta identificar e bloquear a instalação de aplicativos mal-intencionados conhecidos que exploram uma vulnerabilidade de escalonamento de privilégios. Se tal aplicativo já tiver sido instalado, o Verify Apps notificará o usuário e tentará remover o aplicativo detectado.
  • Conforme apropriado, os aplicativos Google Hangouts e Messenger não passam mídia automaticamente para processos como o Mediaserver.

Reconhecimentos

Gostaríamos de agradecer a esses pesquisadores por suas contribuições:

  • Abhishek Arya, Oliver Chang e Martin Barbella da equipe de segurança do Google Chrome: CVE-2016-6722
  • Andrei Kapishnikov e Miriam Gershenson do Google: CVE-2016-6703
  • Ao Wang ( @ArayzSegment ) e Zinuo Han do PKAV , Silence Information Technology: CVE-2016-6700, CVE-2016-6702
  • Askyshang do Departamento de Plataforma de Segurança, Tencent: CVE-2016-6713
  • Billy Lau do Android Security: CVE-2016-6737
  • Constantinos Patsakis e Efthimios Alepis da Universidade de Pireu: CVE-2016-6715
  • dragonltx da equipe de segurança móvel Alibaba: CVE-2016-6714
  • Gal Beniamini do Projeto Zero: CVE-2016-6707, CVE-2016-6717
  • Gengjia Chen ( @ chengjia4574 ) e pjf do IceSword Lab, Qihoo 360 Technology Co. Ltd .: CVE-2016-6725, CVE-2016-6738, CVE-2016-6740, CVE-2016-6741, CVE-2016-6742, CVE-2016-6744, CVE-2016-6745, CVE-2016-3906
  • Guang Gong (龚 广) ( @oldfresher ) da Alpha Team, Qihoo 360 Technology Co. Ltd .: CVE-2016-6754
  • Jianqiang Zhao ( @jianqiangzhao ) e pjf do IceSword Lab, Qihoo 360 Technology Co. Ltd .: CVE-2016-6739, CVE-2016-3904, CVE-2016-3907, CVE-2016-6698
  • Marco Grassi ( @marcograss ) do Keen Lab of Tencent ( @keen_lab ): CVE-2016-6828
  • Marca Marca do Projeto Zero: CVE-2016-6706
  • Mark Renouf do Google: CVE-2016-6724
  • Michał Bednarski ( github.com/michalbednarski ): CVE-2016-6710
  • Min Chong de Android Security: CVE-2016-6743
  • Peter Pi ( @heisecode ) da Trend Micro: CVE-2016-6721
  • Qidan He (何 淇 丹) ( @flanker_hqd ) e Gengming Liu (刘 耕 铭) ( @dmxcsnsbh ) de KeenLab, Tencent: CVE-2016-6705
  • Robin Lee do Google: CVE-2016-6708
  • Scott Bauer ( @ ScottyBauer1 ): CVE-2016-6751
  • Sergey Bobrov ( @ Black2Fan ) da Kaspersky Lab: CVE-2016-6716
  • Seven Shen ( @lingtongshen ) da Trend Micro Mobile Threat Research Team: CVE-2016-6748, CVE-2016-6749, CVE-2016-6750, CVE-2016-6753
  • Victor van der Veen, Herbert Bos, Kaveh Razavi e Cristiano Giuffrida da Vrije Universiteit Amsterdam e Yanick Fratantonio, Martina Lindorfer e Giovanni Vigna da University of California, Santa Barbara: CVE-2016-6728
  • Weichao Sun ( @sunblate ) da Alibaba Inc: CVE-2016-6712, CVE-2016-6699, CVE-2016-6711
  • Wenke Dou ( vancouverdou@gmail.com ), Chiachih Wu ( @chiachih_wu ) e Xuxian Jiang da equipe C0RE : CVE-2016-6720
  • Wish Wu (吴 潍 浠) ( @wish_wu ) da Trend Micro Inc .: CVE-2016-6704
  • Yakov Shafranovich da Nightwatch Cybersecurity : CVE-2016-6723
  • Yuan-Tsung Lo , Yao Jun , Tong Lin , Chiachih Wu ( @chiachih_wu ) e Xuxian Jiang da equipe C0RE : CVE-2016-6730, CVE-2016-6732, CVE-2016-6734, CVE-2016-6736
  • Yuan-Tsung Lo , Yao Jun , Xiaodong Wang , Chiachih Wu ( @chiachih_wu ) e Xuxian Jiang da equipe C0RE : CVE-2016-6731, CVE-2016-6733, CVE-2016-6735, CVE-2016-6746

