Бюллетень по безопасности Android — декабрь 2016 г.

Опубликован 5 декабря 2016 г. | Обновлен 21 декабря 2016 г.

В этом бюллетене содержится информация об уязвимостях в защите устройств Android. К его выходу мы выпустили автоматическое обновление системы безопасности для устройств Google и опубликовали образы встроенного ПО на сайте для разработчиков. Все проблемы, перечисленные здесь, устранены в исправлении от 5 декабря 2016 года или более новом. Сведения о том, как проверить уровень исправления системы безопасности на устройстве, можно найти в статье о сроках обновления ПО.

Мы сообщили партнерам об уязвимостях 7 ноября 2016 года или ранее. Исправления уязвимостей доступны в хранилище Android Open Source Project (AOSP). Ссылки на них, а также на исправления вне AOSP есть в этом бюллетене.

Наиболее важным проблемам присвоен критический уровень серьезности, поскольку из-за них нарушается работа системы безопасности. Возможно, для устранения таких проблем потребуется переустановить ОС. Уровень серьезности зависит от того, какой ущерб будет нанесен устройству при атаке с использованием уязвимости, если средства защиты будут отключены разработчиком или взломаны.

У нас нет информации об активном использовании обнаруженных уязвимостей. В разделе Предотвращение атак рассказывается, как платформа безопасности и средства защиты сервисов, например SafetyNet, помогают снизить вероятность успешного использования уязвимостей Android.

Мы рекомендуем всем пользователям установить перечисленные здесь обновления.

Объявления

  • Мы включили в этот бюллетень сведения о двух исправлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Дополнительную информацию вы найдете в разделе Часто задаваемые вопросы.
    • 2016-12-01: частичное исправление системы безопасности, в котором устранены все уязвимости уровня 2016-12-01 и более ранние.
    • 2016-12-05: полное исправление системы безопасности, в котором устранены все уязвимости уровней 2016-12-01 и 2016-12-05, а также более ранние.
  • На поддерживаемые устройства Google будет установлено единое беспроводное обновление системы безопасности от 5 декабря 2016 года.

Предотвращение атак

Здесь описано, как платформа безопасности и средства защиты сервисов, например SafetyNet, позволяют снизить вероятность успешного применения уязвимостей Android.

  • В новых версиях Android сложнее использовать многие уязвимости, поэтому мы рекомендуем всем пользователям своевременно обновлять систему.
  • Команда, отвечающая за безопасность Android, активно отслеживает случаи злоупотребления с помощью Проверки приложений и SafetyNet. Эти инструменты предупреждают пользователей об установке потенциально опасных приложений. Проверка приложений включена по умолчанию на всех телефонах и планшетах, на которых есть сервисы Google для мобильных устройств. Она особенно важна для тех, кто устанавливает приложения не из Google Play. Хотя в Google Play инструменты для настройки root-доступа запрещены, они могут встречаться в других магазинах. Если пользователь решает установить такое приложение, Проверка предупреждает об этом. Кроме того, она пытается идентифицировать известное вредоносное ПО, использующее уязвимость для повышения привилегий, и блокировать его установку. Если подобное ПО уже есть на устройстве, система уведомит об этом пользователя и попытается удалить приложение.
  • Приложения Google Hangouts и Messenger не передают медиафайлы таким процессам, как mediaserver, автоматически.

