Google is committed to advancing racial equity for Black communities. See how.
This page was translated by the Cloud Translation API.
Switch to English

ประกาศความปลอดภัยของ Android - มีนาคม 2017

เผยแพร่เมื่อ 06 มีนาคม 2017 | อัปเดตเมื่อวันที่ 07 มีนาคม 2017

กระดานข่าวความปลอดภัยของ Android มีรายละเอียดของช่องโหว่ด้านความปลอดภัยที่ส่งผลต่ออุปกรณ์ Android นอกเหนือจากกระดานข่าวเราได้เปิดตัวการอัปเดตความปลอดภัยสำหรับอุปกรณ์ Google ผ่านการอัปเดตแบบ over-the-air (OTA) อิมเมจเฟิร์มแวร์อุปกรณ์ของ Google ได้เผยแพร่ไปยัง ไซต์ Google Developer ระดับแพตช์ความปลอดภัยตั้งแต่วันที่ 5 มีนาคม 2017 ขึ้นไปจะช่วยแก้ปัญหาเหล่านี้ทั้งหมด ดู ตารางการอัปเดต Pixel และ Nexus เพื่อเรียนรู้วิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์

พาร์ทเนอร์ได้รับแจ้งเกี่ยวกับปัญหาที่อธิบายไว้ในกระดานข่าวเมื่อวันที่ 6 กุมภาพันธ์ 2017 หรือก่อนหน้านั้น แพตช์ซอร์สโค้ดสำหรับปัญหาเหล่านี้ได้รับการเผยแพร่ไปยังที่เก็บ Android Open Source Project (AOSP) และเชื่อมโยงจากกระดานข่าวสารนี้ กระดานข่าวสารนี้ยังมีลิงก์ไปยังแพตช์ภายนอก AOSP

ปัญหาที่รุนแรงที่สุดคือช่องโหว่ด้านความปลอดภัยที่สำคัญซึ่งอาจเปิดใช้งานการเรียกใช้โค้ดจากระยะไกลบนอุปกรณ์ที่ได้รับผลกระทบผ่านหลายวิธีเช่นอีเมลการท่องเว็บและ MMS เมื่อประมวลผลไฟล์สื่อ การ ประเมินความรุนแรง จะขึ้นอยู่กับผลกระทบที่การใช้ประโยชน์จากช่องโหว่ที่อาจเกิดขึ้นกับอุปกรณ์ที่ได้รับผลกระทบโดยสมมติว่าแพลตฟอร์มและการลดการให้บริการถูกปิดใช้งานเพื่อวัตถุประสงค์ในการพัฒนาหรือหากข้ามได้สำเร็จ

เราไม่มีรายงานเกี่ยวกับการแสวงหาประโยชน์จากลูกค้าหรือการละเมิดปัญหาที่รายงานใหม่เหล่านี้ โปรดดูส่วนการ ลดการให้บริการของ Android และ Google สำหรับรายละเอียดเกี่ยวกับการ ป้องกันแพลตฟอร์มความปลอดภัยของ Android และการป้องกันบริการเช่น SafetyNet ซึ่งปรับปรุงความปลอดภัยของแพลตฟอร์ม Android

เราขอแนะนำให้ลูกค้าทุกคนยอมรับการอัปเดตเหล่านี้ในอุปกรณ์ของตน

ประกาศ

  • บูเลทีนนี้มีสตริงระดับแพตช์ความปลอดภัยสองรายการเพื่อให้พาร์ทเนอร์ Android มีความยืดหยุ่นในการแก้ไขช่องโหว่ย่อยที่คล้ายกันในอุปกรณ์ Android ทั้งหมดได้เร็วขึ้น ดู คำถามและคำตอบทั่วไป สำหรับข้อมูลเพิ่มเติม:
    • 2017-03-01 : สตริงระดับแพตช์ความปลอดภัยบางส่วน สตริงระดับโปรแกรมแก้ไขความปลอดภัยนี้บ่งชี้ว่าปัญหาทั้งหมดที่เกี่ยวข้องกับ 2017-03-01 (และสตริงระดับแพตช์ความปลอดภัยก่อนหน้าทั้งหมด) ได้รับการแก้ไขแล้ว
    • 2017-03-05 : กรอกสตริงระดับแพตช์ความปลอดภัย สตริงระดับแพตช์ความปลอดภัยนี้บ่งชี้ว่าปัญหาทั้งหมดที่เกี่ยวข้องกับ 2017-03-01 และ 2017-03-05 (และสตริงระดับแพตช์ความปลอดภัยก่อนหน้าทั้งหมด) ได้รับการแก้ไขแล้ว
  • อุปกรณ์ Google ที่รองรับจะได้รับการอัปเดต OTA เพียงครั้งเดียวพร้อมด้วยระดับแพตช์ความปลอดภัยวันที่ 5 มีนาคม 2017

การบรรเทาบริการ Android และ Google

นี่คือบทสรุปของการบรรเทาที่ได้รับจาก แพลตฟอร์มความปลอดภัย Android และการป้องกันบริการเช่น SafetyNet ความสามารถเหล่านี้ช่วยลดโอกาสที่ช่องโหว่ด้านความปลอดภัยอาจถูกใช้ประโยชน์บน Android ได้สำเร็จ

  • การแสวงหาประโยชน์จากปัญหาต่างๆบน Android ทำได้ยากขึ้นโดยการปรับปรุงในแพลตฟอร์ม Android เวอร์ชันใหม่กว่า เราขอแนะนำให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดหากเป็นไปได้
  • ทีมรักษาความปลอดภัยของ Android คอยตรวจสอบการละเมิดด้วย Verify Apps และ SafetyNet ซึ่งออกแบบมาเพื่อเตือนผู้ใช้เกี่ยวกับ แอปพลิเคชันที่อาจเป็นอันตราย ตรวจสอบว่าแอปเปิดใช้งานโดยค่าเริ่มต้นบนอุปกรณ์ที่มี บริการมือถือของ Google และมีความสำคัญอย่างยิ่งสำหรับผู้ใช้ที่ติดตั้งแอปพลิเคชันจากภายนอก Google Play ห้ามใช้เครื่องมือรูทอุปกรณ์ใน Google Play แต่ Verify Apps จะเตือนผู้ใช้เมื่อพยายามติดตั้งแอปพลิเคชันการรูทที่ตรวจพบไม่ว่าจะมาจากที่ใดก็ตาม นอกจากนี้ Verify Apps ยังพยายามระบุและบล็อกการติดตั้งแอปพลิเคชันที่เป็นอันตรายซึ่งเป็นที่รู้จักซึ่งใช้ช่องโหว่ในการเพิ่มสิทธิ์ หากแอปพลิเคชันดังกล่าวได้รับการติดตั้งแล้ว Verify Apps จะแจ้งให้ผู้ใช้ทราบและพยายามลบแอปพลิเคชันที่ตรวจพบ
  • ตามความเหมาะสมแอปพลิเคชัน Google Hangouts และ Messenger จะไม่ส่งผ่านสื่อไปยังกระบวนการต่างๆเช่น Mediaserver โดยอัตโนมัติ

