פורסם ב -7 באוגוסט 2017 | עודכן 23 באוגוסט 2017
עלון האבטחה של Android מכיל פרטים על פרצות אבטחה המשפיעות על מכשירי Android. רמות תיקון האבטחה של 05 באוגוסט 2017 ואילך מטפלות בכל הבעיות הללו. עיין בלוח הזמנים של עדכוני Pixel ו- Nexus כדי ללמוד כיצד לבדוק את רמת תיקון האבטחה של המכשיר.
השותפים קיבלו הודעה על הנושאים שתוארו בעלון לפני חודש לפחות. תיקוני קוד המקור לבעיות אלה שוחררו למאגר Android Open Source Project (AOSP) וקושרו מעלון זה. עלון זה כולל גם קישורים לתיקונים מחוץ ל- AOSP.
החמורה מבין הבעיות הללו היא פגיעות אבטחה קריטית במסגרת התקשורת שעלולה לאפשר לתוקף מרוחק המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי במסגרת תהליך מועדף. הערכת החומרה מבוססת על ההשפעה שיש לנצל את הפגיעות על מכשיר מושפע, בהנחה שהפלטפורמה והפחתת השירות מושבתים לצורכי פיתוח או אם עוקפים אותם בהצלחה.
לא היו לנו דיווחים על ניצול פעיל של לקוחות או שימוש לרעה בנושאים אלה שדווחו לאחרונה. עיין בסעיף הפחתת האנדרואיד ו- Google Play לפרטים אודות ההגנות על פלטפורמת האבטחה של Android ו- Google Play Protect, המשפרים את האבטחה של פלטפורמת Android.
אנו ממליצים לכל הלקוחות לקבל עדכונים אלה למכשירים שלהם.
הערה: מידע על העדכון האחרון לשידור (OTA) ותמונות הקושחה למכשירי Google זמין בסעיף עדכוני המכשירים של Google .
הכרזות
- בעלון זה יש שני מחרוזות ברמת תיקון אבטחה כדי לספק לשותפי אנדרואיד את הגמישות לתקן במהירות יותר קבוצת משנה של נקודות תורפה הדומות בכל מכשירי Android. ראה שאלות ותשובות נפוצות למידע נוסף:
- 2017-08-01 : מחרוזת רמת תיקון אבטחה חלקית. מחרוזת רמת תיקון אבטחה זו מציינת כי כל הבעיות הקשורות ל 01-01-2017 (וכל מחרוזות רמת האבטחה הקודמות) מטופלות.
- 2017-08-05 : מחרוזת רמת תיקון אבטחה מלאה. מחרוזת רמת תיקון אבטחה זו מציינת כי כל הבעיות הקשורות ל -01 / 08/2017 ו -05 / 05/2017 (וכל מחרוזות רמת התיקון של האבטחה הקודמות) מטופלות.
אנדרואיד ו- Google Play הגן על הפחתות
זהו סיכום הפחתות המסופקות על ידי פלטפורמת האבטחה של Android והגנות שירות כגון Google Play Protect . יכולות אלה מקטינות את הסבירות שניתן לנצל בהצלחה פגיעויות אבטחה באנדרואיד.
- ניצול לבעיות רבות באנדרואיד מקשה על ידי שיפורים בגרסאות החדשות יותר של פלטפורמת אנדרואיד. אנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, במידת האפשר.
- צוות האבטחה של Android מפקח באופן פעיל על התעללות באמצעות Google Play Protect ומזהיר משתמשים מפני יישומים שעלולים להזיק . הגנה על Google Play מופעלת כברירת מחדל במכשירים עם שירותי המובייל של גוגל , והיא חשובה במיוחד עבור משתמשים שמתקינים אפליקציות מחוץ לגוגל פליי.