Благодарности

Благодарим всех, кто помог обнаружить уязвимости:

  • Баоцзэн Дин, Чэнмин Ян, Пэн Сяо, Нин Ю, Ян Дун, Чао Ян, И Чжан и Ян Сун из Alibaba Mobile Security Group: CVE-2016-6783, CVE-2016-6784, CVE-2016-6785
  • Чи Чжан, Минцзянь Чжоу (@Mingjian_Zhou), Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6789, CVE-2016-6790.
  • Кристиан Сил: CVE-2016-6769
  • Дэвид Бенджамин и Кенни Рут из Google: CVE-2016-6767
  • Ди Шэнь (@returnsme) из KeenLab (@keen_lab), Tencent: CVE-2016-6776, CVE-2016-6787.
  • Энь Хэ (@heeeeen4x) из MS509Team: CVE-2016-6763.
  • Гэнцзя Чэнь (@chengjia4574) и pjf из IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-6779, CVE-2016-6778, CVE-2016-8401, CVE-2016-8402, CVE-2016-8403, CVE-2016-8409, CVE-2016-8408, CVE-2016-8404.
  • Цзяньцян Чжао (@jianqiangzhao) и pjf из IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-6788, CVE-2016-6781, CVE-2016-6782, CVE-2016-8396.
  • Лубо Чжан, Тун Линь, Юань-Цун Ло, Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6791, CVE-2016-8391, CVE-2016-8392.
  • Марк Бренд из Project Zero: CVE-2016-6772
  • Михал Беднарский: CVE-2016-6770, CVE-2016-6774
  • Минцзянь Чжоу (@Mingjian_Zhou), Чи Чжан, Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6761, CVE-2016-6759, CVE-2016-8400.
  • Минцзянь Чжоу (@Mingjian_Zhou), Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6760.
  • Минцзянь Чжоу (@Mingjian_Zhou), Ханьсян Вэнь, Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6759.
  • Нейтан Крэнделл (@natecray) из Tesla Motors Product Security Team: CVE-2016-6915, CVE-2016-6916, CVE-2016-6917
  • Nightwatch Cybersecurity Research (@nightwatchcyber): CVE-2016-5341
  • Пэнфэй Дин (丁鹏飞), Чэньфу Бао (包沉浮), Ленкс Вэй (韦韬) из Baidu X-Lab: CVE-2016-6755, CVE-2016-6756
  • Питер Пи (@heisecode) из Trend Micro: CVE-2016-8397, CVE-2016-8405, CVE-2016-8406, CVE-2016-8407
  • Цидань Хэ (何淇丹) (@flanker_hqd) из KeenLab, Tencent (腾讯科恩实验室): CVE-2016-8399, CVE-2016-8395
  • Цидань Хэ (何淇丹) (@flanker_hqd) и Марко Грасси (@marcograss) из KeenLab, Tencent (腾讯科恩实验室): CVE-2016-6768.
  • Ричард Шупак: CVE-2016-5341
  • Саги Кедми из IBM X-Force Research: CVE-2016-8393, CVE-2016-8394.
  • Севен Шэнь (@lingtongshen) из Mobile Threat Research Team, Trend Micro Inc.: CVE-2016-6757.
  • Вэйчао Сунь (@sunblate) из Alibaba Inc.: CVE-2016-6773.
  • Вэнькэ Доу, Чи Чжан, Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6765.
  • Виш У (@wish_wu) (吴潍浠) из Mobile Threat Response Team, Trend Micro Inc.: CVE-2016-6704.
  • Юань-Цун Ло, Тун Линь, Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6786, CVE-2016-6780, CVE-2016-6775.
  • Юань-Цун Ло, Сяодун Ван, Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6777.
  • Юйсян Ли из отдела безопасности платформы Tencent: CVE-2016-6771.
  • Чжэ Цзинь (金哲) из Chengdu Security Response Center, Qihoo 360 Technology Co. Ltd.: CVE-2016-6764, CVE-2016-6766.
  • Цзыно Хань из Chengdu Security Response Center, Qihoo 360 Technology Co. Ltd.: CVE-2016-6762.

Отдельная благодарность Мэнло Гоу (@idhyt3r) из Bottle Tech, Юн Вану (王勇) (@ThomasKing2014) и Зубину Митхре из Google за помощь в составлении этого бюллетеня.