กิตติกรรมประกาศ

เราขอขอบคุณนักวิจัยเหล่านี้สำหรับผลงานของพวกเขา:

  • Alexander Potapenko จากทีม Google Dynamic Tools: CVE-2017-0537
  • Baozeng Ding, Chengming Yang, Peng Xiao และ Yang Song จาก Alibaba Mobile Security Group: CVE-2017-0506
  • Baozeng Ding, Ning You, Chengming Yang, Peng Xiao และ Yang Song จาก Alibaba Mobile Security Group: CVE-2017-0463
  • Billy Lau จาก Android Security: CVE-2017-0335, CVE-2017-0336, CVE-2017-0338, CVE-2017-0460
  • derrek ( @ derrekr6 ): CVE-2016-8413, CVE-2016-8477, CVE-2017-0531
  • derrek ( @ derrekr6 ) และ Scott Bauer ( @ ScottyBauer1 ): CVE-2017-0521
  • Di Shen ( @returnsme ) จาก KeenLab ( @keen_lab ), Tencent: CVE-2017-0334, CVE-2017-0456, CVE-2017-0457, CVE-2017-0525
  • En He ( @ heeeeen4x ) และ Bo Liu จาก MS509 ทีม : CVE-2017-0490
  • Gengjia Chen ( @ chengjia4574 ) และ pjf จาก IceSword Lab, Qihoo 360 Technology Co. Ltd. : CVE-2017-0500, CVE-2017-0501, CVE-2017-0502, CVE-2017-0503, CVE-2017-0509, CVE-2017-0524, CVE-2017-0529, CVE-2017-0536
  • Hao Chen และ Guang Gong จาก Alpha Team, Qihoo 360 Technology Co. Ltd. : CVE-2017-0453, CVE-2017-0461, CVE-2017-0464
  • Hiroki Yamamoto และ Fang Chen จาก Sony Mobile Communications Inc: CVE-2017-0481
  • นักวิจัย IBM Security X-Force Sagi Kedmi และ Roee Hay: CVE-2017-0510
  • Jianjun Dai ( @Jioun_dai ) จาก Qihoo 360 Skyeye Labs : CVE-2017-0478
  • Jianqiang Zhao ( @jianqiangzhao ) และ pjf จาก IceSword Lab, Qihoo 360: CVE-2016-8416, CVE-2016-8478, CVE-2017-0458, CVE-2017-0459, CVE-2017-0518, CVE-2017-0519 , CVE-2017-0533, CVE-2017-0534
  • Lubo Zhang , Tong Lin , Yuan-Tsung Lo และ Xuxian Jiang จาก C0RE Team : CVE-2016-8479
  • Makoto Onuki จาก Google: CVE-2017-0491
  • Mingjian Zhou ( @Mingjian_Zhou ), Hanxiang Wen และ Xuxian Jiang จาก C0RE Team : CVE-2017-0479, CVE-2017-0480
  • Nathan Crandall ( @natecray ): CVE-2017-0535
  • Nathan Crandall ( @natecray ) จากทีมรักษาความปลอดภัยของผลิตภัณฑ์ Tesla Motors: CVE-2017-0306
  • Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮), Lenx Wei (韦韬) จาก Baidu X-Lab (百度安全实验室): CVE-2016-8417
  • Qidan He (何淇丹) ( @flanker_hqd ) จาก KeenLab, Tencent: CVE-2017-0337, CVE-2017-0476
  • Qing Zhang จาก Qihoo 360 และ Guangdong Bai จาก Singapore Institute of Technology (SIT): CVE-2017-0496
  • Quhe และ wanchouchou จาก Ant-financial Light-Year Security Lab (蚂蚁金服巴斯光年安全实验室): CVE-2017-0522
  • Sahara of Secure Communications ใน DarkMatter: CVE-2017-0528
  • salls ( @chris_salls ) ของ Shellphish Grill Team, UC Santa Barbara: CVE-2017-0505
  • Scott Bauer ( @ ScottyBauer1 ): CVE-2017-0504, CVE-2017-0516
  • Sean Beaupre (beaups): CVE-2017-0455
  • Seven Shen ( @lingtongshen ) จาก Trend Micro: CVE-2017-0452
  • Shinichi Matsumoto จาก Fujitsu: CVE-2017-0498
  • Stéphane Marques จาก ByteRev : CVE-2017-0489
  • Svetoslav Ganov จาก Google: CVE-2017-0492
  • Tong Lin , Yuan-Tsung Lo และ Xuxian Jiang จาก C0RE Team : CVE-2017-0333
  • VEO ( @VYSEa ) ของ Mobile Threat Response Team , Trend Micro : CVE-2017-0466, CVE-2017-0467, CVE-2017-0468, CVE-2017-0469, CVE-2017-0470, CVE-2017-0471, CVE-2017-0472, CVE-2017-0473, CVE-2017-0482, CVE-2017-0484, CVE-2017-0485, CVE-2017-0486, CVE-2017-0487, CVE-2017-0494, CVE- 2017-0495
  • Wish Wu (吴潍浠此彼) ( @wish_wu ) จาก Ant-financial Light-Year Security Lab (蚂蚁金服巴斯光年安全实验室): CVE-2017-0477
  • Yu Pan จากทีม Vulpecker, Qihoo 360 Technology Co. Ltd: CVE-2017-0517, CVE-2017-0532
  • Yuan-Tsung Lo และ Xuxian Jiang จาก C0RE Team : CVE-2017-0526, CVE-2017-0527
  • Yuqi Lu ( @ nikos233 ), Wenke Dou , Dacheng Shao , Mingjian Zhou ( @Mingjian_Zhou ) และ Xuxian Jiang จาก C0RE Team : CVE-2017-0483
  • Zinuo Han ( weibo.com/ele7enxxh ) จาก Chengdu Security Response Center, Qihoo 360 Technology Co. Ltd. : CVE-2017-0475, CVE-2017-0497

2017-03-01 ระดับแพตช์ความปลอดภัย - รายละเอียดช่องโหว่

ในส่วนด้านล่างเราให้รายละเอียดสำหรับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่ใช้กับระดับแพตช์ 2017-03-01 มีคำอธิบายปัญหาเหตุผลความรุนแรงและตารางที่มี CVE การอ้างอิงที่เกี่ยวข้องความรุนแรงอุปกรณ์ Google ที่อัปเดตเวอร์ชัน AOSP ที่อัปเดต (หากมี) และวันที่ที่รายงาน เมื่อพร้อมใช้งานเราจะเชื่อมโยงการเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสข้อบกพร่องเช่นรายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายอย่างเกี่ยวข้องกับจุดบกพร่องเดียวการอ้างอิงเพิ่มเติมจะเชื่อมโยงกับตัวเลขตามรหัสข้อบกพร่อง