Agradecimentos adicionais a Zach Riggle, da Android Security, por suas contribuições em várias edições deste boletim.

Nível do patch de segurança de 01/11/2016 - detalhes de vulnerabilidade

Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança que se aplicam ao nível de patch 2016-11-01. Há uma descrição do problema, uma justificativa de gravidade e uma tabela com o CVE, referências associadas, gravidade, dispositivos Google atualizados, versões atualizadas do AOSP (quando aplicável) e data relatada. Quando disponível, vincularemos a alteração pública que abordou o problema ao ID do bug, como a lista de alterações do AOSP. Quando várias alterações estão relacionadas a um único bug, referências adicionais são vinculadas a números após a ID do bug.

Vulnerabilidade de execução remota de código no Mediaserver

Uma vulnerabilidade de execução remota de código no Mediaserver pode permitir que um invasor use um arquivo especialmente criado para causar corrupção de memória durante o processamento de arquivos de mídia e dados. Este problema é classificado como Crítico devido à possibilidade de execução remota de código dentro do contexto do processo Mediaserver.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6699 A-31373622 Crítico Tudo 7,0 27 de julho de 2016

Vulnerabilidade de elevação de privilégio em libzipfile

Uma vulnerabilidade de elevação de privilégio no libzipfile pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto de um processo privilegiado. Este problema é classificado como Crítico devido à possibilidade de comprometimento de um dispositivo local permanente, o que pode exigir o reflash do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6700 A-30916186 Crítico Nenhum* 4.4.4, 5.0.2, 5.1.1 17 de agosto de 2016

* Dispositivos Google com suporte no Android 7.0 ou posterior que tenham instalado todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de execução remota de código no Skia

Uma vulnerabilidade de execução remota de código no libskia pode permitir que um invasor use um arquivo especialmente criado para causar corrupção de memória durante o processamento de arquivos de mídia e dados. Este problema é classificado como Alto devido à possibilidade de execução remota de código dentro do contexto do processo de galeria.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6701 A-30190637 Alto Tudo 7,0 Interno do Google

Vulnerabilidade de execução remota de código em libjpeg

Uma vulnerabilidade de execução remota de código em libjpeg pode permitir que um invasor usando um arquivo especialmente criado execute código arbitrário no contexto de um processo sem privilégios. Este problema é classificado como Alto devido à possibilidade de execução remota de código em um aplicativo que usa libjpeg.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6702 A-30259087 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1 19 de julho de 2016

* Dispositivos Google com suporte no Android 7.0 ou posterior que tenham instalado todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de execução remota de código no Android runtime

Uma vulnerabilidade de execução remota de código em uma biblioteca de tempo de execução do Android pode permitir que um invasor, usando uma carga útil especialmente criada, execute código arbitrário no contexto de um processo sem privilégios. Este problema é classificado como Alto devido à possibilidade de execução remota de código em um aplicativo que usa o Android runtime.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6703 A-30765246 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Interno do Google

* Os dispositivos Google com suporte no Android 7.0 ou posterior que tenham instalado todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de elevação de privilégio no Mediaserver

Uma vulnerabilidade de elevação de privilégio no Mediaserver pode permitir que um aplicativo malicioso local execute código arbitrário no contexto de um processo privilegiado. Esse problema é classificado como Alto porque pode ser usado para obter acesso local a recursos elevados, que normalmente não são acessíveis a um aplicativo de terceiros.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6704 A-30229821 [ 2 ] [ 3 ] Alto Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 19 de julho de 2016
CVE-2016-6705 A-30907212 [ 2 ] Alto Tudo 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 16 de agosto de 2016
CVE-2016-6706 A-31385713 Alto Tudo 7,0 8 de setembro de 2016

