גוגל מחויבת לקדם הון גזעי עבור קהילות שחורות. תראה איך.
דף זה תורגם על ידי Cloud Translation API.
Switch to English

עלון אבטחה אנדרואיד - דצמבר 2016

פורסם 05 בדצמבר 2016 | עודכן ב- 21 בדצמבר 2016

עלון האבטחה של Android מכיל פרטים על פגיעויות האבטחה המשפיעות על מכשירי Android. לצד העלון, פרסמנו עדכון אבטחה למכשירי גוגל באמצעות עדכון זמין (OTA). תמונות הקושחה של מכשיר גוגל שוחררו גם לאתר המפתחים של גוגל . רמות תיקון האבטחה מיום 05 בדצמבר 2016 ואילך מתייחסות לכל הבעיות הללו. עיין בלוח העדכונים של Pixel ו- Nexus כדי ללמוד כיצד לבדוק את רמת תיקון האבטחה של מכשיר.

השותפים קיבלו הודעה על הנושאים המתוארים בעלון ב- 07 בנובמבר 2016 או קודם לכן. תיקוני קוד מקור לבעיות אלה שוחררו למאגר ה- Android Open Source Project (AOSP) וקושרו מעלון זה. עלון זה כולל גם קישורים לטלאים מחוץ ל- AOSP.

החמורות שבבעיות אלה הן פגיעות אבטחה קריטיות בקוד ספציפי למכשירים העלולות לאפשר ביצוע קוד שרירותי בהקשר של הגרעין, מה שמוביל לאפשרות של פשרה קבועה במכשירים מקומיים, שעשויה לדרוש מחדש את מערכת ההפעלה כדי לתקן את המכשיר. . הערכת החומרה מבוססת על ההשפעה שעלולה להיות לניצול הפגיעות על מכשיר מושפע, בהנחה שהפחתת הפלטפורמה והשירותים מושבתות למטרות פיתוח או אם עקפו אותם בהצלחה.

לא היו לנו דיווחים על ניצול פעיל של לקוחות או שימוש לרעה בנושאים החדשים המדווחים האלה. עיין בסעיף ההפחתות בשירות אנדרואיד וגוגל לקבלת פרטים על הגנות פלטפורמת האבטחה של Android והגנות השירות כמו SafetyNet המשפרות את האבטחה של פלטפורמת Android.

אנו מעודדים את כל הלקוחות לקבל עדכונים אלה למכשירים שלהם.

הכרזות

  • בעלון זה כולל שני מחרוזות ברמת תיקון אבטחה כדי לספק לשותפי אנדרואיד את הגמישות לתקן במהירות רבה יותר קבוצת משנה של פגיעויות הדומות בכל מכשירי Android. למידע נוסף ראה שאלות ותשובות נפוצות :
    • 2016-12-01 : מחרוזת רמת אבטחה חלקית. מחרוזת רמת אבטחה זו מציינת כי מטופלים בכל הבעיות הקשורות ל- 2016-12-01 (וכל מיתרי רמת האבטחה הקודמים).
    • 2016-12-05 : מחרוזת רמת אבטחה מלאה. מחרוזת רמת אבטחה זו מציינת כי כל הבעיות הקשורות 2016-12-01 ו- 2016-12-05 (וכל מחרוזות רמת האבטחה הקודמות) מטופלות.
  • מכשירי Google הנתמכים יקבלו עדכון OTA יחיד ברמת תיקון האבטחה ב- 05 בדצמבר 2016.

הקלות בשירות אנדרואיד וגוגל

זהו סיכום של ההקלות שמספקות פלטפורמת האבטחה של Android והגנות השירות, כגון SafetyNet. יכולות אלה מקטינות את הסבירות שניתן לנצל בהצלחה פגיעויות אבטחה ב- Android.

  • הניצול לסוגיות רבות באנדרואיד מקשה על ידי שיפורים בגרסאות חדשות יותר של פלטפורמת אנדרואיד. אנו מעודדים את כל המשתמשים לעדכן לגרסה האחרונה של אנדרואיד במידת האפשר.
  • צוות אבטחת אנדרואיד עוקב באופן פעיל אחר שימוש לרעה באמצעות Verify Apps ו- SafetyNet , אשר נועדו להזהיר משתמשים על יישומים שעלולים להזיק . אמת האפליקציות מופעלת כברירת מחדל במכשירים עם שירותי גוגל ניידים והיא חשובה במיוחד למשתמשים שמתקינים יישומים מחוץ ל- Google Play. כלי השתרשות מכשירים אסורים ב- Google Play, אך Verify Apps מזהיר משתמשים כאשר הם מנסים להתקין יישום השתרשות שזוהה - לא משנה מאיפה זה בא. בנוסף, Verify Apps מנסה לזהות ולחסום התקנה של יישומים זדוניים ידועים המנצלים פגיעות של הסלמת הרשאות. אם יישום כזה כבר הותקן, Verify Apps יודיע למשתמש וינסה להסיר את היישום שזוהה.
  • בהתאם לצורך, יישומי Google Hangouts ו- Messenger אינם מעבירים מדיה אוטומטית לתהליכים כמו Mediaserver.

