Бюллетень по безопасности Android – апрель 2017 г.

Опубликован 3 апреля 2017 г. | Обновлен 17 августа 2017 г.

В этом бюллетене содержится информация об уязвимостях в защите устройств Android. К его выходу мы выпустили беспроводное обновление системы безопасности для устройств Nexus и опубликовали образы встроенного ПО на сайте для разработчиков. Все актуальные проблемы, перечисленные здесь, устранены в исправлении от 5 апреля 2017 года или более новом. Сведения о том, как проверить версию системы безопасности на устройстве, можно найти в статье о сроках обновления ПО для телефонов Pixel и Nexus.

Мы сообщили партнерам об уязвимостях 6 марта 2017 года или ранее. Исправления уязвимостей доступны в хранилище Android Open Source Project (AOSP). В этом бюллетене также приведены ссылки на исправления вне AOSP.

Наиболее серьезная из уязвимостей имеет критический уровень и позволяет удаленно выполнять код на пораженном устройстве (например, при работе с электронной почтой, просмотре сайтов в Интернете или обработке медиафайлов MMS). Уровень серьезности зависит от того, какой ущерб будет нанесен устройству при атаке с использованием уязвимости, если средства защиты будут отключены разработчиком или взломаны.

У нас нет информации о том, что обнаруженные уязвимости эксплуатировались. Сведения о том, как платформа безопасности Android и средства защиты сервисов, например SafetyNet, помогают снизить вероятность успешного применения уязвимостей Android, можно найти в разделе Предотвращение атак.

Мы рекомендуем всем пользователям установить перечисленные в бюллетене обновления.

Объявления

  • Мы включили в этот бюллетень сведения о двух обновлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Дополнительную информацию вы найдете в разделе Часто задаваемые вопросы.
    • 2017-04-01: частичное обновление системы безопасности, в котором исправлены все уязвимости уровня 2017-04-01 и более ранние.
    • 2017-04-05: полное обновление системы безопасности, в котором исправлены все уязвимости уровней 2017-04-01 и 2017-04-05, а также более ранние.
  • На поддерживаемые устройства Google будет установлено единое автоматическое обновление системы безопасности от 5 апреля 2017 года.

Предотвращение атак

Ниже рассказывается, как платформа безопасности и средства защиты сервисов, например SafetyNet, позволяют снизить вероятность атак на Android.

  • В новых версиях Android сложнее использовать многие уязвимости, поэтому мы рекомендуем всем пользователям своевременно обновлять систему.
  • Команда, отвечающая за безопасность Android, активно отслеживает случаи злоупотребления с помощью Проверки приложений и SafetyNet. Эти инструменты предупреждают пользователя об установке потенциально опасных приложений. Проверка приложений включена по умолчанию на всех телефонах и планшетах, использующих сервисы Google для мобильных устройств. Она особенно важна для тех, кто устанавливает приложения не из Google Play. Хотя в Google Play инструменты для настройки root-доступа запрещены, они могут встречаться в других магазинах. Если пользователь решает установить такое приложение, Проверка предупреждает об этом. Кроме того, она пытается идентифицировать известное вредоносное ПО, использующее уязвимость для повышения привилегий, и блокировать его установку. Если подобное ПО уже есть на устройстве, система уведомит об этом пользователя и попытается удалить приложение.
  • Приложения Google Hangouts и Messenger не передают медиафайлы таким процессам, как mediaserver, автоматически.

Благодарности

Благодарим всех, кто помог обнаружить уязвимости:

