עלון אבטחה של Android - אוגוסט 2017

פורסם ב -7 באוגוסט 2017 | עודכן 23 באוגוסט 2017

עלון האבטחה של Android מכיל פרטים על פרצות אבטחה המשפיעות על מכשירי Android. רמות תיקון האבטחה של 05 באוגוסט 2017 ואילך מטפלות בכל הבעיות הללו. עיין בלוח הזמנים של עדכוני Pixel ו- Nexus כדי ללמוד כיצד לבדוק את רמת תיקון האבטחה של המכשיר.

השותפים קיבלו הודעה על הנושאים שתוארו בעלון לפני חודש לפחות. תיקוני קוד המקור לבעיות אלה שוחררו למאגר Android Open Source Project (AOSP) וקושרו מעלון זה. עלון זה כולל גם קישורים לתיקונים מחוץ ל- AOSP.

החמורה מבין הבעיות הללו היא פגיעות אבטחה קריטית במסגרת התקשורת שעלולה לאפשר לתוקף מרוחק המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי במסגרת תהליך מועדף. הערכת החומרה מבוססת על ההשפעה שיש לנצל את הפגיעות על מכשיר מושפע, בהנחה שהפלטפורמה והפחתת השירות מושבתים לצורכי פיתוח או אם עוקפים אותם בהצלחה.

לא היו לנו דיווחים על ניצול פעיל של לקוחות או שימוש לרעה בנושאים אלה שדווחו לאחרונה. עיין בסעיף הפחתת האנדרואיד ו- Google Play לפרטים אודות ההגנות על פלטפורמת האבטחה של Android ו- Google Play Protect, המשפרים את האבטחה של פלטפורמת Android.

אנו ממליצים לכל הלקוחות לקבל עדכונים אלה למכשירים שלהם.

הערה: מידע על העדכון האחרון לשידור (OTA) ותמונות הקושחה למכשירי Google זמין בסעיף עדכוני המכשירים של Google .

הכרזות

  • בעלון זה יש שני מחרוזות ברמת תיקון אבטחה כדי לספק לשותפי אנדרואיד את הגמישות לתקן במהירות יותר קבוצת משנה של נקודות תורפה הדומות בכל מכשירי Android. ראה שאלות ותשובות נפוצות למידע נוסף:
    • 2017-08-01 : מחרוזת רמת תיקון אבטחה חלקית. מחרוזת רמת תיקון אבטחה זו מציינת כי כל הבעיות הקשורות ל 01-01-2017 (וכל מחרוזות רמת האבטחה הקודמות) מטופלות.
    • 2017-08-05 : מחרוזת רמת תיקון אבטחה מלאה. מחרוזת רמת תיקון אבטחה זו מציינת כי כל הבעיות הקשורות ל -01 / 08/2017 ו -05 / 05/2017 (וכל מחרוזות רמת התיקון של האבטחה הקודמות) מטופלות.

אנדרואיד ו- Google Play הגן על הפחתות

זהו סיכום הפחתות המסופקות על ידי פלטפורמת האבטחה של Android והגנות שירות כגון Google Play Protect . יכולות אלה מקטינות את הסבירות שניתן לנצל בהצלחה פגיעויות אבטחה באנדרואיד.

  • ניצול לבעיות רבות באנדרואיד מקשה על ידי שיפורים בגרסאות החדשות יותר של פלטפורמת אנדרואיד. אנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, במידת האפשר.
  • צוות האבטחה של Android מפקח באופן פעיל על התעללות באמצעות Google Play Protect ומזהיר משתמשים מפני יישומים שעלולים להזיק . הגנה על Google Play מופעלת כברירת מחדל במכשירים עם שירותי המובייל של גוגל , והיא חשובה במיוחד עבור משתמשים שמתקינים אפליקציות מחוץ לגוגל פליי.

2017-08-01 רמת תיקון אבטחה - פרטי פגיעות

בסעיפים שלמטה אנו מספקים פרטים עבור כל אחת מפגיעות האבטחה החלות על רמת התיקון 2017-08-01. פגיעויות מקובצות תחת הרכיב שהן משפיעות. יש תיאור של הבעיה וטבלה עם CVE, הפניות משויכות, סוג הפגיעות , חומרתם וגרסאות AOSP מעודכנות (היכן שרלוונטי). כאשר הוא זמין, אנו מקשרים את השינוי הציבורי שעסק בבעיה למזהה הבאג, כמו רשימת השינויים של AOSP. כאשר שינויים מרובים מתייחסים לבאג יחיד, אזכורים נוספים מקושרים למספרים בעקבות מזהה הבאג.

מִסגֶרֶת

הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר ליישום זדוני מקומי המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר של תהליך מורשה.

CVE הפניות סוּג חוּמרָה גרסאות AOSP מעודכנות
CVE-2017-0712 A-37207928 EoP לְמַתֵן 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2

ספריות

הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר לתוקף מרוחק המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר של תהליך חסר זכות.

CVE הפניות סוּג חוּמרָה גרסאות AOSP מעודכנות
CVE-2017-0713 A-32096780 [ 2 ] RCE גָבוֹהַ 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2

מסגרת מדיה

הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר לתוקף מרוחק המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר לתהליך מורשה.