ช่องโหว่การเรียกใช้รหัสระยะไกลใน OpenSSL & BoringSSL

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน OpenSSL และ BoringSSL อาจทำให้ผู้โจมตีที่ใช้ไฟล์ที่สร้างขึ้นมาเป็นพิเศษทำให้หน่วยความจำเสียหายระหว่างการประมวลผลไฟล์และข้อมูล ปัญหานี้ได้รับการจัดอันดับเป็นวิกฤตเนื่องจากความเป็นไปได้ของการเรียกใช้รหัสระยะไกลภายในบริบทของกระบวนการที่มีสิทธิพิเศษ

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2016-2182 A-32096880 สำคัญ ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 5 ส.ค. 2559

ช่องโหว่การเรียกใช้รหัสระยะไกลใน Mediaserver

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน Mediaserver สามารถเปิดใช้งานผู้โจมตีโดยใช้ไฟล์ที่สร้างขึ้นมาเป็นพิเศษเพื่อทำให้หน่วยความจำเสียหายระหว่างไฟล์สื่อและการประมวลผลข้อมูล ปัญหานี้ได้รับการจัดอันดับว่าเป็นวิกฤตเนื่องจากความเป็นไปได้ของการเรียกใช้โค้ดจากระยะไกลภายในบริบทของกระบวนการ Mediaserver

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0466 A-33139050 [ 2 ] สำคัญ ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 25 พ.ย. 2559
CVE-2017-0467 A-33250932 [ 2 ] สำคัญ ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 30 พ.ย. 2559
CVE-2017-0468 A-33351708 [ 2 ] สำคัญ ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 5 ธ.ค. 2559
CVE-2017-0469 A-33450635 สำคัญ ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 8 ธ.ค. 2559
CVE-2017-0470 A-33818500 สำคัญ ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 21 ธ.ค. 2559
CVE-2017-0471 A-33816782 สำคัญ ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 21 ธ.ค. 2559
CVE-2017-0472 A-33862021 สำคัญ ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 23 ธ.ค. 2559
CVE-2017-0473 A-33982658 สำคัญ ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 30 ธ.ค. 2559
CVE-2017-0474 A-32589224 สำคัญ ทั้งหมด 7.0, 7.1.1 ภายในของ Google

การเพิ่มช่องโหว่ของสิทธิ์ในการยืนยันการกู้คืน

การเพิ่มช่องโหว่ของสิทธิ์พิเศษในตัวตรวจสอบการกู้คืนอาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าเป็นวิกฤตเนื่องจากมีความเป็นไปได้ที่อุปกรณ์ถาวรภายในเครื่องจะถูกบุกรุกซึ่งอาจต้องมีการรีแฟลชระบบปฏิบัติการเพื่อซ่อมแซมอุปกรณ์

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0475 A-31914369 สำคัญ ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 2 ต.ค. 2559

ช่องโหว่การเรียกใช้รหัสระยะไกลในการส่งข้อความ AOSP

ช่องโหว่การเรียกใช้รหัสระยะไกลใน AOSP Messaging อาจทำให้ผู้โจมตีที่ใช้ไฟล์ที่สร้างขึ้นมาเป็นพิเศษทำให้หน่วยความจำเสียหายระหว่างไฟล์สื่อและการประมวลผลข้อมูล ปัญหานี้ได้รับการจัดอันดับว่าสูงเนื่องจากความเป็นไปได้ของการเรียกใช้โค้ดจากระยะไกลภายในบริบทของกระบวนการที่ไม่มีสิทธิพิเศษ

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0476 A-33388925 สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 6 ธ.ค. 2559

ช่องโหว่การเรียกใช้รหัสระยะไกลใน libgdx

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน libgdx สามารถเปิดใช้งานผู้โจมตีโดยใช้ไฟล์ที่สร้างขึ้นมาเป็นพิเศษเพื่อเรียกใช้รหัสโดยพลการภายในบริบทของกระบวนการที่ไม่มีสิทธิ์ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากความเป็นไปได้ของการเรียกใช้รหัสระยะไกลในแอปพลิเคชันที่ใช้ไลบรารีนี้

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0477 A-33621647 สูง ทั้งหมด 7.1.1 14 ธ.ค. 2559

ช่องโหว่การเรียกใช้รหัสระยะไกลในไลบรารี Framesequence

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลในไลบรารี Framesequence สามารถเปิดใช้งานผู้โจมตีโดยใช้ไฟล์ที่สร้างขึ้นมาเป็นพิเศษเพื่อเรียกใช้รหัสตามอำเภอใจในบริบทของกระบวนการที่ไม่มีสิทธิ์ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากความเป็นไปได้ของการเรียกใช้โค้ดระยะไกลในแอปพลิเคชันที่ใช้ไลบรารี Framesequence

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0478 A-33718716 สูง ทั้งหมด 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 16 ธ.ค. 2559

การเพิ่มช่องโหว่ของสิทธิ์ใน NFC

การยกระดับช่องโหว่ของสิทธิ์พิเศษใน NFC อาจทำให้ผู้โจมตีที่อยู่ใกล้เคียงสามารถเรียกใช้รหัสโดยพลการภายในบริบทของกระบวนการที่มีสิทธิพิเศษ ปัญหานี้ได้รับการจัดอันดับว่าสูงเนื่องจากสามารถใช้เพื่อเข้าถึงความสามารถที่ยกระดับในพื้นที่ซึ่งโดยปกติแอปพลิเคชันของบุคคลที่สามไม่สามารถเข้าถึงได้

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0481 A-33434992 สูง ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 6 พ.ย. 2559

การเพิ่มช่องโหว่ของสิทธิ์ใน Audioserver

การเพิ่มช่องโหว่ของสิทธิพิเศษใน Audioserver อาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของกระบวนการที่มีสิทธิพิเศษ ปัญหานี้ได้รับการจัดอันดับว่าสูงเนื่องจากสามารถใช้เพื่อเข้าถึงความสามารถที่ยกระดับในพื้นที่ซึ่งโดยปกติแอปพลิเคชันของบุคคลที่สามไม่สามารถเข้าถึงได้

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0479 A-32707507 [ 2 ] สูง ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 7 พ.ย. 2559
CVE-2017-0480 A-32705429 [ 2 ] สูง ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 7 พ.ย. 2559

การปฏิเสธช่องโหว่ของบริการใน Mediaserver

ช่องโหว่การปฏิเสธบริการใน Mediaserver อาจทำให้ผู้โจมตีสามารถใช้ไฟล์ที่สร้างขึ้นมาเป็นพิเศษเพื่อทำให้อุปกรณ์ค้างหรือรีบูตได้ ปัญหานี้ได้รับการจัดอันดับว่ามีความรุนแรงสูงเนื่องจากมีความเป็นไปได้ของการปฏิเสธการให้บริการจากระยะไกล

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0482 A-33090864 [ 2 ] [ 3 ] [ 4 ] [ 5 ] [ 6 ] สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 22 พ.ย. 2559
CVE-2017-0483 A-33137046 [ 2 ] สูง ทั้งหมด 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 24 พ.ย. 2559
CVE-2017-0484 A-33298089 [ 2 ] สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 1 ธ.ค. 2559
CVE-2017-0485 A-33387820 สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 6 ธ.ค. 2559
CVE-2017-0486 A-33621215 สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 14 ธ.ค. 2559
CVE-2017-0487 A-33751193 สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 19 ธ.ค. 2559
CVE-2017-0488 A-34097213 สูง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 ภายในของ Google