  • Аравинд Мачири (donfos) из команды Shellphish Grill: CVE-2016-5349
  • Дасин Го (@freener0) из Xuanwu Lab, Tencent: CVE-2017-0585, CVE-2017-0553
  • Derrek (@derrekr6) и Скотт Бауэр: CVE-2017-0576.
  • Гэл Бениамини из Project Zero: CVE-2017-0571, CVE-2017-0570, CVE-2017-0572, CVE-2017-0569, CVE-2017-0561.
  • Гэнцзя Чэнь (@chengjia4574) и pjf из IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2017-6426, CVE-2017-0581, CVE-2017-0329, CVE-2017-0332, CVE-2017-0566, CVE-2017-0573.
  • Гуан Гун (龚广) (@oldfresher) из Alpha Team, Qihoo 360 Technology Co. Ltd.: CVE-2017-0547.
  • Хао Чэнь и Гуан Гун из Alpha Team, Qihoo 360 Technology Co. Ltd.: CVE-2017-6424, CVE-2017-0584, CVE-2017-0454, CVE-2017-0574, CVE-2017-0575, CVE-2017-0567.
  • Иэн Фостер (@lanrat): CVE-2017-0554.
  • Джек Тан из Trend Micro Inc.: CVE-2017-0579
  • Цзяньцзюнь Дай (@Jioun_dai) из Qihoo 360 Skyeye Labs: CVE-2017-0559, CVE-2017-0541.
  • Цзяньцян Чжао (@jianqiangzhao) и pjf из IceSword Lab, Qihoo 360: CVE-2017-6425, CVE-2016-5346.
  • Лубо Чжан (zlbzlb815@163.com) из C0RE Team и Юнган Го (@guoygang) из IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2017-0564.
  • Марк Салызин из Google: CVE-2017-0558.
  • Майк Андерсон (@manderbot) и Нейтан Крэнделл (@natecray) из Tesla's Product Security Team: CVE-2017-0327, CVE-2017-0328.
  • Пэн Сяо, Чэнмин Ян, Нин Ю, Чао Ян и Ян Сун из Alibaba Mobile Security Group: CVE-2017-0565
  • Пэнфэй Дин (丁鹏飞), Чэньфу Бао (包沉浮) и Ленкс Вэй (韦韬) из Baidu X-Lab (百度安全实验室): CVE-2016-10236
  • Цидань Хэ (何淇丹) (@flanker_hqd) из KeenLab, Tencent: CVE-2017-0544, CVE-2017-0325
  • Рои Хэй (@roeehay) из Aleph Research, HCL Technologies: CVE-2017-0582, CVE-2017-0563
  • Скотт Бауэр (@ScottyBauer1): CVE-2017-0562, CVE-2017-0339.
  • Севен Шэнь (@lingtongshen) из команды по изучению угроз для мобильных устройств, Trend Micro: CVE-2016-10231, CVE-2017-0578, CVE-2017-0586
  • Тим Беккер: CVE-2017-0546
  • Ума Санкар Прадхан (@umasankar_iitd): CVE-2017-0560
  • V.E.O (@VYSEa) из команды по изучению угроз для мобильных устройств, Trend Micro: CVE-2017-0555, CVE-2017-0538, CVE-2017-0539, CVE-2017-0557, CVE-2017-0556.
  • Вэйчао Сунь (@sunblate) из Alibaba Inc: CVE-2017-0549.
  • Вэньлинь Ян (@wenlin_yang), Гуан Гун (@oldfresher) и Хао Чэнь из Alpha Team, Qihoo 360 Technology Co. Ltd.: CVE-2017-0580, CVE-2017-0577.
  • Цзыно Хань из Chengdu Security Response Center, Qihoo 360 Technology Co. Ltd.: CVE-2017-0548.
  • Зубин Митра из Google: CVE-2017-0462.

Описание уязвимостей (обновление системы безопасности 2017-04-01)

В этом разделе вы найдете подробную информацию обо всех уязвимостях обновления системы безопасности 2017-04-01: описание и обоснование серьезности, таблицу с CVE, ссылками, уровнем серьезности, уязвимыми устройствами Google и версиями AOSP (при наличии), а также датой сообщения об ошибке. Где возможно, мы приведем основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Удаленное выполнение кода через mediaserver