2017-08-01 רמת תיקון אבטחה - פרטי פגיעות
בסעיפים שלמטה אנו מספקים פרטים עבור כל אחת מפגיעות האבטחה החלות על רמת התיקון 2017-08-01. פגיעויות מקובצות תחת הרכיב שהן משפיעות. יש תיאור של הבעיה וטבלה עם CVE, הפניות משויכות, סוג הפגיעות , חומרתם וגרסאות AOSP מעודכנות (היכן שרלוונטי). כאשר הוא זמין, אנו מקשרים את השינוי הציבורי שעסק בבעיה למזהה הבאג, כמו רשימת השינויים של AOSP. כאשר שינויים מרובים מתייחסים לבאג יחיד, אזכורים נוספים מקושרים למספרים בעקבות מזהה הבאג.
מִסגֶרֶת
הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר ליישום זדוני מקומי המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר של תהליך מורשה.
| CVE | הפניות | סוּג | חוּמרָה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0712 | A-37207928 | EoP | לְמַתֵן | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
ספריות
הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר לתוקף מרוחק המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר של תהליך חסר זכות.
| CVE | הפניות | סוּג | חוּמרָה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0713 | A-32096780 [ 2 ] | RCE | גָבוֹהַ | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
מסגרת מדיה
הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר לתוקף מרוחק המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר לתהליך מורשה.
| CVE | הפניות | סוּג | חוּמרָה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2017-0714 | A-36492637 | RCE | קריטי | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0715 | A-36998372 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0716 | A-37203196 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0718 | A-37273547 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0719 | A-37273673 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0720 | A-37430213 | RCE | קריטי | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0721 | A-37561455 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0722 | A-37660827 | RCE | קריטי | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0723 | A-37968755 | RCE | קריטי | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0745 | A-37079296 | RCE | קריטי | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0724 | A-36819262 | DoS | גָבוֹהַ | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0725 | A-37627194 | DoS | גָבוֹהַ | 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0726 | A-36389123 | DoS | גָבוֹהַ | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0727 | A-33004354 | EoP | גָבוֹהַ | 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0728 | A-37469795 | DoS | גָבוֹהַ | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0729 | A-37710346 | EoP | גָבוֹהַ | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0730 | A-36279112 | DoS | גָבוֹהַ | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0731 | A-36075363 | EoP | גָבוֹהַ | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0732 | A-37504237 | EoP | גָבוֹהַ | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0733 | A-38391487 | DoS | גָבוֹהַ | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0734 | A-38014992 | DoS | גָבוֹהַ | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0735 | A-38239864 [ 2 ] | DoS | גָבוֹהַ | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0736 | A-38487564 | DoS | גָבוֹהַ | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0687 | A-35583675 | DoS | גָבוֹהַ | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0737 | A-37563942 | EoP | גָבוֹהַ | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0805 | A-37237701 | EoP | גָבוֹהַ | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0738 | A-37563371 [ 2 ] | תְעוּדַת זֶהוּת | לְמַתֵן | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2017-0739 | A-37712181 | תְעוּדַת זֶהוּת | לְמַתֵן | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
2017-08-05 רמת תיקון אבטחה - פרטי פגיעות
בסעיפים שלמטה אנו מספקים פרטים על כל אחת מפגיעות האבטחה החלות על רמת התיקון 2017-08-05. פגיעויות מקובצות תחת הרכיב שהן משפיעות וכוללות פרטים כגון CVE, הפניות משויכות, סוג הפגיעות , חומרתן , רכיב (היכן שרלוונטי) וגרסאות AOSP מעודכנות (היכן שיש). כאשר הוא זמין, אנו מקשרים את השינוי הציבורי שעסק בבעיה למזהה הבאג, כמו רשימת השינויים של AOSP. כאשר שינויים מרובים מתייחסים לבאג יחיד, אזכורים נוספים מקושרים למספרים בעקבות מזהה הבאג.