Vulnerabilidade de elevação de privilégio no System Server

Uma vulnerabilidade de elevação de privilégio no System Server pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto de um processo privilegiado. Esse problema é classificado como Alto porque pode ser usado para obter acesso local a recursos elevados, que normalmente não são acessíveis a um aplicativo de terceiros.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6707 A-31350622 Alto Tudo 6.0, 6.0.1, 7.0 7 de setembro de 2016

Vulnerabilidade de elevação de privilégio na IU do sistema

Uma elevação de privilégio na IU do sistema pode permitir que um usuário mal-intencionado local ignore o prompt de segurança de um perfil de trabalho no modo Multi-Window. Este problema é classificado como Alto porque é um desvio local dos requisitos de interação do usuário para qualquer desenvolvedor ou modificações de configuração de segurança.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6708 A-30693465 Alto Tudo 7,0 Interno do Google

Vulnerabilidade de divulgação de informações no Conscrypt

Uma vulnerabilidade de divulgação de informações no Conscrypt pode permitir que um invasor obtenha acesso a informações confidenciais se uma API de criptografia legada for usada por um aplicativo. Este problema foi classificado como Alto porque pode ser usado para acessar dados sem permissão.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6709 A-31081987 Alto Tudo 6.0, 6.0.1, 7.0 9 de outubro de 2015

Vulnerabilidade de divulgação de informações no gerenciador de download

Uma vulnerabilidade de divulgação de informações no gerenciador de download pode permitir que um aplicativo malicioso local ignore as proteções do sistema operacional que isolam os dados do aplicativo de outros aplicativos. Esse problema é classificado como Alto porque pode ser usado para obter acesso a dados aos quais o aplicativo não tem acesso.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6710 A-30537115 [ 2 ] Alto Tudo 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 30 de julho de 2016

Vulnerabilidade de negação de serviço no Bluetooth

Uma vulnerabilidade de negação de serviço no Bluetooth pode permitir que um invasor próximo bloqueie o acesso do Bluetooth a um dispositivo afetado. Este problema é classificado como Alto devido à possibilidade de negação de serviço remota.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2014-9908 A-28672558 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1 5 de maio de 2014

* Os dispositivos Google com suporte no Android 7.0 ou posterior que tenham instalado todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de negação de serviço no OpenJDK

Uma vulnerabilidade de negação de serviço remota no OpenJDK pode permitir que um invasor use um arquivo especialmente criado para travar ou reinicializar o dispositivo. Este problema é classificado como Alto devido à possibilidade de negação de serviço remota.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2015-0410 A-30703445 Alto Tudo 7,0 16 de janeiro de 2015

Vulnerabilidade de negação de serviço no Mediaserver

Uma vulnerabilidade de negação de serviço remota no Mediaserver pode permitir que um invasor use um arquivo especialmente criado para travar ou reinicializar o dispositivo. Este problema foi classificado como Alto devido à possibilidade de negação de serviço remota.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6711 A-30593765 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 1 de agosto de 2016
CVE-2016-6712 A-30593752 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 1 de agosto de 2016
CVE-2016-6713 A-30822755 Alto Tudo 6.0, 6.0.1, 7.0 11 de agosto de 2016
CVE-2016-6714 A-31092462 Alto Tudo 6.0, 6.0.1, 7.0 22 de agosto de 2016

* Os dispositivos Google com suporte no Android 7.0 ou posterior que tenham instalado todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de elevação de privilégio em APIs do Framework

Uma vulnerabilidade de elevação de privilégio nas APIs do Framework pode permitir que um aplicativo mal-intencionado local grave áudio sem a permissão do usuário. Este problema é classificado como Moderado porque é um desvio local dos requisitos de interação do usuário (acesso à funcionalidade que normalmente exigiria iniciação ou permissão do usuário).