Уязвимость позволяет злоумышленнику с помощью специально созданного файла нарушить целостность информации в памяти при обработке медиафайлов и данных. Проблеме присвоен критический уровень серьезности из-за возможности удаленного выполнения кода в контексте процесса mediaserver.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2017-0538 A-33641588 Критический Все 6.0, 6.0.1, 7.0, 7.1.1 13 декабря 2016 г.
CVE-2017-0539 A-33864300 Критический Все 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 23 декабря 2016 г.
CVE-2017-0541 A-34031018 Критический Все 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 1 января 2017 г.
CVE-2017-0542 A-33934721 Критический Все 6.0, 6.0.1, 7.0, 7.1.1 Доступно только сотрудникам Google
CVE-2017-0543 A-34097866 Критический Все 6.0, 6.0.1, 7.0, 7.1.1 Доступно только сотрудникам Google

Повышение привилегий через CameraBase

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Из-за этого ей присвоен высокий уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2017-0544 A-31992879 Высокий Все 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 6 октября 2016 г.

Повышение привилегий через audioserver

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку из-за нее можно получить разрешения, недоступные сторонним приложениям.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2017-0545 A-32591350 Высокий Все 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 31 октября 2016 г.

Повышение привилегий через SurfaceFlinger

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку из-за нее можно получить разрешения, недоступные сторонним приложениям.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2017-0546 A-32628763 Высокий Все 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 2 ноября 2016 г.

Раскрытие информации через mediaserver

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость позволяет обойти защиту ОС, обеспечивающую раздельное хранение данных приложений.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2017-0547 A-33861560 Высокий Все 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 22 декабря 2016 г.

Отказ в обслуживании в libskia

Уязвимость позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства с помощью специально созданного файла. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2017-0548 A-33251605 Высокий Все 7.0, 7.1.1 29 ноября 2016 г.

Отказ в обслуживании в mediaserver

Уязвимость позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства с помощью специально созданного файла. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2017-0549 A-33818508 Высокий Все 6.0, 6.0.1, 7.0, 7.1.1 20 декабря 2016 г.
CVE-2017-0550 A-33933140 Высокий Все 6.0, 6.0.1, 7.0, 7.1.1 Доступно только сотрудникам Google
CVE-2017-0551 A-34097231 [2] Высокий Все 6.0, 6.0.1, 7.0, 7.1.1 Доступно только сотрудникам Google
CVE-2017-0552 A-34097915 Высокий Все 6.0, 6.0.1, 7.0, 7.1.1 Доступно только сотрудникам Google

Повышение привилегий через libnl

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте сервиса Wi-Fi. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса, а также предотвращается текущими настройками платформы.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2017-0553 A-32342065 Средний Все 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 21 октября 2016 г.

Повышение привилегий через телефонную связь

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к функциям. Проблеме присвоен средний уровень серьезности, поскольку с ее помощью можно получить привилегии, недоступные сторонним приложениям.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2017-0554 A-33815946 [2] Средний Все 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 20 декабря 2016 г.

Раскрытие информации через mediaserver

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен средний уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2017-0555 A-33551775 Средний Все 6.0, 6.0.1, 7.0, 7.1.1 12 декабря 2016 г.
CVE-2017-0556 A-34093952 Средний Все 6.0, 6.0.1, 7.0, 7.1.1 4 января 2017 г.
CVE-2017-0557 A-34093073 Средний Все 6.0, 6.0.1, 7.0, 7.1.1 4 января 2017 г.
CVE-2017-0558 A-34056274 Средний Все 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Доступно только сотрудникам Google

Раскрытие информации через libskia

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен средний уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2017-0559 A-33897722 Средний Все 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 25 декабря 2016 г.

Раскрытие информации через сброс настроек

Уязвимость позволяет злоумышленнику, в руки которого попало устройство, получать несанкционированный доступ к данным предыдущего владельца. Проблеме присвоен средний уровень серьезности, поскольку с ее помощью можно обойти защиту устройства.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2017-0560 A-30681079 Средний Все 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Доступно только сотрудникам Google

Описание уязвимостей (обновление системы безопасности 2017-04-05)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2017-04-05: описание и обоснование серьезности, таблицу с CVE, ссылками, уровнем серьезности, уязвимыми устройствами Google и версиями AOSP (при наличии), а также датой сообщения об ошибке. Где возможно, мы приведем основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Удаленное выполнение кода во встроенном ПО Wi-Fi Broadcom

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте однокристальной системы Wi-Fi. Из-за этого проблеме присвоен критический уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0561 A-34199105*
B-RB#110814
Критический Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 9 января 2017 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Удаленное выполнение кода через драйвер шифрования Qualcomm

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте ядра. Из-за этого проблеме присвоен критический уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-10230 A-34389927
QC-CR#1091408
Критический Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One 10 января 2017 г.