การเพิ่มช่องโหว่ของสิทธิ์ใน Location Manager

การยกระดับช่องโหว่ของสิทธิ์ในตัวจัดการตำแหน่งอาจทำให้แอปพลิเคชันที่เป็นอันตรายในพื้นที่สามารถข้ามการป้องกันระบบปฏิบัติการสำหรับข้อมูลตำแหน่งได้ ปัญหานี้ได้รับการจัดอันดับให้อยู่ในระดับปานกลางเนื่องจากอาจใช้เพื่อสร้างข้อมูลที่ไม่ถูกต้อง

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0489 A-33091107 ปานกลาง ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 20 พ.ย. 2559

การยกระดับช่องโหว่ของสิทธิ์ใน Wi-Fi

การเพิ่มช่องโหว่ของสิทธิ์ใน Wi-Fi อาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถลบข้อมูลผู้ใช้ ปัญหานี้ได้รับการจัดอันดับให้อยู่ในระดับปานกลางเนื่องจากเป็นการข้ามข้อกำหนดในการโต้ตอบกับผู้ใช้ซึ่งโดยปกติจะต้องมีการเริ่มต้นของผู้ใช้หรือการอนุญาตของผู้ใช้

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0490 A-33178389 [ 2 ] [ 3 ] ปานกลาง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 25 พ.ย. 2559

การเพิ่มช่องโหว่ของสิทธิ์ในตัวจัดการแพ็คเกจ

การเพิ่มช่องโหว่ของสิทธิพิเศษใน Package Manager สามารถเปิดใช้งานแอปพลิเคชันที่เป็นอันตรายในพื้นที่เพื่อป้องกันไม่ให้ผู้ใช้ถอนการติดตั้งแอปพลิเคชันหรือลบสิทธิ์ออกจากแอปพลิเคชัน ปัญหานี้ได้รับการจัดอันดับให้อยู่ในระดับปานกลางเนื่องจากเป็นการเลี่ยงผ่านข้อกำหนดในการโต้ตอบกับผู้ใช้

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0491 A-32553261 ปานกลาง ทั้งหมด 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 ภายในของ Google

การเพิ่มช่องโหว่ของสิทธิ์ใน UI ของระบบ

การเพิ่มช่องโหว่ของสิทธิพิเศษใน UI ของระบบอาจทำให้แอปพลิเคชันที่เป็นอันตรายในพื้นที่สามารถสร้างการซ้อนทับ UI ที่ครอบคลุมทั้งหน้าจอ ปัญหานี้ได้รับการจัดอันดับให้อยู่ในระดับปานกลางเนื่องจากเป็นการข้ามข้อกำหนดในการโต้ตอบกับผู้ใช้ซึ่งโดยปกติจะต้องมีการเริ่มต้นของผู้ใช้หรือการอนุญาตของผู้ใช้

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0492 ก -30150688 ปานกลาง ทั้งหมด 7.1.1 ภายในของ Google

ช่องโหว่ในการเปิดเผยข้อมูลใน AOSP Messaging

ช่องโหว่ในการเปิดเผยข้อมูลใน AOSP Messaging สามารถเปิดใช้งานผู้โจมตีจากระยะไกลโดยใช้ไฟล์ที่สร้างขึ้นพิเศษเพื่อเข้าถึงข้อมูลนอกระดับสิทธิ์ ปัญหานี้ได้รับการจัดอันดับให้อยู่ในระดับปานกลางเนื่องจากสามารถใช้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาต

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0494 A-32764144 ปานกลาง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 9 พ.ย. 2559

ช่องโหว่ในการเปิดเผยข้อมูลใน Mediaserver

ช่องโหว่ในการเปิดเผยข้อมูลใน Mediaserver อาจทำให้แอปพลิเคชันที่เป็นอันตรายในพื้นที่สามารถเข้าถึงข้อมูลนอกระดับสิทธิ์ได้ ปัญหานี้ได้รับการจัดอันดับให้อยู่ในระดับปานกลางเนื่องจากสามารถใช้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาต

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0495 A-33552073 ปานกลาง ทั้งหมด 6.0, 6.0.1, 7.0, 7.1.1 11 ธ.ค. 2559

การปฏิเสธช่องโหว่ของบริการใน Setup Wizard

ช่องโหว่การปฏิเสธบริการในวิซาร์ดการตั้งค่าอาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบปิดกั้นการเข้าถึงอุปกรณ์ที่ได้รับผลกระทบชั่วคราว ปัญหานี้ได้รับการจัดอันดับให้อยู่ในระดับปานกลางเนื่องจากอาจต้องรีเซ็ตเป็นค่าเริ่มต้นจากโรงงานเพื่อซ่อมแซมอุปกรณ์

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0496 A-31554152 * ปานกลาง ไม่มี** 5.0.2, 5.1.1, 6.0, 6.0.1 14 ก.ย. 2559

* แพตช์สำหรับปัญหานี้ไม่สามารถใช้ได้แบบสาธารณะ การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Google ที่มีให้จาก ไซต์ Google Developer

** อุปกรณ์ Google ที่รองรับบน Android 7.0 หรือใหม่กว่าที่ติดตั้งอัปเดตที่มีอยู่ทั้งหมดจะไม่ได้รับผลกระทบจากช่องโหว่นี้

การปฏิเสธช่องโหว่ของบริการใน Mediaserver

ช่องโหว่การปฏิเสธบริการใน Mediaserver อาจทำให้ผู้โจมตีสามารถใช้ไฟล์ที่สร้างขึ้นมาเป็นพิเศษเพื่อทำให้อุปกรณ์ค้างหรือรีบูตได้ ปัญหานี้ได้รับการจัดอันดับให้เป็นปานกลางเนื่องจากต้องมีการกำหนดค่าอุปกรณ์ที่ผิดปกติ

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0497 A-33300701 ปานกลาง ทั้งหมด 7.0, 7.1.1 2 ธ.ค. 2559

การปฏิเสธช่องโหว่ของบริการใน Setup Wizard

ช่องโหว่ของการปฏิเสธบริการในวิซาร์ดการตั้งค่าอาจทำให้ผู้โจมตีในพื้นที่ต้องการการลงชื่อเข้าใช้บัญชี Google หลังจากรีเซ็ตเป็นค่าเริ่มต้นจากโรงงาน ปัญหานี้ได้รับการจัดอันดับให้อยู่ในระดับปานกลางเนื่องจากอาจต้องรีเซ็ตเป็นค่าเริ่มต้นจากโรงงานเพื่อซ่อมแซมอุปกรณ์

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0498 ก -30352311 [ 2 ] ปานกลาง ทั้งหมด 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 ภายในของ Google

การปฏิเสธช่องโหว่ของบริการใน Audioserver

ช่องโหว่ของการปฏิเสธบริการใน Audioserver สามารถเปิดใช้งานแอปพลิเคชันที่เป็นอันตรายในระบบเพื่อทำให้อุปกรณ์ค้างหรือรีบูต ปัญหานี้ได้รับการจัดระดับเป็นต่ำเนื่องจากความเป็นไปได้ของการปฏิเสธการให้บริการชั่วคราว