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6715 A-29833954 Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 28 de junho de 2016

Vulnerabilidade de elevação de privilégio no AOSP Launcher

Uma vulnerabilidade de elevação de privilégio no AOSP Launcher pode permitir que um aplicativo malicioso local crie atalhos com privilégios elevados sem o consentimento do usuário. Este problema é classificado como Moderado porque é um desvio local dos requisitos de interação do usuário (acesso à funcionalidade que normalmente exigiria iniciação ou permissão do usuário).

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6716 A-30778130 Moderado Tudo 7,0 5 de agosto de 2016

Vulnerabilidade de elevação de privilégio no Mediaserver

Uma vulnerabilidade de elevação de privilégio no Mediaserver pode permitir que um aplicativo malicioso local execute código arbitrário no contexto de um processo privilegiado. Este problema é classificado como Moderado porque requer primeiro a exploração de uma vulnerabilidade separada.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6717 A-31350239 Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 7 de setembro de 2016

Vulnerabilidade de elevação de privilégio no serviço de gerente de contas

Uma vulnerabilidade de elevação de privilégio no serviço de gerenciador de contas pode permitir que um aplicativo mal-intencionado local recupere informações confidenciais sem interação do usuário. Este problema é classificado como moderado porque é um desvio local dos requisitos de interação do usuário (acesso à funcionalidade que normalmente exigiria iniciação ou permissão do usuário).

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6718 A-30455516 Moderado Tudo 7,0 Interno do Google

Vulnerabilidade de elevação de privilégio no Bluetooth

Uma vulnerabilidade de elevação de privilégio no componente Bluetooth pode permitir que um aplicativo malicioso local se emparelhe com qualquer dispositivo Bluetooth sem o consentimento do usuário. Este problema é classificado como Moderado porque é um desvio local dos requisitos de interação do usuário (acesso à funcionalidade que normalmente exigiria iniciação ou permissão do usuário).

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6719 A-29043989 [ 2 ] Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Interno do Google

Vulnerabilidade de divulgação de informações no Mediaserver

Uma vulnerabilidade de divulgação de informações no Mediaserver pode permitir que um aplicativo mal-intencionado local acesse dados fora de seus níveis de permissão. Este problema é classificado como moderado porque pode ser usado para acessar dados confidenciais sem permissão.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6720 A-29422020 [ 2 ] [ 3 ] [ 4 ] Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 15 de junho de 2016
CVE-2016-6721 A-30875060 Moderado Tudo 6.0, 6.0.1, 7.0 13 de agosto de 2016
CVE-2016-6722 A-31091777 Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 23 de agosto de 2016

Vulnerabilidade de negação de serviço no Proxy Auto Config

Uma vulnerabilidade de negação de serviço no Proxy Auto Config pode permitir que um invasor remoto use um arquivo especialmente criado para interromper ou reinicializar o dispositivo. Este problema é classificado como moderado porque requer uma configuração de dispositivo incomum.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6723 A-30100884 [ 2 ] Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 11 de julho de 2016

Vulnerabilidade de negação de serviço no Input Manager Service

Uma vulnerabilidade de negação de serviço no Input Manager Service pode permitir que um aplicativo malicioso local faça com que o dispositivo reinicie continuamente. Este problema é classificado como Moderado porque é uma negação de serviço temporária que requer uma redefinição de fábrica para ser corrigida.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6724 A-30568284 Moderado Tudo 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Interno do Google

Nível do patch de segurança 2016-11-05 - detalhes de vulnerabilidade

Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança que se aplicam ao nível de patch 2016-11-05. Há uma descrição do problema, uma justificativa de gravidade e uma tabela com o CVE, referências associadas, gravidade, dispositivos Google atualizados, versões atualizadas do AOSP (quando aplicável) e data relatada. Quando disponível, vincularemos a alteração pública que abordou o problema ao ID do bug, como a lista de alterações do AOSP. Quando várias alterações estão relacionadas a um único bug, referências adicionais são vinculadas a números após a ID do bug.