תודות

אנו רוצים להודות לחוקרים אלה על תרומתם:

  • Baozeng Ding, Chengming Yang, Peng Xiao, Ning You, Yang Dong, Chao Yang, Yi Zhang ו- Yang Song of Alibaba Mobile Security Group: CVE-2016-6783, CVE-2016-6784, CVE-2016-6785
  • צ'י ג'אנג , מינג'יאן ג'ואו ( @Mingjian_Zhou ), צ'יאצ'יה וו ( @chiachih_wu ) ו- Xuxian Jiang מצוות C0RE : CVE-2016-6789, CVE-2016-6790
  • כריסטיאן סייל: CVE-2016-6769
  • דיוויד בנג'מין וקני רוט מגוגל: CVE-2016-6767
  • די שן ( @returnsme ) מ- KeenLab ( @keen_lab ), Tencent: CVE-2016-6776, CVE-2016-6787
  • He ( @ heeeeen4x ) מ- MS509Team : CVE-2016-6763
  • ג'נג'יה צ'ן ( @ chengjia4574 ), pjf של מעבדת IceSword , Qihoo 360 Technology Co. בע"מ: CVE-2016-6779, CVE-2016-6778, CVE-2016-8401, CVE-2016-8402, CVE-2016-8403, CVE-2016-8409, CVE-2016-8408, CVE-2016-8404
  • ג'יאנקיאנג ג'או ( @jianqiangzhao ) ו- pjf של מעבדת IceSword , Qihoo 360 Technology Co. בע"מ: CVE-2016-6788, CVE-2016-6781, CVE-2016-6782, CVE-2016-8396
  • לובו ג'אנג , טונג לין , יואן- צו -לו לו , צ'יאצ'יה וו ( @chiachih_wu ) ו- Xuxian ג'יאנג מצוות C0RE : CVE-2016-6791, CVE-2016-8391, CVE-2016-8392
  • מארק מותג של אפס פרויקט: CVE-2016-6772
  • Michał Bednarski: CVE-2016-6770, CVE-2016-6774
  • מינגג'יאן ג'ואו ( @Mingjian_Zhou ), צ'י ג'אנג , צ'יאצ'יה וו ( @chiachih_wu ) ו- Xuxian Jiang מצוות C0RE : CVE-2016-6761, CVE-2016-6759, CVE-2016-8400
  • מינגג'יאן ג'ואו ( @Mingjian_Zhou ), צ'יאצ'יה וו ( @chiachih_wu ) ו- Xuxian Jiang מצוות C0RE : CVE-2016-6760
  • מינגג'יאן ג'ואו ( @Mingjian_Zhou ), Hanxiang Wen , Chiachih Wu ( @chiachih_wu ) ו- Xuxian Jiang מצוות C0RE : CVE-2016-6759
  • נתן קרנדל ( @natecray ) מצוות אבטחת המוצר של טסלה מוטורס: CVE-2016-6915, CVE-2016-6916, CVE-2016-6917
  • מחקר Cyberecurity Cyber ​​Watch ( @nightwatchcyber ): CVE-2016-5341
  • Pengfei Ding (丁鹏飞), Chenfu Bao (包 沉浮), Lenx Wei (韦 韬) של Baidu X-Lab: CVE-2016-6755, CVE-2016-6756
  • פיטר פי ( @heisecode ) מ- Trend Micro: CVE-2016-8397, CVE-2016-8405, CVE-2016-8406, CVE-2016-8407
  • קידן הוא (何 淇 丹) ( @flanker_hqd ) של KeenLab, Tencent (腾讯 科恩 实验室): CVE-2016-8399, CVE-2016-8395
  • קידן הוא (何 淇 丹) ( @flanker_hqd ) ומרקו גראסי ( @marcograss ) של KeenLab, Tencent (腾讯 科恩 实验室): CVE-2016-6768
  • ריצ'רד שופאק: CVE-2016-5341
  • שגיא קדמי ממחקר X-Force של יבמ: CVE-2016-8393, CVE-2016-8394
  • Seven Shen ( @lingtongshen ) מצוות מחקר האיומים הנייד, Trend Micro Inc: CVE-2016-6757
  • Weichao Sun ( @sunblate ) של Alibaba Inc .: CVE-2016-6773
  • וונקה דאו , צ'י ג'אנג , צ'יאצ'יה וו ( @chiachih_wu ) ו- Xuxian Jiang מצוות C0RE : CVE-2016-6765
  • מאחל לוו ( @wish_wu ) ( 吴 潍 浠 ) מצוות תגובת האיום הנייד , Trend Micro Inc .: CVE-2016-6704
  • יואן-טסונג לו , טונג לין , צ'יאצ'יה וו ( @chiachih_wu ) ו- Xuxian Jiang מצוות C0RE : CVE-2016-6786, CVE-2016-6780, CVE-2016-6775
  • יואן-צונג לו , שיאודונג וואנג , צ'יאצ'יה וו ( @chiachih_wu ) ו- Xuxian Jiang מצוות C0RE : CVE-2016-6777
  • יוקסי לי ממחלקת פלטפורמת האבטחה של Tencent: CVE-2016-6771
  • ג'ין ג'ין (金 哲) ממרכז תגובת האבטחה בצ'נגדו, Qihoo 360 Technology Co. בע"מ: CVE-2016-6764, CVE-2016-6766
  • זינו האן ממרכז תגובת האבטחה בצ'נגדו של Qihoo 360 Technology Co. בע"מ: CVE-2016-6762

תודה נוספת להודות למנגלו לו ( @ idhyt3r ) מבקבוק טק, יונג וואנג (王勇) ( @ ThomasKing2014 ) ולזובין מיתרה מגוגל על ​​התרומות שלהם לעלון אבטחה זה.