רכיבי ברודקום
הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר לתוקף מרוחק המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר של תהליך חסר זכות.
| CVE | הפניות | סוּג | חוּמרָה | רְכִיב |
|---|---|---|---|---|
| CVE-2017-0740 | A-37168488 * B-RB # 116402 | RCE | לְמַתֵן | מנהל רשת |
רכיבי ליבה
הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי במסגרת תהליך מורשה.
| CVE | הפניות | סוּג | חוּמרָה | רְכִיב |
|---|---|---|---|---|
| CVE-2017-10661 | A-36266767 גרעין במעלה הזרם | EoP | גָבוֹהַ | מערכת קבצים |
| CVE-2017-0750 | A-36817013 * | EoP | לְמַתֵן | מערכת קבצים |
| CVE-2017-10662 | A-36815012 גרעין במעלה הזרם | EoP | לְמַתֵן | מערכת קבצים |
| CVE-2017-10663 | A-36588520 גרעין במעלה הזרם | EoP | לְמַתֵן | מערכת קבצים |
| CVE-2017-0749 | A-36007735 * | EoP | לְמַתֵן | ליבת לינוקס |
רכיבי MediaTek
הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי במסגרת תהליך מורשה.
| CVE | הפניות | סוּג | חוּמרָה | רְכִיב |
|---|---|---|---|---|
| CVE-2017-0741 | A-32458601 * M-ALPS03007523 | EoP | גָבוֹהַ | מנהל התקן GPU |
| CVE-2017-0742 | A-36074857 * M-ALPS03275524 | EoP | לְמַתֵן | מנהל התקן וידאו |
רכיבי קוואלקום
הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של תהליך מועדף.
| CVE | הפניות | סוּג | חוּמרָה | רְכִיב |
|---|---|---|---|---|
| CVE-2017-0746 | A-35467471 * QC-CR # 2029392 | EoP | לְמַתֵן | מנהל התקן IPA |
| CVE-2017-0747 | A-32524214 * QC-CR # 2044821 | EoP | לְמַתֵן | רכיב קנייני |
| CVE-2017-9678 | A-35258962 * QC-CR # 2028228 | EoP | לְמַתֵן | מנהל התקן וידאו |
| CVE-2017-9691 | A-33842910 * QC-CR # 1116560 | EoP | לְמַתֵן | נהג MobiCore (Trustonic) |
| CVE-2017-9684 | A-35136547 * QC-CR # 2037524 | EoP | לְמַתֵן | מנהל התקן USB |
| CVE-2017-9682 | A-36491445 * QC-CR # 2030434 | תְעוּדַת זֶהוּת | לְמַתֵן | מנהל התקן GPU |
עדכוני מכשיר גוגל
טבלה זו מכילה את רמת תיקון האבטחה בעדכון ה- OTA האחרון (OTA) ותמונות קושחה למכשירי Google. תמונות הקושחה של מכשיר Google זמינות באתר המפתחים של גוגל .
| מכשיר גוגל | רמת תיקון אבטחה |
|---|---|
| פיקסל / פיקסל XL | 05 באוגוסט 2017 |
| נקסוס 5X | 05 באוגוסט 2017 |
| נקסוס 6 | 05 באוגוסט 2017 |
| נקסוס 6P | 05 באוגוסט 2017 |
| נקסוס 9 | 05 באוגוסט 2017 |
| נגן Nexus | 05 באוגוסט 2017 |
| פיקסל סי | 05 באוגוסט 2017 |
עדכוני מכשירי Google מכילים גם תיקונים לפגיעות אבטחה אלה, אם רלוונטיים:
| CVE | הפניות | סוּג | חוּמרָה | רְכִיב |
|---|---|---|---|---|
| CVE-2017-0744 | A-34112726 * N-CVE-2017-0744 | EoP | נָמוּך | דרייבר קול |
| CVE-2017-9679 | A-35644510 * QC-CR # 2029409 | תְעוּדַת זֶהוּת | נָמוּך | נהג SoC |
| CVE-2017-9680 | A-35764241 * QC-CR # 2030137 | תְעוּדַת זֶהוּת | נָמוּך | נהג SoC |
| CVE-2017-0748 | A-35764875 * QC-CR # 2029798 | תְעוּדַת זֶהוּת | נָמוּך | מנהל התקן שמע |