Vulnerabilidade de execução remota de código no driver de criptografia Qualcomm

Uma vulnerabilidade de execução remota de código no driver de criptografia Qualcomm pode permitir que um invasor remoto execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de execução remota de código no contexto do kernel.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6725 A-30515053
QC-CR # 1050970
Crítico Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 25 de julho de 2016

Vulnerabilidade de elevação de privilégio no sistema de arquivos kernel

Uma vulnerabilidade de elevação de privilégio no sistema de arquivos do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento de um dispositivo local permanente, o que pode exigir o reflash do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2015-8961 A-30952474
Kernel upstream
Crítico Pixel, Pixel XL 18 de outubro de 2015
CVE-2016-7911 A-30946378
Kernel upstream
Crítico Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 01 de julho de 2016
CVE-2016-7910 A-30942273
Kernel upstream
Crítico Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 29 de julho de 2016

Vulnerabilidade de elevação de privilégio no driver SCSI do kernel

Uma vulnerabilidade de elevação de privilégio no driver SCSI do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento de um dispositivo local permanente, o que pode exigir um reflash do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2015-8962 A-30951599
Kernel upstream
Crítico Pixel, Pixel XL 30 de outubro de 2015

Vulnerabilidade de elevação de privilégio no driver de mídia do kernel

Uma vulnerabilidade de elevação de privilégio no driver de mídia do kernel pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento de um dispositivo local permanente, o que pode exigir o reflash do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-7913 A-30946097
Kernel upstream
Crítico Nexus 6P, Android One, Nexus Player, Pixel, Pixel XL 28 de janeiro de 2016

Vulnerabilidade de elevação de privilégio no driver USB do kernel

Uma vulnerabilidade de elevação de privilégio no driver USB do kernel pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento do dispositivo permanente local, o que pode exigir o reflash do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-7912 A-30950866
Kernel upstream
Crítico Pixel C, Pixel, Pixel XL 14 de abril de 2016

Vulnerabilidade de elevação de privilégio no subsistema ION do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema ION do kernel pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento de um dispositivo local permanente, o que pode exigir o reflash do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6728 A-30400942 * Crítico Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 25 de julho de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google disponíveis no site Google Developer .

Vulnerabilidade de elevação de privilégio no bootloader Qualcomm

Uma vulnerabilidade de elevação de privilégio no bootloader Qualcomm pode permitir que um aplicativo malicioso local execute código arbitrário no contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento de um dispositivo local permanente, o que pode exigir o reflash do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6729 A-30977990 *
QC-CR # 977684
Crítico Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 25 de julho de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google disponíveis no site Google Developer .

Vulnerabilidade de elevação de privilégio no driver NVIDIA GPU

Uma vulnerabilidade de elevação de privilégio no driver NVIDIA GPU pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento de um dispositivo local permanente, o que pode exigir o reflash do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6730 A-30904789 *
N-CVE-2016-6730
Crítico Pixel C 16 de agosto de 2016
CVE-2016-6731 A-30906023 *
N-CVE-2016-6731
Crítico Pixel C 16 de agosto de 2016
CVE-2016-6732 A-30906599 *
N-CVE-2016-6732
Crítico Pixel C 16 de agosto de 2016
CVE-2016-6733 A-30906694 *
N-CVE-2016-6733
Crítico Pixel C 16 de agosto de 2016
CVE-2016-6734 A-30907120 *
N-CVE-2016-6734
Crítico Pixel C 16 de agosto de 2016
CVE-2016-6735 A-30907701 *
N-CVE-2016-6735
Crítico Pixel C 16 de agosto de 2016
CVE-2016-6736 A-30953284 *
N-CVE-2016-6736
Crítico Pixel C 18 de agosto de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google disponíveis no site Google Developer .

Vulnerabilidade de elevação de privilégio no subsistema de rede do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema de rede do kernel pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento de um dispositivo local permanente, o que pode exigir o reflash do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6828 A-31183296
Kernel upstream
Crítico Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 18 de agosto de 2016

Vulnerabilidade de elevação de privilégio no subsistema de som do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema de som do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento de um dispositivo local permanente, o que pode exigir o reflash do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-2184 A-30952477
Kernel upstream
Crítico Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 31 de março de 2016

Vulnerabilidade de elevação de privilégio no subsistema ION do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema ION do kernel pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento de um dispositivo local permanente, o que pode exigir o reflash do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6737 A-30928456 * Crítico Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel C, Nexus Player, Pixel, Pixel XL Interno do Google

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google disponíveis no site Google Developer .