2016-12-01 רמת תיקון אבטחה - פרטי הפגיעות

בסעיפים שלהלן אנו מספקים פרטים עבור כל אחת מפגיעות האבטחה החלות על רמת התיקון 2016-12-01. יש תיאור של הבעיה, רציונל של חומרה וטבלה עם ה- CVE, הפניות הקשורות אליה, חומרתה, מכשירי Google מעודכנים, גרסאות AOSP מעודכנות (במידת האפשר) ותאריך המדווח. כאשר הוא זמין, נקשר את השינוי הציבורי שטיפל בנושא במזהה הבאג, כמו רשימת השינויים ב- AOSP. כאשר שינויים מרובים קשורים לבאג בודד, הפניות נוספות מקושרות למספרים העוקבים אחר מזהה הבאג.

פגיעות של ביצוע קוד מרחוק ב- CURL / LIBCURL

הטבלה מכילה פגיעויות אבטחה המשפיעות על ספריות CURL ו- LIBCURL. הסוגיה החמורה ביותר עלולה לאפשר לתוקף איש באמצע המשתמש בתעודה מזויפת לבצע קוד שרירותי במסגרת תהליך מוגדר. בעיה זו מדורגת כגבוהה בגלל שהתוקף זקוק לתעודה מזויפת.

CVE הפניות חוּמרָה מכשירי Google עודכנו גרסאות AOSP מעודכנות התאריך המדווח
CVE-2016-5419 A-31271247 גָבוֹהַ את כל 7.0 3 באוגוסט 2016
CVE-2016-5420 A-31271247 גָבוֹהַ את כל 7.0 3 באוגוסט 2016
CVE-2016-5421 A-31271247 גָבוֹהַ את כל 7.0 3 באוגוסט 2016

העלאת הפגיעות ב- libziparchive

העלאת פגיעות הרשאות בספרייה libziparchive עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי במסגרת תהליך מוגדר. בעיה זו מדורגת כגבוהה מכיוון שניתן להשתמש בה כדי לקבל גישה מקומית ליכולות מוגבהות, אשר בדרך כלל אינן נגישות ליישום צד שלישי.

CVE הפניות חוּמרָה מכשירי Google עודכנו גרסאות AOSP מעודכנות התאריך המדווח
CVE-2016-6762 A-31251826 [ 2 ] גָבוֹהַ את כל 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 28 באוגוסט 2016

פגיעות של מניעת שירות בטלפוניה

פגיעות של מניעת שירות בטלפוניה עשויה לאפשר ליישום זדוני מקומי להשתמש בקובץ שעוצב במיוחד כדי לגרום להתקן או להפעיל מחדש את המכשיר. נושא זה דורג כגבוה בגלל האפשרות לשלילת שירות מקומית קבועה.

CVE הפניות חוּמרָה מכשירי Google עודכנו גרסאות AOSP מעודכנות התאריך המדווח
CVE-2016-6763 A-31530456 גָבוֹהַ את כל 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 12 בספטמבר 2016

פגיעות של מניעת שירות ב- Mediaserver

פגיעות של מניעת שירות ב- Mediaserver עשויה לאפשר לתוקף להשתמש בקובץ בעל מבנה מיוחד כדי לגרום להתקן או להפעיל מחדש את המכשיר. נושא זה דורג כגבוה בגלל האפשרות לשלילת שירות מרחוק.

CVE הפניות חוּמרָה מכשירי Google עודכנו גרסאות AOSP מעודכנות התאריך המדווח
CVE-2016-6766 A-31318219 גָבוֹהַ את כל 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 5 בספטמבר 2016
CVE-2016-6765 A-31449945 גָבוֹהַ את כל 4.4.4, 5.0.2, 5.1.1, 7.0 13 בספטמבר 2016
CVE-2016-6764 A-31681434 גָבוֹהַ את כל 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 22 בספטמבר 2016
CVE-2016-6767 A-31833604 גָבוֹהַ אף אחד* 4.4.4 גוגל פנימית

* מכשירי Google הנתמכים ב- Android 7.0 ואילך שהתקנו את כל העדכונים הזמינים אינם מושפעים מפגיעות זו.

פגיעות של ביצוע קוד מרחוק בספריית Framesequence

פגיעות של ביצוע קוד מרחוק בספריית Framesequence עשויה לאפשר לתוקף המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר של תהליך שאינו מוגדר. בעיה זו מדורגת כגבוהה בגלל האפשרות לביצוע קוד מרחוק ביישום המשתמש בספריית Framesequence.