Удаленное выполнение кода через сетевую подсистему ядра

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте ядра. Из-за этого проблеме присвоен критический уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-10229 A-32813456
Upstream kernel
Критический Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Pixel C, Android One, Nexus Player Доступно только сотрудникам Google

Повышение привилегий через драйвер сенсорного экрана MediaTek

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0562 A-30202425*
M-ALPS02898189
Критический* Нет** 16 июля 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

**Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0 или более поздней версией ОС, на которых установлены все доступные обновления.

Повышение привилегий через драйвер сенсорного экрана HTC

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0563 A-32089409*
Критический Nexus 9 9 октября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через подсистему ION ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0564 A-34276203*
Критический Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Pixel C, Android One, Nexus Player 12 января 2017 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Уязвимости в компонентах Qualcomm

Эти уязвимости затрагивают компоненты Qualcomm и описаны в бюллетенях по безопасности Qualcomm AMSS за октябрь 2016 года.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-10237 A-31628601**
QC-CR#1046751
Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2016-10238 A-35358527**
QC-CR#1042558
Критический Нет*** Доступно только сотрудникам Qualcomm
CVE-2016-10239 A-31624618**
QC-CR#1032929
Высокий Pixel, Pixel XL Доступно только сотрудникам Qualcomm

*Уровень серьезности этих уязвимостей определяется непосредственно компанией Qualcomm.

**Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

***Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0 и выше, на которых установлены все доступные обновления.

Удаленное выполнение кода через v8

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности из-за возможности удаленного выполнения кода через веб-сайты.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-5129 A-29178923 Высокий Нет* 6.0, 6.0.1, 7.0 20 июля 2016 г.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Удаленное выполнение кода через Freetype

Уязвимость позволяет злоумышленнику загрузить специально созданный шрифт, чтобы нарушить целостность информации в памяти непривилегированного процесса. Проблеме присвоен высокий уровень серьезности из-за возможности удаленного выполнения кода в ПО, которое использует эту библиотеку.

CVE Ссылки Уровень серьезности Обновленные устройства Google Обновленные версии AOSP Дата сообщения об ошибке
CVE-2016-10244 A-31470908 Высокий Нет* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 13 сентября 2016 г.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Повышение привилегий через звуковую подсистему ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2014-4656 A-34464977
Upstream kernel
Высокий Nexus 6, Nexus Player 26 июня 2016 г.

Повышение привилегий через драйвер шифрования NVIDIA

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0339 A-27930566*
N-CVE-2017-0339
Высокий Nexus 9 29 марта 2016 г.
CVE-2017-0332 A-33812508*
N-CVE-2017-0332
Высокий Nexus 9 21 декабря 2016 г.
CVE-2017-0327 A-33893669*
N-CVE-2017-0327
Высокий Nexus 9 24 декабря 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через драйвер температурного датчика MediaTek

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0565 A-28175904*
M-ALPS02696516
Высокий Нет** 11 апреля 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

**Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0 или более поздней версией ОС, на которых установлены все доступные обновления.

Повышение привилегий через драйвер MediaTek для камеры

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0566 A-28470975*
M-ALPS02696367
Высокий Нет** 29 апреля 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

**Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0 или более поздней версией ОС, на которых установлены все доступные обновления.