CVE הפניות סוּג חוּמרָה גרסאות AOSP מעודכנות
CVE-2017-0714 A-36492637 RCE קריטי 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0715 A-36998372 RCE קריטי 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0716 A-37203196 RCE קריטי 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0718 A-37273547 RCE קריטי 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0719 A-37273673 RCE קריטי 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0720 A-37430213 RCE קריטי 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0721 A-37561455 RCE קריטי 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0722 A-37660827 RCE קריטי 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0723 A-37968755 RCE קריטי 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0745 A-37079296 RCE קריטי 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0724 A-36819262 DoS גָבוֹהַ 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0725 A-37627194 DoS גָבוֹהַ 7.0, 7.1.1, 7.1.2
CVE-2017-0726 A-36389123 DoS גָבוֹהַ 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0727 A-33004354 EoP גָבוֹהַ 7.0, 7.1.1, 7.1.2
CVE-2017-0728 A-37469795 DoS גָבוֹהַ 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0729 A-37710346 EoP גָבוֹהַ 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0730 A-36279112 DoS גָבוֹהַ 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0731 A-36075363 EoP גָבוֹהַ 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0732 A-37504237 EoP גָבוֹהַ 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0733 A-38391487 DoS גָבוֹהַ 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0734 A-38014992 DoS גָבוֹהַ 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0735 A-38239864 [ 2 ] DoS גָבוֹהַ 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0736 A-38487564 DoS גָבוֹהַ 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0687 A-35583675 DoS גָבוֹהַ 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0737 A-37563942 EoP גָבוֹהַ 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0805 A-37237701 EoP גָבוֹהַ 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0738 A-37563371 [ 2 ] תְעוּדַת זֶהוּת לְמַתֵן 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2
CVE-2017-0739 A-37712181 תְעוּדַת זֶהוּת לְמַתֵן 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2

2017-08-05 רמת תיקון אבטחה - פרטי פגיעות

בסעיפים שלמטה אנו מספקים פרטים על כל אחת מפגיעות האבטחה החלות על רמת התיקון 2017-08-05. פגיעויות מקובצות תחת הרכיב שהן משפיעות וכוללות פרטים כגון CVE, הפניות משויכות, סוג הפגיעות , חומרתן , רכיב (היכן שרלוונטי) וגרסאות AOSP מעודכנות (היכן שיש). כאשר הוא זמין, אנו מקשרים את השינוי הציבורי שעסק בבעיה למזהה הבאג, כמו רשימת השינויים של AOSP. כאשר שינויים מרובים מתייחסים לבאג יחיד, אזכורים נוספים מקושרים למספרים בעקבות מזהה הבאג.

רכיבי ברודקום

הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר לתוקף מרוחק המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר של תהליך חסר זכות.

CVE הפניות סוּג חוּמרָה רְכִיב
CVE-2017-0740 A-37168488 *
B-RB # 116402
RCE לְמַתֵן מנהל רשת

רכיבי ליבה

הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי במסגרת תהליך מורשה.

CVE הפניות סוּג חוּמרָה רְכִיב
CVE-2017-10661 A-36266767
גרעין במעלה הזרם
EoP גָבוֹהַ מערכת קבצים
CVE-2017-0750 A-36817013 * EoP לְמַתֵן מערכת קבצים
CVE-2017-10662 A-36815012
גרעין במעלה הזרם
EoP לְמַתֵן מערכת קבצים
CVE-2017-10663 A-36588520
גרעין במעלה הזרם
EoP לְמַתֵן מערכת קבצים
CVE-2017-0749 A-36007735 * EoP לְמַתֵן ליבת לינוקס

רכיבי MediaTek

הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי במסגרת תהליך מורשה.

CVE הפניות סוּג חוּמרָה רְכִיב
CVE-2017-0741 A-32458601 *
M-ALPS03007523
EoP גָבוֹהַ מנהל התקן GPU
CVE-2017-0742 A-36074857 *
M-ALPS03275524
EoP לְמַתֵן מנהל התקן וידאו

רכיבי קוואלקום

הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר ליישום זדוני מקומי לבצע קוד שרירותי בהקשר של תהליך מועדף.

CVE הפניות סוּג חוּמרָה רְכִיב
CVE-2017-0746 A-35467471 *
QC-CR # 2029392
EoP לְמַתֵן מנהל התקן IPA
CVE-2017-0747 A-32524214 *
QC-CR # 2044821
EoP לְמַתֵן רכיב קנייני
CVE-2017-9678 A-35258962 *
QC-CR # 2028228
EoP לְמַתֵן מנהל התקן וידאו
CVE-2017-9691 A-33842910 *
QC-CR # 1116560
EoP לְמַתֵן נהג MobiCore (Trustonic)
CVE-2017-9684 A-35136547 *
QC-CR # 2037524
EoP לְמַתֵן מנהל התקן USB
CVE-2017-9682 A-36491445 *
QC-CR # 2030434
תְעוּדַת זֶהוּת לְמַתֵן מנהל התקן GPU

עדכוני מכשיר גוגל

טבלה זו מכילה את רמת תיקון האבטחה בעדכון ה- OTA האחרון (OTA) ותמונות קושחה למכשירי Google. תמונות הקושחה של מכשיר Google זמינות באתר המפתחים של גוגל .