CVE הפניות חוּמרָה מכשירי Google עודכנו גרסאות AOSP מעודכנות התאריך המדווח
CVE-2016-6768 A-31631842 גָבוֹהַ את כל 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 19 בספטמבר 2016

פגיעות של העלאת הרשאות ב- Smart Lock

העלאת הפגיעות ב- Smart Lock עשויה לאפשר למשתמש זדוני מקומי לגשת להגדרות של נעילה חכמה ללא מספר זיהוי אישי. בעיה זו מדורגת כבינונית מכיוון שהיא דורשת תחילה גישה פיזית למכשיר לא נעול בו נעילה חכמה הייתה חלונית ההגדרות האחרונות בהן ניגש המשתמש.

CVE הפניות חוּמרָה מכשירי Google עודכנו גרסאות AOSP מעודכנות התאריך המדווח
CVE-2016-6769 A-29055171 לְמַתֵן אף אחד* 5.0.2, 5.1.1, 6.0, 6.0.1 27 במאי 2016

* מכשירי Google הנתמכים ב- Android 7.0 ואילך שהתקנו את כל העדכונים הזמינים אינם מושפעים מפגיעות זו.

העלאת הפגיעות בהגדרת הרשאות בממשקי API למסגרת

העלאת הפגיעות ב- API Framework עשויה לאפשר ליישום זדוני מקומי לגשת לפונקציות מערכת שמעבר לרמת הגישה שלה. נושא זה דורג בינוני מכיוון שהוא עוקף מקומי של מגבלות על תהליך מוגבל.

CVE הפניות חוּמרָה מכשירי Google עודכנו גרסאות AOSP מעודכנות התאריך המדווח
CVE-2016-6770 A-30202228 לְמַתֵן את כל 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 16 ביולי 2016

העלאת הפגיעות בטלפוניה

העלאת הפגיעות בטלפוניה עשויה לאפשר ליישום זדוני מקומי לגשת לפונקציות מערכת שמעבר לרמת הגישה שלה. נושא זה דורג בינוני מכיוון שהוא עוקף מקומי של מגבלות על תהליך מוגבל.

CVE הפניות חוּמרָה מכשירי Google עודכנו גרסאות AOSP מעודכנות התאריך המדווח
CVE-2016-6771 A-31566390 לְמַתֵן את כל 6.0, 6.0.1, 7.0 17 בספטמבר 2016

העלאת הפגיעות ב- Wi-Fi

העלאת הפגיעות ב- Wi-Fi עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי במסגרת תהליך מוגדר. בעיה זו מדורגת כמתונה מכיוון שהיא תחילה חייבת להתפשר על תהליך מיועד.

CVE הפניות חוּמרָה מכשירי Google עודכנו גרסאות AOSP מעודכנות התאריך המדווח
CVE-2016-6772 A-31856351 [ 2 ] לְמַתֵן את כל 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 30 בספטמבר 2016

פגיעות בחשיפת מידע ב- Mediaserver

פגיעות בגילוי מידע ב- Mediaserver עשויה לאפשר ליישום זדוני מקומי לגשת לנתונים מחוץ לרמות ההרשאה שלו. בעיה זו מדורגת כמתונה מכיוון שניתן להשתמש בה כדי לגשת לנתונים רגישים ללא אישור.

CVE הפניות חוּמרָה מכשירי Google עודכנו גרסאות AOSP מעודכנות התאריך המדווח
CVE-2016-6773 A-30481714 [ 2 ] לְמַתֵן את כל 6.0, 6.0.1, 7.0 27 ביולי 2016

פגיעות בחשיפת מידע במנהל החבילות

פגיעות של גילוי מידע ב- Package Manager עשויה לאפשר ליישום זדוני מקומי לעקוף הגנות של מערכות הפעלה שמבודדות נתוני יישומים מיישומים אחרים. בעיה זו מדורגת כמתונה מכיוון שהיא תחילה חייבת להתפשר על תהליך מיועד.

CVE הפניות חוּמרָה מכשירי Google עודכנו גרסאות AOSP מעודכנות התאריך המדווח
CVE-2016-6774 A-31251489 לְמַתֵן את כל 7.0 29 באוגוסט 2016

2016-12-05 רמת תיקון אבטחה - פרטי הפגיעות

בסעיפים שלהלן אנו מספקים פרטים עבור כל אחת מפגיעות האבטחה החלות על רמת התיקון 2016-12-05. יש תיאור של הבעיה, רציונל של חומרה וטבלה עם ה- CVE, הפניות הקשורות אליה, חומרתה, מכשירי Google מעודכנים, גרסאות AOSP מעודכנות (במידת האפשר) ותאריך המדווח. כאשר הוא זמין, נקשר את השינוי הציבורי שטיפל בנושא במזהה הבאג, כמו רשימת השינויים ב- AOSP. כאשר שינויים מרובים קשורים לבאג בודד, הפניות נוספות מקושרות למספרים העוקבים אחר מזהה הבאג.