Повышение привилегий через Wi-Fi-драйвер Broadcom

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0567 A-32125310*
B-RB#112575
Высокий Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 12 октября 2016 г.
CVE-2017-0568 A-34197514*
B-RB#112600
Высокий Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 9 января 2017 г.
CVE-2017-0569 A-34198729*
B-RB#110666
Высокий Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 9 января 2017 г.
CVE-2017-0570 A-34199963*
B-RB#110688
Высокий Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 9 января 2017 г.
CVE-2017-0571 A-34203305*
B-RB#111541
Высокий Nexus 6, Nexus 6P, Pixel C, Nexus Player 9 января 2017 г.
CVE-2017-0572 A-34198931*
B-RB#112597
Высокий Нет** 9 января 2017 г.
CVE-2017-0573 A-34469904*
B-RB#91539
Высокий Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 18 января 2017 г.
CVE-2017-0574 A-34624457*
B-RB#113189
Высокий Nexus 6, Nexus 6P, Nexus 9, Pixel C 22 января 2017 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

**Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0 и выше, на которых установлены все доступные обновления.

Повышение привилегий через Wi-Fi-драйвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0575 A-32658595*
QC-CR#1103099
Высокий Nexus 5X, Pixel, Pixel XL 3 ноября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через драйвер NVIDIA для HID-устройств на шине I2C

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0325 A-33040280*
N-CVE-2017-0325
Высокий Nexus 9, Pixel C 20 ноября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через аудиодрайвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0454 A-33353700
QC-CR#1104067
Высокий Nexus 5X, Nexus 6P, Pixel, Pixel XL 5 декабря 2016 г.

Повышение уровня прав доступа через драйвер Qualcomm для шифрования

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0576 A-33544431
QC-CR#1103089
Высокий Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One 9 декабря 2016 г.

Повышение привилегий через драйвер сенсорного экрана HTC

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0577 A-33842951*
Высокий Нет** 21 декабря 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

**Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0 или более поздней версией ОС, на которых установлены все доступные обновления.

Повышение привилегий через аудиодрайвер DTS

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0578 A-33964406*
Высокий Нет** 28 декабря 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

**Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0 или более поздней версией ОС, на которых установлены все доступные обновления.

Повышение привилегий через аудиодрайвер кодеков Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-10231 A-33966912
QC-CR#1096799
Высокий Pixel, Pixel XL 29 декабря 2016 г.

Повышение привилегий через видеодрайвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0579 A-34125463*
QC-CR#1115406
Высокий Nexus 5X, Nexus 6P, Pixel, Pixel XL 5 января 2017 г.
CVE-2016-10232 A-34386696
QC-CR#1024872 [2]
Высокий Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One 10 января 2017 г.
CVE-2016-10233 A-34389926
QC-CR#897452
Высокий Нет** 10 января 2017 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

**Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0 или более поздней версией ОС, на которых установлены все доступные обновления.

Повышение привилегий через драйвер процессора NVIDIA, управляющего загрузкой и питанием

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте процессора NVIDIA, управляющего загрузкой и питанием. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0329 A-34115304*
N-CVE-2017-0329
Высокий Pixel С 5 января 2017 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через драйвер сенсорного экрана Synaptics

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0580 A-34325986*
Высокий Нет** 16 января 2017 г.
CVE-2017-0581 A-34614485*
Высокий Нет** 22 января 2017 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

**Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0 или более поздней версией ОС, на которых установлены все доступные обновления.

Повышение привилегий через Seemp-драйвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0462 A-33353601
QC-CR#1102288
Высокий Pixel, Pixel XL Доступно только сотрудникам Google

Повышение привилегий через драйвер Kyro L2 Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-6423 A-32831370
QC-CR#1103158
Высокий Pixel, Pixel XL Доступно только сотрудникам Google

Повышение привилегий через файловую систему ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2014-9922 A-32761463
Upstream kernel
Высокий Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Android One, Nexus Player 24 октября 2014 г.

Раскрытие информации через подсистему памяти ядра

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к конфиденциальным данным. Из-за этого проблеме присвоен высокий уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2014-0206 A-34465735
Upstream kernel
Высокий Nexus 6, Nexus Player 6 мая 2014 г.

Раскрытие информации через сетевую подсистему ядра

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к конфиденциальным данным. Из-за этого проблеме присвоен высокий уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2014-3145 A-34469585
Upstream kernel [2]
Высокий Nexus 6, Nexus Player 9 мая 2014 г.