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google อัปเดตเวอร์ชัน AOSP วันที่รายงาน
CVE-2017-0499 A-32095713 ต่ำ ทั้งหมด 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 11 ต.ค. 2559

2017-03-05 ระดับแพตช์ความปลอดภัย - รายละเอียดช่องโหว่

ในส่วนด้านล่างเราให้รายละเอียดสำหรับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่ใช้กับระดับแพตช์ 2017-03-05 มีคำอธิบายของปัญหาเหตุผลความรุนแรงและตารางที่มี CVE การอ้างอิงที่เกี่ยวข้องความรุนแรงอุปกรณ์ Google ที่อัปเดตเวอร์ชัน AOSP ที่อัปเดต (หากมี) และวันที่ที่รายงาน เมื่อพร้อมใช้งานเราจะเชื่อมโยงการเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสข้อบกพร่องเช่นรายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายอย่างเกี่ยวข้องกับจุดบกพร่องเดียวการอ้างอิงเพิ่มเติมจะเชื่อมโยงกับตัวเลขตามรหัสข้อบกพร่อง

การเพิ่มช่องโหว่ของสิทธิพิเศษในส่วนประกอบ MediaTek

การเพิ่มช่องโหว่ของสิทธิพิเศษในส่วนประกอบ MediaTek ซึ่งรวมถึงไดรเวอร์ M4U ไดรเวอร์เสียงไดรเวอร์หน้าจอสัมผัสไดรเวอร์ GPU และไดรเวอร์คิวคำสั่งอาจทำให้แอปพลิเคชันที่เป็นอันตรายในพื้นที่สามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าเป็นวิกฤตเนื่องจากมีความเป็นไปได้ที่อุปกรณ์ถาวรในเครื่องอาจถูกบุกรุกซึ่งอาจต้องมีการรีแฟลชระบบปฏิบัติการเพื่อซ่อมแซมอุปกรณ์

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2017-0500 A-28429685 *
M-ALPS02710006
สำคัญ ไม่มี** 27 เม.ย. 2559
CVE-2017-0501 A-28430015 *
M-ALPS02708983
สำคัญ ไม่มี** 27 เม.ย. 2559
CVE-2017-0502 A-28430164 *
M-ALPS02710027
สำคัญ ไม่มี** 27 เม.ย. 2559
CVE-2017-0503 A-28449045 *
M-ALPS02710075
สำคัญ ไม่มี** 28 เม.ย. 2559
CVE-2017-0504 A-30074628 *
M-ALPS02829371
สำคัญ ไม่มี** 9 ก.ค. 2559
CVE-2017-0505 A-31822282 *
M-ALPS02992041
สำคัญ ไม่มี** 28 ก.ย. 2559
CVE-2017-0506 A-32276718 *
M-ALPS03006904
สำคัญ ไม่มี** 18 ต.ค. 2559

* แพตช์สำหรับปัญหานี้ไม่สามารถใช้ได้แบบสาธารณะ การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่มีให้จาก ไซต์ Google Developer

** อุปกรณ์ Google ที่รองรับบน Android 7.0 หรือใหม่กว่าที่ติดตั้งอัปเดตที่มีอยู่ทั้งหมดจะไม่ได้รับผลกระทบจากช่องโหว่นี้

การเพิ่มช่องโหว่ของสิทธิ์พิเศษในไดรเวอร์ NVIDIA GPU

การเพิ่มช่องโหว่ของสิทธิ์พิเศษในไดรเวอร์ NVIDIA GPU อาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าเป็นวิกฤตเนื่องจากมีความเป็นไปได้ที่อุปกรณ์ถาวรในเครื่องอาจถูกบุกรุกซึ่งอาจต้องมีการรีแฟลชระบบปฏิบัติการเพื่อซ่อมแซมอุปกรณ์

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2017-0337 A-31992762 *
N-CVE-2017-0337
สำคัญ พิกเซลค 6 ต.ค. 2559
CVE-2017-0338 A-33057977 *
N-CVE-2017-0338
สำคัญ พิกเซลค 21 พ.ย. 2559
CVE-2017-0333 A-33899363 *
N-CVE-2017-0333
สำคัญ พิกเซลค 25 ธ.ค. 2559
CVE-2017-0306 A-34132950 *
N-CVE-2017-0306
สำคัญ Nexus 9 6 ม.ค. 2017
CVE-2017-0335 A-33043375 *
N-CVE-2017-0335
สำคัญ พิกเซลค ภายในของ Google

* แพตช์สำหรับปัญหานี้ไม่สามารถใช้ได้แบบสาธารณะ การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่มีให้จาก ไซต์ Google Developer

การเพิ่มช่องโหว่ของสิทธิพิเศษในระบบย่อย Kernel ION

การยกระดับช่องโหว่ของสิทธิพิเศษในระบบย่อยของเคอร์เนล ION อาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าเป็นวิกฤตเนื่องจากมีความเป็นไปได้ที่อุปกรณ์ถาวรในเครื่องอาจถูกบุกรุกซึ่งอาจต้องมีการรีแฟลชระบบปฏิบัติการเพื่อซ่อมแซมอุปกรณ์

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2017-0507 A-31992382 * สำคัญ Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Pixel, Pixel XL 6 ต.ค. 2559
CVE-2017-0508 A-33940449 * สำคัญ พิกเซลค 28 ธ.ค. 2559

* แพตช์สำหรับปัญหานี้ไม่สามารถใช้ได้แบบสาธารณะ การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่มีให้จาก ไซต์ Google Developer

การเพิ่มช่องโหว่ของสิทธิพิเศษในไดรเวอร์ Broadcom Wi-Fi

การเพิ่มช่องโหว่ของสิทธิพิเศษในไดรเวอร์ Broadcom Wi-Fi อาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถเรียกใช้รหัสโดยพลการภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าเป็นวิกฤตเนื่องจากมีความเป็นไปได้ที่อุปกรณ์ถาวรในเครื่องอาจถูกบุกรุกซึ่งอาจต้องมีการรีแฟลชระบบปฏิบัติการเพื่อซ่อมแซมอุปกรณ์

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2017-0509 A-32124445 *
B-RB # 110688
สำคัญ ไม่มี** 12 ต.ค. 2559

* แพตช์สำหรับปัญหานี้ไม่สามารถใช้ได้แบบสาธารณะ การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่มีให้จาก ไซต์ Google Developer

** อุปกรณ์ Google ที่รองรับบน Android 7.0 หรือใหม่กว่าที่ติดตั้งอัปเดตที่มีอยู่ทั้งหมดจะไม่ได้รับผลกระทบจากช่องโหว่นี้

การเพิ่มช่องโหว่ของสิทธิ์ในเคอร์เนล FIQ debugger

การเพิ่มช่องโหว่ของสิทธิ์ในเคอร์เนล FIQ debugger อาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าเป็นวิกฤตเนื่องจากมีความเป็นไปได้ที่อุปกรณ์ถาวรในเครื่องอาจถูกบุกรุกซึ่งอาจต้องมีการรีแฟลชระบบปฏิบัติการเพื่อซ่อมแซมอุปกรณ์