פגיעות של העלאת הרשאות במערכת המשנה לזיכרון הגרעין

העלאת הפגיעות במערכת המשנה לזיכרון הגרעין עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. נושא זה דורג כקריטי עקב האפשרות לפשרה של התקן קבוע מקומי, שעשויה לדרוש התזה מחדש של מערכת ההפעלה כדי לתקן את ההתקן.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-4794 A-31596597
גרעין במעלה הזרם [ 2 ]
קריטי פיקסל C, פיקסל, פיקסל XL 17 באפריל 2016
CVE-2016-5195 A-32141528
גרעין במעלה הזרם [ 2 ]
קריטי Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 12 באוקטובר 2016

פגיעות של העלאת הרשאות במנהל התקן NVIDIA GPU

העלאת הפגיעות במנהל התקן NVIDIA GPU עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. נושא זה דורג כקריטי עקב האפשרות לפשרה של התקן קבוע מקומי, שעשויה לדרוש ניתוק מחדש של מערכת ההפעלה כדי לתקן את ההתקן.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-6775 A-31222873 *
N-CVE-2016-6775
קריטי נקסוס 9 25 באוגוסט 2016
CVE-2016-6776 A-31680980 *
N-CVE-2016-6776
קריטי נקסוס 9 22 בספטמבר 2016
CVE-2016-6777 A-31910462 *
N-CVE-2016-6777
קריטי נקסוס 9 3 באוקטובר 2016

* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקנים הבינאריים האחרונים למכשירי גוגל הזמינים מאתר המפתחים של גוגל .

פגיעות של העלאת הרשאות בקרנל

העלאת הפגיעות בגרעין עלולה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. נושא זה דורג כקריטי עקב האפשרות לפשרה של התקן קבוע מקומי, שעשויה לדרוש ניתוק מחדש של מערכת ההפעלה כדי לתקן את ההתקן.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2015-8966 A-31435731
גרעין במעלה הזרם
קריטי אף אחד* 10 בספטמבר 2016

* מכשירי Google הנתמכים ב- Android 7.0 ואילך שהתקנו את כל העדכונים הזמינים אינם מושפעים מפגיעות זו.

פגיעות של העלאת הרשאות במנהל התקן הווידיאו של NVIDIA

העלאת הפגיעות במנהל התקן הווידיאו NVIDIA עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. נושא זה דורג כקריטי עקב האפשרות לפשרה של התקן קבוע מקומי, שעשויה לדרוש ניתוק מחדש של מערכת ההפעלה כדי לתקן את ההתקן.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-6915 A-31471161 *
N-CVE-2016-6915
קריטי נקסוס 9 13 בספטמבר 2016
CVE-2016-6916 A-32072350 *
N-CVE-2016-6916
קריטי Nexus 9, Pixel C 13 בספטמבר 2016
CVE-2016-6917 A-32072253 *
N-CVE-2016-6917
קריטי נקסוס 9 13 בספטמבר 2016

* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקנים הבינאריים האחרונים למכשירי גוגל הזמינים מאתר המפתחים של גוגל .

פגיעות של העלאת הרשאות במנהל התקן ION של הגרעין

העלאת הפגיעות במנהל התקן ION של הגרעין עלולה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. נושא זה דורג כקריטי עקב האפשרות לפשרה של התקן קבוע מקומי, שעשויה לדרוש התזה מחדש של מערכת ההפעלה כדי לתקן את ההתקן.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-9120 A-31568617
גרעין במעלה הזרם
קריטי Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel C, Nexus Player 16 בספטמבר 2016

פגיעות ברכיבי קוואלקום

הפגיעויות שלהלן משפיעות על רכיבי Qualcomm והיא מתוארת בפירוט נוסף בעלון האבטחה Qualcomm AMSS בנובמבר 2015.

CVE הפניות חוּמרָה* מכשירי Google עודכנו התאריך המדווח
CVE-2016-8411 A-31805216 ** קריטי Nexus 6, Nexus 6P, Android One קוואלקום פנימית

* דירוג החומרה של פגיעויות אלה נקבע על ידי הספק.

** התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקנים הבינאריים האחרונים למכשירי גוגל הזמינים מאתר המפתחים של גוגל .

העלאת הפגיעות במערכת קבצי הליבה

העלאת הפגיעות במערכת קבצי הגרעין עשויה לאפשר ליישום זדוני מקומי לעקוף את הגנות מערכת ההפעלה שמבודדות נתוני יישומים מיישומים אחרים. בעיה זו מדורגת כגבוהה מכיוון שניתן להשתמש בה כדי לקבל גישה מקומית ליכולות מוגבהות, אשר בדרך כלל אינן נגישות ליישום צד שלישי.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2014-4014 A-31252187
גרעין במעלה הזרם
גָבוֹהַ Nexus 6, Nexus Player 10 ביוני 2014

פגיעות של העלאת הרשאות בקרנל

העלאת הפגיעות בגרעין עלולה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. בעיה זו דורגת כגבוהה מכיוון שהיא תחילה דורשת ניצול של פגיעות נפרדת.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2015-8967 A-31703084
גרעין במעלה הזרם
גָבוֹהַ Nexus 5X, Nexus 6P, Nexus 9, Pixel C, Pixel, Pixel XL 8 בינואר 2015

העלאת הפגיעות במנהל התקן ה- Cod של סאונד

העלאת הפגיעות במנהל התקן הקול של HTC עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. בעיה זו מדורגת כגבוהה מכיוון שהיא תחילה חייבת להתפשר על תהליך מיועד.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-6778 A-31384646 * גָבוֹהַ נקסוס 9 25 בפברואר 2016
CVE-2016-6779 A-31386004 * גָבוֹהַ נקסוס 9 25 בפברואר 2016
CVE-2016-6780 A-31251496 * גָבוֹהַ נקסוס 9 30 באוגוסט 2016

* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקנים הבינאריים האחרונים למכשירי גוגל הזמינים מאתר המפתחים של גוגל .