Раскрытие информации через Qualcomm TrustZone

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к конфиденциальным данным. Из-за этого проблеме присвоен высокий уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-5349 A-29083830
QC-CR#1021945 [2] [3] [4]
Высокий Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One 1 июня 2016 г.

Раскрытие информации через IPA-драйвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к конфиденциальным данным. Из-за этого проблеме присвоен высокий уровень серьезности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-10234 A-34390017
QC-CR#1069060 [2]
Высокий Nexus 5X, Nexus 6P, Pixel, Pixel XL 10 января 2017 г.

Отказ в обслуживании в сетевой подсистеме ядра

Уязвимость позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства с помощью специально созданного сетевого пакета. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2014-2706 A-34160553
Upstream kernel
Высокий Nexus Player 1 апреля 2014 г.

Отказ в обслуживании в Wi-Fi-драйвере Qualcomm

Уязвимость позволяет находящемуся поблизости злоумышленнику вызвать отказ в обслуживании в подсистеме Wi-Fi. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-10235 A-34390620
QC-CR#1046409
Высокий Нет** 10 января 2017 г.

**Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0 или более поздней версией ОС, на которых установлены все доступные обновления.

Повышение привилегий через файловую систему ядра

Уязвимость позволяет локальному вредоносному ПО несанкционированно выполнять произвольный код на устройстве. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса и предотвращается текущими настройками платформы.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-7097 A-32458736
Upstream kernel
Средний Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Nexus Player 28 августа 2016 г.

Повышение привилегий через Wi-Fi-драйвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса, а также из-за особых условий, ограничивающих ее применение.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-6424 A-32086742
QC-CR#1102648
Средний Nexus 5X, Pixel, Pixel XL, Android One 9 октября 2016 г.

Повышение привилегий через Wi-Fi-драйвер Broadcom

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса и предотвращается текущими настройками платформы.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-8465 A-32474971*
B-RB#106053
Средний Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 27 октября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через команду fastboot oem на устройствах HTC

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте контроллера датчиков. Проблеме присвоен средний уровень серьезности, поскольку она требует эксплуатации других уязвимостей.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0582 A-33178836*
Средний Nexus 9 28 ноября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через драйвер доступа к ЦП Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса, а также из-за особых условий, ограничивающих ее применение.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0583 A-32068683
QC-CR#1103788
Средний Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One Доступно только сотрудникам Google

Раскрытие информации через медиадрайвер ядра

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2014-1739 A-34460642
Upstream kernel
Средний Nexus 6, Nexus 9, Nexus Player 15 июня 2014 г.

Раскрытие информации через Wi-Fi-драйвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0584 A-32074353*
QC-CR#1104731
Средний Nexus 5X, Pixel, Pixel XL 9 октября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Раскрытие информации через Wi-Fi-драйвер Broadcom

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0585 A-32475556*
B-RB#112953
Средний Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player 27 октября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Раскрытие информации через Avtimer-драйвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-5346 A-32551280
QC-CR#1097878
Средний Pixel, Pixel XL 29 октября 2016 г.

Раскрытие информации через видеодрайвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-6425 A-32577085
QC-CR#1103689
Средний Pixel, Pixel XL 29 октября 2016 г.

Раскрытие информации через USB-драйвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2016-10236 A-33280689
QC-CR#1102418
Средний Pixel, Pixel XL 30 ноября 2016 г.

Раскрытие информации через аудиодрайвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0586 A-33649808
QC-CR#1097569
Средний Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One 13 декабря 2016 г.

Раскрытие информации через SPMI-драйвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-6426 A-33644474
QC-CR#1106842
Средний Pixel, Pixel XL 14 декабря 2016 г.

Раскрытие информации через драйвер шифрования NVIDIA

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2017-0328 A-33898322*
N-CVE-2017-0328
Средний Нет** 24 декабря 2016 г.
CVE-2017-0330 A-33899858*
N-CVE-2017-0330
Средний Нет** 24 декабря 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

**Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0 и выше, на которых установлены все доступные обновления.

Уязвимости в компонентах Qualcomm

Эти уязвимости затрагивают компоненты Qualcomm и описаны в бюллетенях по безопасности Qualcomm AMSS за 2014–2016 годы. Они включены в этот бюллетень по безопасности Android, чтобы связать их исправления с обновлением системы безопасности.