| CVE-2017-9681 | A-36386593 * QC-CR # 2030426 | תְעוּדַת זֶהוּת | נָמוּך | נהג רדיו |
| CVE-2017-9693 | A-36817798 * QC-CR # 2044820 | תְעוּדַת זֶהוּת | נָמוּך | מנהל רשת |
| CVE-2017-9694 | A-36818198 * QC-CR # 2045470 | תְעוּדַת זֶהוּת | נָמוּך | מנהל רשת |
| CVE-2017-0751 | A-36591162 * QC-CR # 2045061 | EoP | נָמוּך | נהג QCE |
| CVE-2017-9692 | A-36731152 * QC-CR # 2021707 | DoS | נָמוּך | נהג גרפיקה |
תודות
אנו רוצים להודות לחוקרים אלה על תרומתם:
| קורות חיים | חוקרים |
|---|---|
| CVE-2017-0741, CVE-2017-0742, CVE-2017-0751 | Baozeng Ding ( @sploving ), Chengming Yang ו- Yang Song מקבוצת האבטחה הניידת עליבאבא |
| CVE-2017-9682 | בילי לאו מאבטחת אנדרואיד |
| CVE-2017-0739 | Dacheng Shao , Hongli Han ( @ HexB1n ), Mingjian Zhou ( @Mingjian_Zhou ) ו- Xuxian Jiang מצוות C0RE |
| CVE-2017-9691, CVE-2017-0744 | ג'ינג'יה צ'ן ( @ chengjia4574 ) ו- pjf ממעבדת IceSword , Qihoo 360 Technology Co. Ltd. |
| CVE-2017-0727 | גואנג גונג (龚 广) ( @oldfresher ) מצוות אלפא, Qihoo 360 Technology Co. Ltd. |
| CVE-2017-0737 | Hanxiang Wen , Mingjian Zhou ( @Mingjian_Zhou ) ו- Xuxian Jiang מצוות C0RE |
| CVE-2017-0748 | האו צ'ן וגואנג גונג מצוות אלפא של Qihoo 360 Technology Co. Ltd. |
| CVE-2017-0731 | הונגלי האן ( @ HexB1n ), מינג'יאן ג'ואו ( @Mingjian_Zhou ) ו- Xuxian Jiang מצוות C0RE |
| CVE-2017-9679 | נתן קרנדל ( @natecray ) מצוות אבטחת המוצרים של טסלה |
| CVE-2017-0726 | Niky1235 ( @jiych_guru ) |
| CVE-2017-9684, CVE-2017-9694, CVE-2017-9693, CVE-2017-9681, CVE-2017-0738, CVE-2017-0728 | Pengfei Ding (丁鹏飞), Chenfu Bao (包 沉浮), and Lenx Wei (韦 韬) of Baidu X-Lab (百度 安全 实验室) |
| CVE-2017-9680, CVE-2017-0740 | סקוט באואר ( @ ScottyBauer1 ) |
| CVE-2017-0724 | Seven Shen ( @lingtongshen ) של TrendMicro |
| CVE-2017-0732, CVE-2017-0805 | טימותי בקר מחברת CSS בע"מ |
| CVE-2017-10661 | טונג לין ( segfault5514@gmail.com ), יואן-טסונג לו ( computernik@gmail.com ), ושוקסיאן ג'יאנג מצוות C0RE |
| CVE-2017-0712 | ולריו קוסטמניה ( @vaio_co ) ומרקו ברטולי ( @wsxarcher ) |
| CVE-2017-0716 | וסילי וסילייב |
| CVE-2017-0750, CVE-2017-0713, CVE-2017-0715, CVE-2017-10662 CVE-2017-10663 | VEO ( @VYSEa ) מצוות תגובת האיום הנייד , Trend Micro |
| CVE-2017-9678 | יאן ג'ואו מקבוצת Eagleye, SCC, Huawei |
| CVE-2017-0749, CVE-2017-0746 | יונגגנג גואו ( @ guoygang ) ממעבדת IceSword , Qihoo 360 Technology Co. Ltd. |
| CVE-2017-0729 | יונגקה וואנג ממעבדת Xuanwu של טנסנט |
| CVE-2017-0714, CVE-2017-0719, CVE-2017-0718, CVE-2017-0722, CVE-2017-0725, CVE-2017-0720, CVE-2017-0745 | זינו האן ממרכז תגובת האבטחה בצ'נגדו, צ'יהו 360 טכנולוגיה ושות 'בע"מ |
שאלות נפוצות ותשובות
חלק זה עונה על שאלות נפוצות שעשויות להתרחש לאחר קריאת העלון הזה.