פגיעות של העלאת הרשאות במנהל התקן MediaTek

העלאת הפגיעות במנהל התקן MediaTek עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. בעיה זו מדורגת כגבוהה מכיוון שהיא תחילה חייבת להתפשר על תהליך מיועד.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-6492 A-28175122
MT-ALPS02696413
גָבוֹהַ אף אחד* 11 באפריל 2016
CVE-2016-6781 A-31095175
MT-ALPS02943455
גָבוֹהַ אף אחד* 22 באוגוסט 2016
CVE-2016-6782 A-31224389
MT-ALPS02943506
גָבוֹהַ אף אחד* 24 באוגוסט 2016
CVE-2016-6783 A-31350044
MT-ALPS02943437
גָבוֹהַ אף אחד* 6 בספטמבר 2016
CVE-2016-6784 A-31350755
MT-ALPS02961424
גָבוֹהַ אף אחד* 6 בספטמבר 2016
CVE-2016-6785 A-31748056
MT-ALPS02961400
גָבוֹהַ אף אחד* 25 בספטמבר 2016

* מכשירי Google הנתמכים ב- Android 7.0 ואילך שהתקנו את כל העדכונים הזמינים אינם מושפעים מפגיעות זו.

העלאת הפגיעות בקודקי התקשורת של קוואלקום

העלאת הפגיעות בקודקי התקשורת של קוואלקום עלולה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי במסגרת תהליך מוגדר. בעיה זו מדורגת כגבוהה מכיוון שניתן להשתמש בה כדי לקבל גישה מקומית ליכולות מוגבהות, אשר בדרך כלל אינן נגישות ליישום צד שלישי.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-6761 A-29421682 *
QC-CR # 1055792
גָבוֹהַ Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, נגן Nexus, Pixel, Pixel XL 16 ביוני 2016
CVE-2016-6760 A-29617572 *
QC-CR # 1055783
גָבוֹהַ Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, נגן Nexus, Pixel, Pixel XL 23 ביוני 2016
CVE-2016-6759 A-29982686 *
QC-CR # 1055766
גָבוֹהַ Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, נגן Nexus, Pixel, Pixel XL 4 ביולי 2016
CVE-2016-6758 A-30148882 *
QC-CR # 1071731
גָבוֹהַ Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, נגן Nexus, Pixel, Pixel XL 13 ביולי 2016

* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקנים הבינאריים האחרונים למכשירי גוגל הזמינים מאתר המפתחים של גוגל .

פגיעות של העלאת הרשאות במנהל התקן המצלמה של קוואלקום

העלאת הפגיעות במנהל התקן המצלמה של Qualcomm עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. בעיה זו מדורגת כגבוהה מכיוון שהיא תחילה חייבת להתפשר על תהליך מיועד.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-6755 A-30740545
QC-CR # 1065916
גָבוֹהַ Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 3 באוגוסט 2016

פגיעות של העלאת הרשאות במערכת המשנה לביצועים של ליבות

העלאת הפגיעות במערכת המשנה של ביצועי הגרעין עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. בעיה זו מדורגת כגבוהה מכיוון שהיא תחילה חייבת להתפשר על תהליך מיועד.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-6786 A-30955111 גרעין במעלה הזרם גָבוֹהַ Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 18 באוגוסט 2016
CVE-2016-6787 A-31095224 גרעין במעלה הזרם גָבוֹהַ Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 22 באוגוסט 2016

פגיעות של העלאת הרשאות במנהל התקן MediaTek I2C

העלאת הפגיעות במנהל התקן MediaTek I2C עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. בעיה זו מדורגת כגבוהה מכיוון שהיא תחילה חייבת להתפשר על תהליך מיועד.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-6788 A-31224428
MT-ALPS02943467
גָבוֹהַ אף אחד* 24 באוגוסט 2016

* מכשירי Google הנתמכים ב- Android 7.0 ואילך שהתקנו את כל העדכונים הזמינים אינם מושפעים מפגיעות זו.

פגיעות של העלאת הרשאות בספריה של NVIDIA libomx

העלאת הפגיעות של הרשאות בספריית ה- libomx של NVIDIA (libnvomx) עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי במסגרת תהליך מוגדר. בעיה זו מדורגת כגבוהה מכיוון שניתן להשתמש בה כדי לקבל גישה מקומית ליכולות מוגבהות, אשר בדרך כלל אינן נגישות ליישום צד שלישי.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-6789 A-31251973 *
N-CVE-2016-6789
גָבוֹהַ פיקסל ג 29 באוגוסט 2016
CVE-2016-6790 A-31251628 *
N-CVE-2016-6790
גָבוֹהַ פיקסל ג 28 באוגוסט 2016

* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקנים הבינאריים האחרונים למכשירי גוגל הזמינים מאתר המפתחים של גוגל .