Vulnerabilidades em componentes Qualcomm

A tabela abaixo contém vulnerabilidades de segurança que afetam os componentes da Qualcomm e são descritas em mais detalhes no boletim de segurança Qualcomm AMSS de junho de 2016 e no Alerta de segurança 80-NV606-17.

CVE Referências Gravidade* Dispositivos Google atualizados Data relatada
CVE-2016-6727 A-31092400 ** Crítico Android One Qualcomm interno
CVE-2016-6726 A-30775830 ** Alto Nexus 6, Android One Qualcomm interno

* A classificação de gravidade para essas vulnerabilidades foi determinada pelo fornecedor.

** O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google disponíveis no site Google Developer .

Vulnerabilidade de execução remota de código no Expat

A tabela abaixo contém vulnerabilidades de segurança que afetam a biblioteca Expat. O mais grave desses problemas é uma vulnerabilidade de elevação de privilégio no analisador XML Expat, que pode permitir que um invasor usando um arquivo especialmente criado execute código arbitrário em um processo sem privilégios. Este problema é classificado como Alto devido à possibilidade de execução arbitrária de código em um aplicativo que usa Expat.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-0718 A-28698301 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 10 de maio de 2016
CVE-2012-6702 A-29149404 Moderado Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 6 de março de 2016
CVE-2016-5300 A-29149404 Moderado Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 04 de junho de 2016
CVE-2015-1283 A-27818751 Baixo Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 24 de julho de 2015

* Os dispositivos Google com suporte no Android 7.0 ou posterior que tenham instalado todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de execução remota de código no Webview

Uma vulnerabilidade de execução remota de código no Webview pode permitir que um invasor remoto execute um código arbitrário quando o usuário estiver navegando para um site. Este problema é classificado como Alto devido à possibilidade de execução remota de código em um processo sem privilégios.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2016-6754 A-31217937 Alto Nenhum* 5.0.2, 5.1.1, 6.0, 6.0.1 23 de agosto de 2016

* Dispositivos Google com suporte no Android 7.0 ou posterior que tenham instalado todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de execução remota de código no Freetype

Uma vulnerabilidade de execução remota de código no Freetype pode permitir que um aplicativo mal-intencionado local carregue uma fonte especialmente criada para causar corrupção de memória em um processo sem privilégios. Este problema é classificado como Alto devido à possibilidade de execução remota de código em aplicativos que usam Freetype.

CVE Referências Gravidade Dispositivos Google atualizados Versões atualizadas de AOSP Data relatada
CVE-2014-9675 A-24296662 [ 2 ] Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Interno do Google

* Os dispositivos Google com suporte no Android 7.0 ou posterior que tenham instalado todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de elevação de privilégio no subsistema de desempenho do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema de desempenho do kernel pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Alto porque primeiro requer o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2015-8963 A-30952077
Kernel upstream
Alto Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 15 de dezembro de 2015

Vulnerabilidade de elevação de privilégio no subsistema de auditoria de chamada de sistema do kernel

An elevation of privilege vulnerability in the kernel system-call auditing subsystem could enable a local malicious application to disrupt system-call auditing in the kernel. This issue is rated as High because it is a general bypass for a kernel-level defense in depth or exploit mitigation technology.

CVE References Severity Updated Google devices Date reported
CVE-2016-6136 A-30956807
Upstream kernel
High Android One, Pixel C, Nexus Player Jul 1, 2016

Elevation of privilege vulnerability in Qualcomm crypto engine driver

An elevation of privilege vulnerability in the Qualcomm crypto engine driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2016-6738 A-30034511
QC-CR#1050538
High Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Jul 7, 2016

Elevation of privilege vulnerability in Qualcomm camera driver

An elevation of privilege vulnerability in the Qualcomm camera driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2016-6739 A-30074605*
QC-CR#1049826
High Nexus 5X, Nexus 6P, Pixel, Pixel XL Jul 11, 2016
CVE-2016-6740 A-30143904
QC-CR#1056307
High Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Jul 12, 2016
CVE-2016-6741 A-30559423
QC-CR#1060554
High Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Jul 28, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Google devices available from the Google Developer site .