Описание уязвимостей (исправление системы безопасности 2016-12-01)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2016-12-01: описание и обоснование серьезности, таблицу с CVE, ссылками, уровнем серьезности, уязвимыми устройствами Google и версиями AOSP (при наличии), а также датой сообщения об ошибке. Где возможно, мы приведем основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Удаленное выполнение кода через CURL/LIBCURL

В таблице перечислены уязвимости, затрагивающие библиотеки CURL и LIBCURL. Самая серьезная проблема позволяет посреднику осуществить атаку с помощью поддельного сертификата и выполнить произвольный код в контексте привилегированного процесса. Ей присвоен высокий уровень серьезности, поскольку злоумышленнику необходимо подделать сертификат.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-5419 A-31271247 Высокий Все 7.0 3 августа 2016 г.
CVE-2016-5420 A-31271247 Высокий Все 7.0 3 августа 2016 г.
CVE-2016-5421 A-31271247 Высокий Все 7.0 3 августа 2016 г.

Повышение привилегий через libziparchive

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку с ее помощью можно получить привилегии, недоступные сторонним приложениям.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-6762 A-31251826 [2] Высокий Все 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 28 августа 2016 г.

Отказ в обслуживании через телефонную связь

Уязвимость позволяет локальному вредоносному ПО выполнять перезагрузку или вызывать зависание устройства с помощью специально созданного файла. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-6763 A-31530456 Высокий Все 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 12 сентября 2016 г.

Отказ в обслуживании через mediaserver

Уязвимость позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства с помощью специально созданного файла. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-6766 A-31318219 Высокий Все 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 5 сентября 2016 г.
CVE-2016-6765 A-31449945 Высокий Все 4.4.4, 5.0.2, 5.1.1, 7.0 13 сентября 2016 г.
CVE-2016-6764 A-31681434 Высокий Все 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 22 сентября 2016 г.
CVE-2016-6767 A-31833604 Высокий Нет* 4.4.4 Доступно только сотрудникам Google

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Удаленное выполнение кода через библиотеку Framesequence

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте непривилегированного процесса с помощью специально созданного файла. Проблеме присвоен высокий уровень серьезности из-за возможности удаленного выполнения кода в ПО, которое использует эту библиотеку.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-6768 A-31631842 Высокий Все 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 19 сентября 2016 г.

Повышение уровня прав доступа через Smart Lock

Уязвимость позволяет злоумышленнику, в руки которого попало устройство, получить доступ к настройкам Smart Lock без ввода PIN-кода. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует физического доступа к разблокированному устройству, на котором панель Smart Lock была последним разделом настроек, открытым пользователем.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-6769 A-29055171 Средний Нет* 5.0.2, 5.1.1, 6.0, 6.0.1 27 мая 2016 г.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Повышение привилегий через Framework API

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к системным функциям. Проблеме присвоен средний уровень серьезности, поскольку уязвимость позволяет обойти ограничения процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-6770 A-30202228 Средний Все 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 16 июля 2016 г.

Повышение привилегий через телефонную связь

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к системным функциям. Проблеме присвоен средний уровень серьезности, поскольку уязвимость позволяет обойти ограничения процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-6771 A-31566390 Средний Все 6.0, 6.0.1, 7.0 17 сентября 2016 г.

Повышение привилегий через Wi-Fi

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-6772 A-31856351 [2] Средний Все 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 30 сентября 2016 г.

Раскрытие информации через mediaserver

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен средний уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-6773 A-30481714 [2] Средний Все 6.0, 6.0.1, 7.0 27 июля 2016 г.

Раскрытие информации через Package Manager

Уязвимость позволяет локальному вредоносному ПО обходить защиту ОС, обеспечивающую раздельное хранение данных приложений. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-6774 A-31251489 Средний Все 7.0 29 августа 2016 г.