פגיעות של העלאת הרשאות במנהל התקן הקול של קוואלקום

העלאת הפגיעות במנהל התקן הקול קוואלקום עלולה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. בעיה זו מדורגת כגבוהה מכיוון שהיא תחילה חייבת להתפשר על תהליך מיועד.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-6791 A-31252384
QC-CR # 1071809
גָבוֹהַ Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 31 באוגוסט 2016
CVE-2016-8391 A-31253255
QC-CR # 1072166
גָבוֹהַ Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 31 באוגוסט 2016
CVE-2016-8392 A-31385862
QC-CR # 1073136
גָבוֹהַ Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 8 בספטמבר 2016

פגיעות של העלאת הרשאות במערכת המשנה לאבטחת גרעינים

העלאת הפגיעות במערכת המשנה לאבטחת הגרעינים עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. בעיה זו מדורגת כגבוהה מכיוון שהיא תחילה חייבת להתפשר על תהליך מיועד.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2015-7872 A-31253168
גרעין במעלה הזרם
גָבוֹהַ Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, נגן Nexus, Pixel, Pixel XL 31 באוגוסט 2016

פגיעות של העלאת הרשאות במנהל התקן מסך מגע Synaptics

העלאת הפגיעות במנהל התקן מסך מגע Synaptics עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. בעיה זו מדורגת כגבוהה מכיוון שהיא תחילה חייבת להתפשר על תהליך מיועד.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-8393 A-31911920 * גָבוֹהַ Nexus 5X, Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL 8 בספטמבר 2016
CVE-2016-8394 A-31913197 * גָבוֹהַ Nexus 9, Android One 8 בספטמבר 2016

* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקנים הבינאריים האחרונים למכשירי גוגל הזמינים מאתר המפתחים של גוגל .

פגיעות של העלאת הרשאות במנהל התקן Wi-Fi של Broadcom

העלאת הפגיעות במנהל התקן ה- Wi-Fi של Broadcom עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של הגרעין. בעיה זו מדורגת כגבוהה מכיוון שהיא תחילה חייבת להתפשר על תהליך מיועד.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2014-9909 A-31676542
B-RB # 26684
גָבוֹהַ אף אחד* 21 בספטמבר 2016
CVE-2014-9910 A-31746399
B-RB # 26710
גָבוֹהַ אף אחד* 26 בספטמבר 2016

* מכשירי Google הנתמכים ב- Android 7.0 ואילך שהתקנו את כל העדכונים הזמינים אינם מושפעים מפגיעות זו.

פגיעות בחשיפת מידע במנהל התקן הווידיאו MediaTek

פגיעות בגילוי מידע במנהל התקן הווידיאו MediaTek עשויה לאפשר ליישום זדוני מקומי לגשת לנתונים מחוץ לרמות ההרשאה שלו. בעיה זו מדורגת כגבוהה מכיוון שניתן להשתמש בה כדי לגשת לנתונים רגישים ללא אישור מפורש של המשתמש.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-8396 A-31249105 גָבוֹהַ אף אחד* 26 באוגוסט 2016

* מכשירי Google הנתמכים ב- Android 7.0 ואילך שהתקנו את כל העדכונים הזמינים אינם מושפעים מפגיעות זו.

פגיעות של גילוי מידע במנהל התקן הווידיאו של NVIDIA

פגיעות בגילוי מידע במנהל התקן הווידיאו של NVIDIA עשויה לאפשר ליישום זדוני מקומי לגשת לנתונים מחוץ לרמות ההרשאה שלו. בעיה זו מדורגת כגבוהה מכיוון שניתן להשתמש בה כדי לגשת לנתונים רגישים ללא אישור מפורש של המשתמש.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-8397 A-31385953 *
N-CVE-2016-8397
גָבוֹהַ נקסוס 9 8 בספטמבר 2016

* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקנים הבינאריים האחרונים למכשירי גוגל הזמינים מאתר המפתחים של גוגל .

פגיעות של מניעת שירות ב- GPS

פגיעות של מניעת שירות ברכיב ה- GPS של Qualcomm עשויה לאפשר לתוקף מרחוק לגרום לתליה או לאתחל של המכשיר. נושא זה דורג כגבוה בגלל האפשרות לשלילת שירות זמנית מרחוק.

CVE הפניות חוּמרָה מכשירי Google עודכנו התאריך המדווח
CVE-2016-5341 A-31470303 * גָבוֹהַ Nexus 6, Nexus 5X, Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL 21 ביוני 2016

* התיקון לבעיה זו אינו זמין לציבור. The update is contained in the latest binary drivers for Google devices available from the Google Developer site .

Denial of service vulnerability in NVIDIA camera driver

A denial of service vulnerability in the NVIDIA camera driver could enable an attacker to cause a local permanent denial of service, which may require reflashing the operating system to repair the device. This issue is rated as High due to the possibility of local permanent denial of service.