Elevation of privilege vulnerability in Qualcomm bus driver

An elevation of privilege vulnerability in the Qualcomm bus driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2016-3904 A-30311977
QC-CR#1050455
High Nexus 5X, Nexus 6P, Pixel, Pixel XL Jul 22, 2016

Elevation of privilege vulnerability in Synaptics touchscreen driver

An elevation of privilege vulnerability in the Synaptics touchscreen driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2016-6742 A-30799828* High Nexus 5X, Android One Aug 9, 2016
CVE-2016-6744 A-30970485* High Nexus 5X Aug 19, 2016
CVE-2016-6745 A-31252388* High Nexus 5X, Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL Sep 1, 2016
CVE-2016-6743 A-30937462* High Nexus 9, Android One Google internal

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Google devices available from the Google Developer site .

Information disclosure vulnerability in kernel components

An information disclosure vulnerability in kernel components, including the human interface device driver, file system, and Teletype driver, could enable a local malicious application to access data outside of its permission levels. This issue is rated as High because it could be used to access sensitive data without explicit user permission.

CVE References Severity Updated Google devices Date reported
CVE-2015-8964 A-30951112
Upstream kernel
High Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL Nov 27, 2015
CVE-2016-7915 A-30951261
Upstream kernel
High Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL Jan 19, 2016
CVE-2016-7914 A-30513364
Upstream kernel
High Pixel C, Pixel, Pixel XL Apr 06, 2016
CVE-2016-7916 A-30951939
Upstream kernel
High Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL May 05, 2016

Information disclosure vulnerability in NVIDIA GPU driver

An information disclosure vulnerability in the NVIDIA GPU driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as High because it could be used to access sensitive data without explicit user permission.

CVE References Severity Updated Google devices Date reported
CVE-2016-6746 A-30955105*
N-CVE-2016-6746
High Pixel C Aug 18, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Google devices available from the Google Developer site .

Denial of service vulnerability in Mediaserver

A denial of service vulnerability in Mediaserver could enable an attacker to use a specially crafted file to cause a device hang or reboot. This issue is rated as High due to the possibility of remote denial of service.

CVE References Severity Updated Google devices Date reported
CVE-2016-6747 A-31244612*
N-CVE-2016-6747
High Nexus 9 Google internal

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Google devices available from the Google Developer site .

Information disclosure vulnerability in kernel components

An information disclosure vulnerability in kernel components, including the process-grouping subsystem and the networking subsystem, could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2016-7917 A-30947055
Upstream kernel
Moderate Pixel C, Pixel, Pixel XL Feb 02, 2016
CVE-2016-6753 A-30149174* Moderate Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player, Pixel, Pixel XL Jul 13, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Google devices available from the Google Developer site .

Information disclosure vulnerability in Qualcomm components

An information disclosure vulnerability in Qualcomm components including the GPU driver, power driver, SMSM Point-to-Point driver, and sound driver, could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2016-6748 A-30076504
QC-CR#987018
Moderate Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Jul 12, 2016
CVE-2016-6749 A-30228438
QC-CR#1052818
Moderate Nexus 5X, Nexus 6P, Pixel, Pixel XL Jul 12, 2016
CVE-2016-6750 A-30312054
QC-CR#1052825
Moderate Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Jul 21, 2016
CVE-2016-3906 A-30445973
QC-CR#1054344
Moderate Nexus 5X, Nexus 6P Jul 27, 2016
CVE-2016-3907 A-30593266
QC-CR#1054352
Moderate Nexus 5X, Nexus 6P, Pixel, Pixel XL Aug 2, 2016
CVE-2016-6698 A-30741851
QC-CR#1058826
Moderate Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL Aug 2, 2016
CVE-2016-6751 A-30902162*
QC-CR#1062271
Moderate Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Aug 15, 2016
CVE-2016-6752 A-31498159
QC-CR#987051
Moderate Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Google internal

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Google devices available from the Google Developer site .