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2017-0510 A-32402555 * สำคัญ Nexus 9 25 ต.ค. 2559

* แพตช์สำหรับปัญหานี้ไม่สามารถใช้ได้แบบสาธารณะ การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่มีให้จาก ไซต์ Google Developer

การเพิ่มช่องโหว่ของสิทธิ์พิเศษในไดรเวอร์ Qualcomm GPU

การเพิ่มช่องโหว่ของสิทธิ์พิเศษในไดรเวอร์ Qualcomm GPU อาจทำให้แอปพลิเคชันที่เป็นอันตรายในพื้นที่สามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าเป็นวิกฤตเนื่องจากมีความเป็นไปได้ที่อุปกรณ์ถาวรในเครื่องอาจมีการบุกรุกซึ่งอาจต้องมีการรีแฟลชระบบปฏิบัติการเพื่อซ่อมแซมอุปกรณ์

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2016-8479 A-31824853 *
QC-CR # 1093687
สำคัญ Android One, Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL 29 ก.ย. 2559

* แพตช์สำหรับปัญหานี้ไม่สามารถใช้ได้แบบสาธารณะ การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่มีให้จาก ไซต์ Google Developer

การเพิ่มช่องโหว่ของสิทธิพิเศษในระบบย่อยเครือข่ายเคอร์เนล

การยกระดับช่องโหว่ของสิทธิพิเศษในระบบย่อยเครือข่ายเคอร์เนลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าเป็นวิกฤตเนื่องจากมีความเป็นไปได้ที่อุปกรณ์ถาวรในเครื่องอาจถูกบุกรุกซึ่งอาจต้องมีการรีแฟลชระบบปฏิบัติการเพื่อซ่อมแซมอุปกรณ์

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2016-9806 A-33393474
เคอร์เนลต้นน้ำ
สำคัญ Pixel C, Pixel, Pixel XL 4 ธ.ค. 2559
CVE-2016-10200 A-33753815
เคอร์เนลต้นน้ำ
สำคัญ Nexus 5X, Nexus 6P, Pixel, Pixel XL 19 ธ.ค. 2559

ช่องโหว่ในส่วนประกอบของ Qualcomm

ช่องโหว่ต่อไปนี้ส่งผลกระทบต่อส่วนประกอบของ Qualcomm และมีการอธิบายรายละเอียดเพิ่มเติมในเอกสารความปลอดภัยของ Qualcomm AMSS กันยายน 2016

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2016-8484 A-28823575 ** สำคัญ ไม่มี*** Qualcomm ภายใน
CVE-2016-8485 A-28823681 ** สำคัญ ไม่มี*** Qualcomm ภายใน
CVE-2016-8486 A-28823691 ** สำคัญ ไม่มี*** Qualcomm ภายใน
CVE-2016-8487 A-28823724 ** สำคัญ ไม่มี*** Qualcomm ภายใน
CVE-2016-8488 A-31625756 ** สำคัญ ไม่มี*** Qualcomm ภายใน

* ระดับความรุนแรงของช่องโหว่เหล่านี้ถูกกำหนดโดยผู้ให้บริการ

* แพตช์สำหรับปัญหานี้ไม่สามารถใช้ได้แบบสาธารณะ การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่มีให้จาก ไซต์ Google Developer

*** อุปกรณ์ Google ที่รองรับบน Android 7.0 หรือใหม่กว่าที่ติดตั้งอัปเดตที่มีอยู่ทั้งหมดจะไม่ได้รับผลกระทบจากช่องโหว่นี้

การเพิ่มช่องโหว่ของสิทธิพิเศษในระบบย่อยเครือข่ายเคอร์เนล

การยกระดับช่องโหว่ของสิทธิพิเศษในระบบย่อยเครือข่ายเคอร์เนลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าสูงเนื่องจากต้องมีการประนีประนอมกระบวนการที่มีสิทธิพิเศษก่อน

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2016-8655 A-33358926
เคอร์เนลต้นน้ำ
สูง Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Pixel, Pixel XL 12 ต.ค. 2559
CVE-2016-9793 A-33363517
เคอร์เนลต้นน้ำ
สูง Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Pixel, Pixel XL 2 ธ.ค. 2559

การเพิ่มช่องโหว่ของสิทธิพิเศษในไดรเวอร์ฮาร์ดแวร์อินพุตของ Qualcomm

การเพิ่มช่องโหว่ของสิทธิพิเศษในไดรเวอร์ฮาร์ดแวร์อินพุตของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในพื้นที่สามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าสูงเนื่องจากต้องมีการประนีประนอมกระบวนการที่มีสิทธิพิเศษก่อน

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2017-0516 A-32341680 *
QC-CR # 1096301
สูง Android One, Pixel, Pixel XL 21 ต.ค. 2559

* แพตช์สำหรับปัญหานี้ไม่สามารถใช้ได้แบบสาธารณะ การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่มีให้จาก ไซต์ Google Developer

การเพิ่มช่องโหว่ของสิทธิพิเศษในไดรเวอร์ MediaTek Hardware Sensor

การเพิ่มช่องโหว่ของสิทธิ์พิเศษในไดรเวอร์เซ็นเซอร์ฮาร์ดแวร์ MediaTek อาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าสูงเนื่องจากต้องมีการประนีประนอมกระบวนการที่มีสิทธิพิเศษก่อน

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2017-0517 A-32372051 *
M-ALPS02973195
สูง ไม่มี** 22 ต.ค. 2559

* แพตช์สำหรับปัญหานี้ไม่สามารถใช้ได้แบบสาธารณะ การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่มีให้จาก ไซต์ Google Developer

** อุปกรณ์ Google ที่รองรับบน Android 7.0 หรือใหม่กว่าที่ติดตั้งอัปเดตที่มีอยู่ทั้งหมดจะไม่ได้รับผลกระทบจากช่องโหว่นี้

การเพิ่มช่องโหว่ของสิทธิพิเศษในไดรเวอร์ Qualcomm ADSPRPC

การเพิ่มช่องโหว่ของสิทธิ์พิเศษในไดรเวอร์ Qualcomm ADSPRPC อาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถเรียกใช้รหัสโดยพลการภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าสูงเนื่องจากต้องมีการประนีประนอมกระบวนการที่มีสิทธิพิเศษก่อน

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2017-0457 A-31695439 *
QC-CR # 1086123
QC-CR # 1100695
สูง Nexus 5X, Nexus 6P, Pixel, Pixel XL 22 ก.ย. 2559

* แพตช์สำหรับปัญหานี้ไม่สามารถใช้ได้แบบสาธารณะ การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่มีให้จาก ไซต์ Google Developer

การเพิ่มช่องโหว่ของสิทธิพิเศษในไดรเวอร์เซ็นเซอร์ลายนิ้วมือ Qualcomm

การเพิ่มช่องโหว่ของสิทธิ์พิเศษในไดรเวอร์เซ็นเซอร์ลายนิ้วมือของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในพื้นที่สามารถเรียกใช้รหัสโดยพลการภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าสูงเนื่องจากต้องมีการประนีประนอมกระบวนการที่มีสิทธิพิเศษก่อน