CVE Ссылки Уровень серьезности Обновленные устройства Google Дата сообщения об ошибке
CVE-2014-9931 A-35445101** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2014-9932 A-35434683** Критический Pixel, Pixel XL Доступно только сотрудникам Qualcomm
CVE-2014-9933 A-35442512** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2014-9934 A-35439275** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2014-9935 A-35444951** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2014-9936 A-35442420** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2014-9937 A-35445102** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2015-8995 A-35445002** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2015-8996 A-35444658** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2015-8997 A-35432947** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2015-8998 A-35441175** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2015-8999 A-35445401** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2015-9000 A-35441076** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2015-9001 A-35445400** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2015-9002 A-35442421** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2015-9003 A-35440626** Критический Нет** Доступно только сотрудникам Qualcomm
CVE-2016-10242 A-35434643** Критический Нет** Доступно только сотрудникам Qualcomm

*Уровень серьезности этих уязвимостей определяется непосредственно компанией Qualcomm.

**Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

***Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0 и выше, на которых установлены все доступные обновления.

Часто задаваемые вопросы

В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.

1. Как определить, установлено ли на устройстве обновление, в котором устранены перечисленные проблемы?

Информацию о том, как проверить обновления системы безопасности, можно найти в Справочном центре.

  • В исправлении от 1 апреля 2017 года или более новом устранены все проблемы, связанные с обновлением 2017-04-01.
  • В исправлении от 5 апреля 2017 года или более новом устранены все проблемы, связанные с обновлением 2017-04-05.

Производители устройств, позволяющие установить эти обновления, должны присвоить им один из следующих уровней:

  • [ro.build.version.security_patch]:[2017-04-01]
  • [ro.build.version.security_patch]:[2017-04-05]

2. Почему в этом бюллетене говорится о двух исправлениях системы безопасности?

Мы включили в этот бюллетень сведения о двух обновлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Рекомендуем партнерам Android исправить все вышеперечисленные проблемы и установить последнее обновление системы безопасности.

  • На устройствах с установленным обновлением от 1 апреля 2017 года должны быть исправлены все проблемы, упомянутые в соответствующем разделе этого бюллетеня, а также в предыдущих выпусках.
  • На устройствах с установленным обновлением от 5 апреля 2017 года или более новым должны быть исправлены все проблемы, упомянутые в этом бюллетене и предыдущих выпусках.

Рекомендуем партнерам собрать все исправления проблем в одно обновление.

3. Как определить, на каких устройствах Google присутствует уязвимость?

В каждой таблице разделов с описанием уязвимостей 2017-04-01 и 2017-04-05 есть столбец Обновленные устройства Google. В нем указано, на каких устройствах присутствует уязвимость.

  • Все устройства. Проблема возникает на следующих поддерживаемых устройствах Google: Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel и Pixel XL.
  • Некоторые устройства. Перечислены устройства, на которых присутствует уязвимость.
  • Нет. Проблема не возникает ни на одном устройстве Google с Android 7.0.

4. Что означает информация в столбце "Ссылки"?

В таблицах с описанием уязвимостей есть столбец Ссылки. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:

Префикс Значение
A- Идентификатор ошибки Android
QC- Ссылочный номер Qualcomm
M- Ссылочный номер MediaTek
N- Ссылочный номер NVIDIA
B- Ссылочный номер Broadcom

Версии

  • 3 апреля 2017 года. Бюллетень опубликован.
  • 5 апреля 2017 года. Добавлены ссылки на AOSP.
  • 21 апреля 2017 года. Исправлена атрибуция уязвимостей CVE-2016-10231 и CVE-2017-0586.
  • 27 апреля 2017 года. Информация об уязвимости CVE-2017-0540 удалена из бюллетеня.
  • 17 августа 2017 года. Обновлены ссылочные номера.