Описание уязвимостей (исправление системы безопасности 2016-12-05)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2016-12-05: описание и обоснование серьезности, таблицу с CVE, ссылками, уровнем серьезности, уязвимыми устройствами Google и версиями AOSP (при наличии), а также датой сообщения об ошибке. Где возможно, мы приведем основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Повышение привилегий через подсистему памяти ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-4794 A-31596597
Upstream kernel [2]
Критический Pixel C, Pixel, Pixel XL 17 апреля 2016 г.
CVE-2016-5195 A-32141528
Upstream kernel [2]
Критический Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 12 октября 2016 г.

Повышение привилегий через драйвер NVIDIA для графического процессора

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-6775 A-31222873*
N-CVE-2016-6775
Критический Nexus 9 25 августа 2016 г.
CVE-2016-6776 A-31680980*
N-CVE-2016-6776
Критический Nexus 9 22 сентября 2016 г.
CVE-2016-6777 A-31910462*
N-CVE-2016-6777
Критический Nexus 9 3 октября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через ядро

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2015-8966 A-31435731
Upstream kernel
Критический Нет* 10 сентября 2016 г.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Повышение привилегий через видеодрайвер NVIDIA

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-6915 A-31471161*
N-CVE-2016-6915
Критический Nexus 9 13 сентября 2016 г.
CVE-2016-6916 A-32072350*
N-CVE-2016-6916
Критический Nexus 9, Pixel C 13 сентября 2016 г.
CVE-2016-6917 A-32072253*
N-CVE-2016-6917
Критический Nexus 9 13 сентября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через драйвер ION ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-9120 A-31568617
Upstream kernel
Критический Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel C, Nexus Player 16 сентября 2016 г.

Уязвимости в компонентах Qualcomm

Следующие уязвимости затрагивают компоненты Qualcomm и описаны в бюллетене по безопасности Qualcomm AMSS за ноябрь 2015 года.

CVE Ссылки Уровень серьезности* Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-8411 A-31805216** Критический Nexus 6, Nexus 6P, Android One Доступно только сотрудникам Qualcomm

*Уровень серьезности этих уязвимостей определяется непосредственно компанией Qualcomm.

**Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через файловую систему ядра

Уязвимость позволяет локальному вредоносному ПО обходить защиту ОС, обеспечивающую раздельное хранение данных приложений. Проблеме присвоен высокий уровень серьезности, поскольку с ее помощью можно получить привилегии, недоступные сторонним приложениям.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2014-4014 A-31252187
Upstream kernel
Высокий Nexus 6, Nexus Player 10 июня 2014 г.

Повышение привилегий через ядро

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует эксплуатации другой уязвимости.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2015-8967 A-31703084
Upstream kernel
Высокий Nexus 5X, Nexus 6P, Nexus 9, Pixel C, Pixel, Pixel XL 8 января 2015 г.

Повышение привилегий через аудиодрайвер кодеков HTC

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-6778 A-31384646* Высокий Nexus 9 25 февраля 2016 г.
CVE-2016-6779 A-31386004* Высокий Nexus 9 25 февраля 2016 г.
CVE-2016-6780 A-31251496* Высокий Nexus 9 30 августа 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через драйвер MediaTek

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-6492 A-28175122
MT-ALPS02696413
Высокий Нет* 11 апреля 2016 г.
CVE-2016-6781 A-31095175
MT-ALPS02943455
Высокий Нет* 22 августа 2016 г.
CVE-2016-6782 A-31224389
MT-ALPS02943506
Высокий Нет* 24 августа 2016 г.
CVE-2016-6783 A-31350044
MT-ALPS02943437
Высокий Нет* 6 сентября 2016 г.
CVE-2016-6784 A-31350755
MT-ALPS02961424
Высокий Нет* 6 сентября 2016 г.
CVE-2016-6785 A-31748056
MT-ALPS02961400
Высокий Нет* 25 сентября 2016 г.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0 или более поздней версией ОС, на которых установлены все доступные обновления.