1. כיצד אוכל לקבוע אם המכשיר שלי מעודכן לטפל בבעיות אלה?
כדי ללמוד כיצד לבדוק את רמת תיקון האבטחה של המכשיר, קרא את ההוראות בלוח הזמנים של עדכוני פיקסל ונקסוס .
- רמות תיקון האבטחה של 2017-08-01 ואילך מטפלות בכל הבעיות הקשורות לרמת תיקון האבטחה 2017-08-01.
- רמות תיקון האבטחה של 2017-08-05 ואילך מטפלות בכל הבעיות הקשורות לרמת תיקון האבטחה 2017-08-05 ובכל רמות התיקון הקודמות.
יצרני מכשירים הכוללים עדכונים אלה צריכים להגדיר את רמת מחרוזת התיקון ל:
- [ro.build.version.security_patch]: [01-01-2017]
- [ro.build.version.security_patch]: [2017-08-05]
2. מדוע בעלון זה כולל שתי רמות תיקון אבטחה?
בעלון זה יש שתי רמות תיקון אבטחה, כך שלשותפי Android יש את הגמישות לתקן מערך משנה של נקודות תורפה שדומות בכל מכשירי Android במהירות רבה יותר. שותפי Android מוזמנים לתקן את כל הבעיות בעלון זה ולהשתמש ברמת תיקון האבטחה העדכנית ביותר.
- התקנים המשתמשים ברמת תיקון האבטחה של 01 באוגוסט 2017 חייבים לכלול את כל הבעיות הקשורות לרמת תיקון האבטחה ההיא, וכן תיקונים לכל הבעיות שדווחו בעלוני האבטחה הקודמים.
- התקנים המשתמשים ברמת תיקון האבטחה של 05 באוגוסט 2017 ומעלה חייבים לכלול את כל התיקונים הרלוונטיים בעלוני האבטחה (וקודם) זה.
השותפים מוזמנים לאגד את התיקונים לכל הבעיות שהם מטפלים בהם בעדכון יחיד.
3. מה המשמעות של הערכים בעמודה סוג ?
רשומות בעמודה סוג בטבלת פרטי הפגיעות מתייחסות לסיווג הפגיעות האבטחה.
| נוֹטָרִיקוֹן | הַגדָרָה |
|---|---|
| RCE | ביצוע קוד מרחוק |
| EoP | הרמת זכות |
| תְעוּדַת זֶהוּת | גילוי מידע |
| DoS | מניעת שירות |
| לא | סיווג אינו זמין |
4. מה המשמעות של הערכים בעמודה הפניות ?
רשומות בעמודה הפניות בטבלת פרטי הפגיעות עשויות להכיל קידומת המזהה את הארגון אליו שייך הערך הפניה.
| קידומת | התייחסות |
|---|---|
| א- | מזהה באג של Android |
| QC- | מספר התייחסות של קוואלקום |
| M- | מספר הפניה של MediaTek |
| N- | מספר התייחסות של NVIDIA |
| B- | מספר הפניה לברודקום |
5. מה המשמעות של * ליד מזהה הבאג של Android בעמודה הפניות ?
לבעיות שאינן זמינות לציבור יש סימן * לצד מזהה הבאג של Android בעמודה הפניות . העדכון לבעיה זו כלול בדרך כלל במנהלי ההתקנים הבינאריים האחרונים למכשירי Nexus שזמינים באתר המפתחים של גוגל .
גרסאות
| גִרְסָה | תַאֲרִיך | הערות |
|---|---|---|
| 1.0 | 7 באוגוסט 2017 | עלון פורסם. |
| 1.1 | 8 באוגוסט 2017 | העלון תוקן כך שיכלול קישורי AOSP ותודות. |
| 1.2 | 14 באוגוסט 2017 | העלון תוקן להוספת CVE-2017-0687. |
| 1.2 | 23 באוגוסט 2017 | העלון תוקן להוספת CVE-2017-0805. |