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2017-0518 A-32370896 *
QC-CR # 1086530
สูง Pixel, Pixel XL 24 ต.ค. 2559
CVE-2017-0519 A-32372915 *
QC-CR # 1086530
สูง Pixel, Pixel XL 24 ต.ค. 2559

* แพตช์สำหรับปัญหานี้ไม่สามารถใช้ได้แบบสาธารณะ การอัปเดตนี้มีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่มีให้จาก ไซต์ Google Developer

การเพิ่มช่องโหว่ของสิทธิพิเศษในโปรแกรมควบคุมเครื่องมือเข้ารหัสลับของ Qualcomm

การเพิ่มช่องโหว่ของสิทธิพิเศษในโปรแกรมควบคุมเครื่องมือเข้ารหัสลับของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในพื้นที่สามารถเรียกใช้รหัสโดยพลการภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าสูงเนื่องจากต้องมีการประนีประนอมกระบวนการที่มีสิทธิพิเศษก่อน

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2017-0520 A-31750232
QC-CR # 1082636
สูง Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 24 ก.ย. 2559

การเพิ่มช่องโหว่ของสิทธิพิเศษในไดรเวอร์กล้อง Qualcomm

การเพิ่มช่องโหว่ของสิทธิ์พิเศษในไดรเวอร์กล้อง Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในพื้นที่สามารถเรียกใช้รหัสโดยพลการภายในบริบทของเคอร์เนล ปัญหานี้ได้รับการจัดอันดับว่าสูงเนื่องจากต้องมีการประนีประนอมกระบวนการที่มีสิทธิพิเศษก่อน

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2017-0458 A-32588962
QC-CR # 1089433
สูง Pixel, Pixel XL 31 ต.ค. 2559
CVE-2017-0521 A-32919951
QC-CR # 1097709
สูง Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL 15 พ.ย. 2559

การเพิ่มช่องโหว่ของสิทธิ์ใน MediaTek APK

การเพิ่มช่องโหว่ของสิทธิพิเศษใน MediaTek APK อาจทำให้แอปพลิเคชันที่เป็นอันตรายในพื้นที่สามารถเรียกใช้รหัสโดยอำเภอใจภายในบริบทของกระบวนการที่มีสิทธิพิเศษ ปัญหานี้ได้รับการจัดอันดับว่าสูงเนื่องจากความเป็นไปได้ของการใช้รหัสโดยอำเภอใจในท้องถิ่นในกระบวนการที่มีสิทธิพิเศษ

CVE อ้างอิง ความรุนแรง อัปเดตอุปกรณ์ Google วันที่รายงาน
CVE-2017-0522 A-32916158*
M-ALPS03032516
High None** Nov 15, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

** Supported Google devices on Android 7.0 or later that have installed all available updates are not affected by this vulnerability.

Elevation of privilege vulnerability in Qualcomm Wi-Fi driver

An elevation of privilege vulnerability in the Qualcomm Wi-Fi driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2017-0464 A-32940193
QC-CR#1102593
High Nexus 5X, Pixel, Pixel XL Nov 15, 2016
CVE-2017-0453 A-33979145
QC-CR#1105085
High Nexus 5X, Android One Dec 30, 2016
CVE-2017-0523 A-32835279
QC-CR#1096945
High None* Google internal

* Supported Google devices on Android 7.0 or later that have installed all available updates are not affected by this vulnerability.

Elevation of privilege vulnerability in Synaptics touchscreen driver

An elevation of privilege vulnerability in the Synaptics touchscreen driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2017-0524 A-33002026 High Android One, Nexus 5X, Nexus 6P, Nexus 9, Pixel, Pixel XL Nov 18, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in Qualcomm IPA driver

An elevation of privilege vulnerability in the Qualcomm IPA driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2017-0456 A-33106520*
QC-CR#1099598
High Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL Nov 23, 2016
CVE-2017-0525 A-33139056*
QC-CR#1097714
High Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL Nov 25, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in HTC Sensor Hub Driver

An elevation of privilege vulnerability in the HTC Sensor Hub Driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2017-0526 A-33897738* High Nexus 9 Dec 25, 2016
CVE-2017-0527 A-33899318* High Nexus 9, Pixel, Pixel XL Dec 25, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in NVIDIA GPU driver

An elevation of privilege vulnerability in the NVIDIA GPU driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as Critical due to the possibility of a local permanent device compromise, which may require reflashing the operating system to repair the device.

CVE References Severity Updated Google devices Date reported
CVE-2017-0307 A-33177895*
N-CVE-2017-0307
High None** Nov 28, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

** Supported Google devices on Android 7.0 or later that have installed all available updates are not affected by this vulnerability.

Elevation of privilege vulnerability in Qualcomm networking driver

An elevation of privilege vulnerability in the Qualcomm networking driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2017-0463 A-33277611
QC-CR#1101792
High Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Nov 30, 2016
CVE-2017-0460 A-31252965*
QC-CR#1098801
High Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL Google internal

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in kernel security subsystem

An elevation of privilege vulnerability in the kernel security subsystem could enable a local malicious application to to execute code in the context of a privileged process. This issue is rated as High because it is a general bypass for a kernel level defense in depth or exploit mitigation technology.

CVE References Severity Updated Google devices Date reported
CVE-2017-0528 A-33351919* High Pixel, Pixel XL Dec 4, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Elevation of privilege vulnerability in Qualcomm SPCom driver

An elevation of privilege vulnerability in the Qualcomm SPCom driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as High because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2016-5856 A-32610665
QC-CR#1094078
High None* Google internal
CVE-2016-5857 A-34386529
QC-CR#1094140
High None* Google internal

* Supported Google devices on Android 7.0 or later that have installed all available updates are not affected by this vulnerability.

Information disclosure vulnerability in kernel networking subsystem

An information disclosure vulnerability in the kernel networking subsystem could enable a local proximate attacker to gain access to sensitive information. This issue is rated as High because it could be used to access data without permission.

CVE References Severity Updated Google devices Date reported
CVE-2014-8709 A-34077221
Upstream kernel
High Nexus Player Nov 9, 2014

Information disclosure vulnerability in MediaTek driver

An information disclosure vulnerability in the MediaTek driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as High because it could be used to access sensitive data without explicit user permission.

CVE References Severity Updated Google devices Date reported
CVE-2017-0529 A-28449427*
M-ALPS02710042
High None** Apr 27, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

** Supported Google devices on Android 7.0 or later that have installed all available updates are not affected by this vulnerability.

Information disclosure vulnerability in Qualcomm bootloader

An information disclosure vulnerability in the Qualcomm bootloader could help to enable a local malicious application to to execute arbitrary code within the context of the bootloader. This issue is rated as High because it is a general bypass for a bootloader level defense in depth or exploit mitigation technology.