Повышение привилегий через медиакодеки Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку из-за нее можно получить разрешения, недоступные сторонним приложениям.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-6761 A-29421682*
QC-CR#1055792
Высокий Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel, Pixel XL 16 июня 2016 г.
CVE-2016-6760 A-29617572*
QC-CR#1055783
Высокий Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel, Pixel XL 23 июня 2016 г.
CVE-2016-6759 A-29982686*
QC-CR#1055766
Высокий Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel, Pixel XL 4 июля 2016 г.
CVE-2016-6758 A-30148882*
QC-CR#1071731
Высокий Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel, Pixel XL 13 июля 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через драйвер Qualcomm для камеры

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-6755 A-30740545
QC-CR#1065916
Высокий Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 3 августа 2016 г.

Повышение привилегий через подсистему производительности ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-6786 A-30955111 Upstream kernel Высокий Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 18 августа 2016 г.
CVE-2016-6787 A-31095224 Upstream kernel Высокий Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 22 августа 2016 г.

Повышение привилегий через драйвер I2C MediaTek

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-6788 A-31224428
MT-ALPS02943467
Высокий Нет* 24 августа 2016 г.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Повышение привилегий через библиотеку libomx NVIDIA

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку с ее помощью можно получить привилегии, недоступные сторонним приложениям.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-6789 A-31251973*
N-CVE-2016-6789
Высокий Pixel С 29 августа 2016 г.
CVE-2016-6790 A-31251628*
N-CVE-2016-6790
Высокий Pixel С 28 августа 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через аудиодрайвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-6791 A-31252384
QC-CR#1071809
Высокий Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 31 августа 2016 г.
CVE-2016-8391 A-31253255
QC-CR#1072166
Высокий Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 31 августа 2016 г.
CVE-2016-8392 A-31385862
QC-CR#1073136
Высокий Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 8 сентября 2016 г.

Повышение привилегий через подсистему безопасности ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2015-7872 A-31253168
Upstream kernel
Высокий Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel, Pixel XL 31 августа 2016 г.

Повышение привилегий через драйвер сенсорного экрана Synaptics

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-8393 A-31911920* Высокий Nexus 5X, Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL 8 сентября 2016 г.
CVE-2016-8394 A-31913197* Высокий Nexus 9, Android One 8 сентября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через Wi-Fi-драйвер Broadcom

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2014-9909 A-31676542
B-RB#26684
Высокий Нет* 21 сентября 2016 г.
CVE-2014-9910 A-31746399
B-RB#26710
Высокий Нет* 26 сентября 2016 г.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Раскрытие информации через видеодрайвер MediaTek

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен высокий уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-8396 A-31249105 Высокий Нет* 26 августа 2016 г.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Раскрытие информации через видеодрайвер NVIDIA

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен высокий уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-8397 A-31385953*
N-CVE-2016-8397
Высокий Nexus 9 8 сентября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Отказ в обслуживании в GPS

Уязвимость позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к временному отказу в обслуживании.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-5341 A-31470303* Высокий Nexus 6, Nexus 5X, Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL 21 июня 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Отказ в обслуживании в драйвере NVIDIA для камеры

Уязвимость позволяет злоумышленнику вызывать нарушения в работе системы. Возможно, для устранения проблемы потребуется переустановить ОС. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-8395 A-31403040*
N-CVE-2016-8395
Высокий Pixel С 9 сентября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через сетевую подсистему ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса. Также уязвимый код недоступен из-за текущих настроек оптимизации компилятора.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-8399 A-31349935* Средний Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 5 сентября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Раскрытие информации через компоненты Qualcomm

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-6756 A-29464815
QC-CR#1042068 [2]
Средний Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 17 июня 2016 г.
CVE-2016-6757 A-30148242
QC-CR#1052821
Средний Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL 13 июля 2016 г.