CVE References Severity Updated Google devices Date reported
CVE-2016-8395 A-31403040*
N-CVE-2016-8395
High Pixel C Sep 9, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Google devices available from the Google Developer site .

Elevation of privilege vulnerability in kernel networking subsystem

An elevation of privilege vulnerability in the kernel networking subsystem could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as Moderate because it first requires compromising a privileged process and current compiler optimizations restrict access to the vulnerable code.

CVE References Severity Updated Google devices Date reported
CVE-2016-8399 A-31349935* Moderate Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL Sep 5, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Google devices available from the Google Developer site .

Information disclosure vulnerability in Qualcomm components

An information disclosure vulnerability in Qualcomm components including the camera driver and video driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2016-6756 A-29464815
QC-CR#1042068 [ 2 ]
Moderate Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Jun 17, 2016
CVE-2016-6757 A-30148242
QC-CR#1052821
Moderate Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL Jul 13, 2016

Information disclosure vulnerability in NVIDIA librm library

An information disclosure vulnerability in the NVIDIA librm library (libnvrm) could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it could be used to access sensitive data without permission.

CVE References Severity Updated Google devices Date reported
CVE-2016-8400 A-31251599*
N-CVE-2016-8400
Moderate Pixel C Aug 29, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Google devices available from the Google Developer site .

Information disclosure vulnerability in kernel components

An information disclosure vulnerability in kernel components including the ION subsystem, Binder, USB driver and networking subsystem could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2016-8401 A-31494725* Moderate Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL Sep 13, 2016
CVE-2016-8402 A-31495231* Moderate Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL Sep 13, 2016
CVE-2016-8403 A-31495348* Moderate Nexus 9 Sep 13, 2016
CVE-2016-8404 A-31496950* Moderate Nexus 9 Sep 13, 2016
CVE-2016-8405 A-31651010* Moderate Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL Sep 21, 2016
CVE-2016-8406 A-31796940* Moderate Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL Sep 27, 2016
CVE-2016-8407 A-31802656* Moderate Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Sep 28, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Google devices available from the Google Developer site .

Information disclosure vulnerability in NVIDIA video driver

An information disclosure vulnerability in the NVIDIA video driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2016-8408 A-31496571*
N-CVE-2016-8408
Moderate Nexus 9 Sep 13, 2016
CVE-2016-8409 A-31495687*
N-CVE-2016-8409
Moderate Nexus 9 Sep 13, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Google devices available from the Google Developer site .

Information disclosure vulnerability in Qualcomm sound driver

An information disclosure vulnerability in the Qualcomm sound driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2016-8410 A-31498403
QC-CR#987010
Moderate Nexus 5X, Nexus 6, Nexus 6P, Android One Google internal

Common Questions and Answers

This section answers common questions that may occur after reading this bulletin.

1. How do I determine if my device is updated to address these issues?

To learn how to check a device's security patch level, read the instructions on the Pixel and Nexus update schedule .

  • Security patch levels of 2016-12-01 or later address all issues associated with the 2016-12-01 security patch level.
  • Security patch levels of 2016-12-05 or later address all issues associated with the 2016-12-05 security patch level and all previous patch levels.

Device manufacturers that include these updates should set the patch string level to:

  • [ro.build.version.security_patch]:[2016-12-01]
  • [ro.build.version.security_patch]:[2016-12-05]

2. Why does this bulletin have two security patch levels?

This bulletin has two security patch levels so that Android partners have the flexibility to fix a subset of vulnerabilities that are similar across all Android devices more quickly. Android partners are encouraged to fix all issues in this bulletin and use the latest security patch level.

  • Devices that use the December 1, 2016 security patch level must include all issues associated with that security patch level, as well as fixes for all issues reported in previous security bulletins.
  • Devices that use the security patch level of December 5, 2016 or newer must include all applicable patches in this (and previous) security bulletins.

Partners are encouraged to bundle the fixes for all issues they are addressing in a single update.

3. How do I determine which Google devices are affected by each issue?

In the 2016-12-01 and 2016-12-05 security vulnerability details sections, each table has an Updated Google devices column that covers the range of affected Google devices updated for each issue. This column has a few options:

  • All Google devices : If an issue affects All and Pixel devices, the table will have "All" in the Updated Google devices column. "All" encapsulates the following supported devices : Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel, and Pixel XL.
  • Some Google devices : If an issue doesn't affect all Google devices, the affected Google devices are listed in the Updated Google devices column.
  • No Google devices : If no Google devices running Android 7.0 are affected by the issue, the table will have "None" in the Updated Google devices column.

4. What do the entries in the references column map to?

Entries under the References column of the vulnerability details table may contain a prefix identifying the organization to which the reference value belongs. These prefixes map as follows:

Prefix Reference
A- Android bug ID
QC- Qualcomm reference number
M- MediaTek reference number
N- NVIDIA reference number
B- Broadcom reference number

Revisions

  • December 05, 2016: Bulletin published.
  • December 07, 2016: Bulletin revised to include AOSP links and updated attribution for CVE-2016-6915, CVE-2016-6916 and CVE-2016-6917.
  • December 21, 2016: Corrected typos in CVE-2016-8411 description and Common Questions and Answers.