CVE References Severity Updated Google devices Date reported
CVE-2017-0455 A-32370952
QC-CR#1082755
High Pixel, Pixel XL Oct 21, 2016

Information disclosure vulnerability in Qualcomm power driver

An information disclosure vulnerability in the Qualcomm power driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as High because it could be used to access sensitive data without explicit user permission.

CVE References Severity Updated Google devices Date reported
CVE-2016-8483 A-33745862
QC-CR#1035099
High Nexus 5X, Nexus 6P Dec 19, 2016

Information disclosure vulnerability in NVIDIA GPU driver

An information disclosure vulnerability in the NVIDIA GPU driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as High because it could be used to access sensitive data without explicit user permission.

CVE References Severity Updated Google devices Date reported
CVE-2017-0334 A-33245849*
N-CVE-2017-0334
High Pixel C Nov 30, 2016
CVE-2017-0336 A-33042679*
N-CVE-2017-0336
High Pixel C Google internal

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Denial of service vulnerability in kernel cryptographic subsystem

A denial of service vulnerability in the kernel cryptographic subsystem could enable a remote attacker to use a specially crafted network packet to cause a device hang or reboot. This issue is rated as High due to the possibility of remote denial of service.

CVE References Severity Updated Google devices Date reported
CVE-2016-8650 A-33401771
Upstream kernel
High Nexus 5X, Nexus 6P, Pixel, Pixel XL Oct 12, 2016

Elevation of privilege vulnerability in Qualcomm camera driver (device specific)

An elevation of privilege vulnerability in the Qualcomm camera driver could enable a local malicious application to execute arbitrary code within the context of the kernel. This issue is rated as Moderate because it first requires compromising a privileged process and is mitigated by current platform configurations.

CVE References Severity Updated Google devices Date reported
CVE-2016-8417 A-32342399
QC-CR#1088824
Moderate Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Oct 21, 2016

Information disclosure vulnerability in Qualcomm Wi-Fi driver

An information disclosure vulnerability in the Qualcomm Wi-Fi driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2017-0461 A-32073794
QC-CR#1100132
Moderate Android One, Nexus 5X, Pixel, Pixel XL Oct 9, 2016
CVE-2017-0459 A-32644895
QC-CR#1091939
Moderate Pixel, Pixel XL Nov 3, 2016
CVE-2017-0531 A-32877245
QC-CR#1087469
Moderate Android One, Nexus 5X, Nexus 6P, Pixel, Pixel XL Nov 13, 2016

Information disclosure vulnerability in MediaTek video codec driver

An information disclosure vulnerability in the MediaTek video codec driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2017-0532 A-32370398*
M-ALPS03069985
Moderate None** Oct 22, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

** Supported Google devices on Android 7.0 or later that have installed all available updates are not affected by this vulnerability.

Information disclosure vulnerability in Qualcomm video driver

An information disclosure vulnerability in the Qualcomm video driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2017-0533 A-32509422
QC-CR#1088206
Moderate Pixel, Pixel XL Oct 27, 2016
CVE-2017-0534 A-32508732
QC-CR#1088206
Moderate Pixel, Pixel XL Oct 28, 2016
CVE-2016-8416 A-32510746
QC-CR#1088206
Moderate Pixel, Pixel XL Oct 28, 2016
CVE-2016-8478 A-32511270
QC-CR#1088206
Moderate Pixel, Pixel XL Oct 28, 2016

Information disclosure vulnerability in Qualcomm camera driver

An information disclosure vulnerability in the Qualcomm camera driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2016-8413 A-32709702
QC-CR#518731
Moderate Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Nov 4, 2016
CVE-2016-8477 A-32720522
QC-CR#1090007 [ 2 ]
Moderate Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Nov 7, 2016

Information disclosure vulnerability in HTC sound codec driver

An information disclosure vulnerability in the HTC sound codec driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2017-0535 A-33547247* Moderate Nexus 9 Dec 11, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Information disclosure vulnerability in Synaptics touchscreen driver

An information disclosure vulnerability in the Synaptics touchscreen driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2017-0536 A-33555878* Moderate Android One, Nexus 5X, Nexus 6P, Nexus 9, Pixel, Pixel XL Dec 12, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Information disclosure vulnerability in kernel USB gadget driver

An information disclosure vulnerability in the kernel USB gadget driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Moderate because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2017-0537 A-31614969* Moderate Pixel C Google internal

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Information disclosure vulnerability in Qualcomm camera driver

An information disclosure vulnerability in the Qualcomm camera driver could enable a local malicious application to access data outside of its permission levels. This issue is rated as Low because it first requires compromising a privileged process.

CVE References Severity Updated Google devices Date reported
CVE-2017-0452 A-32873615*
QC-CR#1093693
Low Nexus 5X, Nexus 6P, Android One Nov 10, 2016

* The patch for this issue is not publicly available. The update is contained in the latest binary drivers for Nexus devices available from the Google Developer site .

Common Questions and Answers

This section answers common questions that may occur after reading this bulletin.

1. How do I determine if my device is updated to address these issues?

To learn how to check a device's security patch level, read the instructions on the Pixel and Nexus update schedule .

  • Security patch levels of 2017-03-01 or later address all issues associated with the 2017-03-01 security patch level.
  • Security patch levels of 2017-03-05 or later address all issues associated with the 2017-03-05 security patch level and all previous patch levels.

Device manufacturers that include these updates should set the patch string level to:

  • [ro.build.version.security_patch]:[2017-03-01]
  • [ro.build.version.security_patch]:[2017-03-05]

2. Why does this bulletin have two security patch levels?

This bulletin has two security patch levels so that Android partners have the flexibility to fix a subset of vulnerabilities that are similar across all Android devices more quickly. Android partners are encouraged to fix all issues in this bulletin and use the latest security patch level.

  • Devices that use the March 1, 2017 security patch level must include all issues associated with that security patch level, as well as fixes for all issues reported in previous security bulletins.
  • Devices that use the security patch level of March 5, 2017 or newer must include all applicable patches in this (and previous) security bulletins.

Partners are encouraged to bundle the fixes for all issues they are addressing in a single update.

3. How do I determine which Google devices are affected by each issue?

In the 2017-03-01 and 2017-03-05 security vulnerability details sections, each table has an Updated Google devices column that covers the range of affected Google devices updated for each issue. This column has a few options:

  • All Google devices : If an issue affects All and Pixel devices, the table will have "All" in the Updated Google devices column. "All" encapsulates the following supported devices : Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel, and Pixel XL.
  • Some Google devices : If an issue doesn't affect all Google devices, the affected Google devices are listed in the Updated Google devices column.
  • No Google devices : If no Google devices running Android 7.0 are affected by the issue, the table will have "None" in the Updated Google devices column.

4. What do the entries in the references column map to?

Entries under the References column of the vulnerability details table may contain a prefix identifying the organization to which the reference value belongs. These prefixes map as follows:

Prefix Reference
A- Android bug ID
QC- Qualcomm reference number
M- MediaTek reference number
N- NVIDIA reference number
B- Broadcom reference number

Revisions

  • March 06, 2017: Bulletin published.
  • March 07, 2017: Bulletin revised to include AOSP links.