Раскрытие информации через библиотеку librm NVIDIA

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен средний уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-8400 A-31251599*
N-CVE-2016-8400
Средний Pixel С 29 августа 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Раскрытие информации через компоненты ядра

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-8401 A-31494725* Средний Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 13 сентября 2016 г.
CVE-2016-8402 A-31495231* Средний Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 13 сентября 2016 г.
CVE-2016-8403 A-31495348* Средний Nexus 9 13 сентября 2016 г.
CVE-2016-8404 A-31496950* Средний Nexus 9 13 сентября 2016 г.
CVE-2016-8405 A-31651010* Средний Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 21 сентября 2016 г.
CVE-2016-8406 A-31796940* Средний Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 27 сентября 2016 г.
CVE-2016-8407 A-31802656* Средний Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 28 сентября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Раскрытие информации через видеодрайвер NVIDIA

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-8408 A-31496571*
N-CVE-2016-8408
Средний Nexus 9 13 сентября 2016 г.
CVE-2016-8409 A-31495687*
N-CVE-2016-8409
Средний Nexus 9 13 сентября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Раскрытие информации через аудиодрайвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-8410 A-31498403
QC-CR#987010
Средний Nexus 5X, Nexus 6, Nexus 6P, Android One Доступно только сотрудникам Google

Часто задаваемые вопросы

В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.

1. Как определить, установлено ли на устройство обновление, в котором устранены перечисленные проблемы?

Информацию о том, как проверить уровень исправления системы безопасности на устройстве, можно найти в статье о сроках обновления ПО.

  • В исправлении 2016-12-01 и более новых устранены все проблемы, соответствующие исправлению системы безопасности 2016-12-01.
  • В исправлении 2016-12-05 и более новых устранены все проблемы, соответствующие исправлению системы безопасности 2016-12-05 и всем предыдущим исправлениям.

Производители устройств, распространяющие эти обновления, должны установить следующие уровни:

  • [ro.build.version.security_patch]:[2016-12-01];
  • [ro.build.version.security_patch]:[2016-12-05].

2. Почему в этом бюллетене говорится о двух исправлениях системы безопасности?

Мы включили в этот бюллетень сведения о двух исправлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Рекомендуем партнерам Android решить все перечисленные выше проблемы и установить последнее исправление системы безопасности.

  • На устройствах с установленным исправлением от 1 декабря 2016 года должны быть устранены все охваченные им проблемы, а также уязвимости, упомянутые в предыдущих выпусках бюллетеня.
  • На устройствах с установленным исправлением от 5 декабря 2016 года или более новым должны быть решены все проблемы, описанные в этом бюллетене и предыдущих выпусках.

Рекомендуем партнерам собрать все исправления проблем в одно обновление.

3. Как определить, на каких устройствах Google присутствует уязвимость?

В каждой таблице разделов с описанием уязвимостей 2016-12-01 и 2016-12-05 есть столбец Обновленные устройства Google. В нем указано, на каких устройствах присутствует уязвимость.

  • Все устройства. Проблема возникает на следующих поддерживаемых устройствах Google: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel и Pixel XL.
  • Некоторые устройства. Перечислены устройства, на которых присутствует уязвимость.
  • Нет. Проблема не возникает ни на одном устройстве Google c Android 7.0.

4. На что указывают записи в столбце "Ссылки"?

В таблицах с описанием уязвимостей есть столбец Ссылки. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:

Префикс Значение
A- Идентификатор ошибки Android
QC- Ссылочный номер Qualcomm
M- Ссылочный номер MediaTek
N- Ссылочный номер NVIDIA
B- Ссылочный номер Broadcom

Версии

  • 5 декабря 2016 года. Бюллетень опубликован.
  • 7 декабря 2016 года. Добавлены ссылки на AOSP и обновлена атрибуция уязвимостей для CVE-2016-6915, CVE-2016-6916 и CVE-2016-6917.
  • 21 декабря 2016 года. Исправлены опечатки в описании CVE-2016-8411 и разделе "Часто задаваемые вопросы".