2016-11-06 security patch level—Vulnerability details

In the sections below, we provide details for each of the security vulnerabilities listed in the 2016-11-06 security patch level—Vulnerability summary above. There is a description of the issue, a severity rationale, and a table with the CVE, associated references, severity, updated Google devices, updated AOSP versions (where applicable), and date reported. When available, we will link the public change that addressed the issue to the bug ID, like the AOSP change list. When multiple changes relate to a single bug, additional references are linked to numbers following the bug ID.

Elevation of privilege vulnerability in kernel memory subsystem

An elevation of privilege vulnerability in the kernel memory subsystem could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as Critical due to the possibility of a local permanent device compromise, which may require reflashing the operating system to repair the device.

Note: A security patch level of 2016-11-06 indicates that this issue, as well as all issues associated with 2016-11-01 and 2016-11-05 are addressed.

CVE References Severity Updated kernel versions Date reported
CVE-2016-5195 A-32141528
Upstream kernel [ 2 ]
Critical 3.10, 3.18 Oct 12, 2016

Common Questions and Answers

This section answers common questions that may occur after reading this bulletin.

1. How do I determine if my device is updated to address these issues?

To learn how to check a device's security patch level, read the instructions on the Pixel and Nexus update schedule .

  • Security patch levels of 2016-11-01 or later address all issues associated with the 2016-11-01 security patch level.
  • Security patch levels of 2016-11-05 or later address all issues associated with the 2016-11-05 security patch level and all previous patch levels.
  • Security patch levels of 2016-11-06 or later address all issues associated with the 2016-11-06 security patch level and all previous patch levels.

Device manufacturers that include these updates should set the patch level string to:

  • [ro.build.version.security_patch]:[2016-11-01]
  • [ro.build.version.security_patch]:[2016-11-05]
  • [ro.build.version.security_patch]:[2016-11-06].

2. Why does this bulletin have three security patch levels?

This bulletin has three security patch levels so that Android partners have the flexibility to fix a subset of vulnerabilities that are similar across all Android devices more quickly. Android partners are encouraged to fix all issues in this bulletin and use the latest security patch level.

  • Devices that use the November 1, 2016 security patch level must include all issues associated with that security patch level, as well as fixes for all issues reported in previous security bulletins.
  • Devices that use the security patch level of November 5, 2016 or newer must include all applicable patches in this (and previous) security bulletins.
  • Devices that use the security patch level of November 6, 2016 or newer must include all applicable patches in this (and previous) security bulletins.

Partners are encouraged to bundle the fixes for all issues they are addressing in a single update.

3. How do I determine which Google devices are affected by each issue?

In the 2016-11-01 , 2016-11-05 , and 2016-11-06 security vulnerability details sections, each table has an Updated Google devices column that covers the range of affected Google devices updated for each issue. This column has a few options:

  • All Google devices : If an issue affects all Nexus and Pixel devices, the table will have "All" in the Updated Google devices column. "All" encapsulates the following supported devices : Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel, and Pixel XL.
  • Some Google devices : If an issue doesn't affect all Google devices, the affected Google devices are listed in the Updated Google devices column.
  • No Google devices : If no Google devices running Android 7.0 are affected by the issue, the table will have "None" in the Updated Google devices column.

4. What do the entries in the references column map to?

Entries under the References column of the vulnerability details table may contain a prefix identifying the organization to which the reference value belongs. These prefixes map as follows:

Prefix Reference
A- Android bug ID
QC- Qualcomm reference number
M- MediaTek reference number
N- NVIDIA reference number
B- Broadcom reference number

Revisions

  • November 07, 2016: Bulletin published.
  • November 08: Bulletin revised to include AOSP links and updated description for CVE-2016-6709.
  • November 17: Bulletin revised to include attribution for CVE-2016-6828.
  • December 21: Updated researcher credit.