מכשיר גוגל רמת תיקון אבטחה
פיקסל / פיקסל XL 05 באוגוסט 2017
נקסוס 5X 05 באוגוסט 2017
נקסוס 6 05 באוגוסט 2017
נקסוס 6P 05 באוגוסט 2017
נקסוס 9 05 באוגוסט 2017
נגן Nexus 05 באוגוסט 2017
פיקסל סי 05 באוגוסט 2017

עדכוני מכשירי Google מכילים גם תיקונים לפגיעות אבטחה אלה, אם רלוונטיים:

CVE הפניות סוּג חוּמרָה רְכִיב
CVE-2017-0744 A-34112726 *
N-CVE-2017-0744
EoP נָמוּך דרייבר קול
CVE-2017-9679 A-35644510 *
QC-CR # 2029409
תְעוּדַת זֶהוּת נָמוּך נהג SoC
CVE-2017-9680 A-35764241 *
QC-CR # 2030137
תְעוּדַת זֶהוּת נָמוּך נהג SoC
CVE-2017-0748 A-35764875 *
QC-CR # 2029798
תְעוּדַת זֶהוּת נָמוּך מנהל התקן שמע
CVE-2017-9681 A-36386593 *
QC-CR # 2030426
תְעוּדַת זֶהוּת נָמוּך נהג רדיו
CVE-2017-9693 A-36817798 *
QC-CR # 2044820
תְעוּדַת זֶהוּת נָמוּך מנהל רשת
CVE-2017-9694 A-36818198 *
QC-CR # 2045470
תְעוּדַת זֶהוּת נָמוּך מנהל רשת
CVE-2017-0751 A-36591162 *
QC-CR # 2045061
EoP נָמוּך נהג QCE
CVE-2017-9692 A-36731152 *
QC-CR # 2021707
DoS נָמוּך נהג גרפיקה

תודות

אנו רוצים להודות לחוקרים אלה על תרומתם:

קורות חיים חוקרים
CVE-2017-0741, CVE-2017-0742, CVE-2017-0751 Baozeng Ding ( @sploving ), Chengming Yang ו- Yang Song מקבוצת האבטחה הניידת עליבאבא
CVE-2017-9682 בילי לאו מאבטחת אנדרואיד
CVE-2017-0739 Dacheng Shao , Hongli Han ( @ HexB1n ), Mingjian Zhou ( @Mingjian_Zhou ) ו- Xuxian Jiang מצוות C0RE
CVE-2017-9691, CVE-2017-0744 ג'ינג'יה צ'ן ( @ chengjia4574 ) ו- pjf ממעבדת IceSword , Qihoo 360 Technology Co. Ltd.
CVE-2017-0727 גואנג גונג (龚 广) ( @oldfresher ) מצוות אלפא, Qihoo 360 Technology Co. Ltd.
CVE-2017-0737 Hanxiang Wen , Mingjian Zhou ( @Mingjian_Zhou ) ו- Xuxian Jiang מצוות C0RE
CVE-2017-0748 האו צ'ן וגואנג גונג מצוות אלפא של Qihoo 360 Technology Co. Ltd.
CVE-2017-0731 הונגלי האן ( @ HexB1n ), מינג'יאן ג'ואו ( @Mingjian_Zhou ) ו- Xuxian Jiang מצוות C0RE
CVE-2017-9679 נתן קרנדל ( @natecray ) מצוות אבטחת המוצרים של טסלה
CVE-2017-0726 Niky1235 ( @jiych_guru )
CVE-2017-9684, CVE-2017-9694, CVE-2017-9693, CVE-2017-9681, CVE-2017-0738, CVE-2017-0728 Pengfei Ding (丁鹏飞), Chenfu Bao (包 沉浮), and Lenx Wei (韦 韬) of Baidu X-Lab (百度 安全 实验室)
CVE-2017-9680, CVE-2017-0740 סקוט באואר ( @ ScottyBauer1 )
CVE-2017-0724 Seven Shen ( @lingtongshen ) של TrendMicro
CVE-2017-0732, CVE-2017-0805 טימותי בקר מחברת CSS בע"מ
CVE-2017-10661 טונג לין ( segfault5514@gmail.com ), יואן-טסונג לו ( computernik@gmail.com ), ושוקסיאן ג'יאנג מצוות C0RE
CVE-2017-0712 ולריו קוסטמניה ( @vaio_co ) ומרקו ברטולי ( @wsxarcher )
CVE-2017-0716 וסילי וסילייב
CVE-2017-0750, CVE-2017-0713, CVE-2017-0715, CVE-2017-10662 CVE-2017-10663 VEO ( @VYSEa ) מצוות תגובת האיום הנייד , Trend Micro
CVE-2017-9678 יאן ג'ואו מקבוצת Eagleye, SCC, Huawei
CVE-2017-0749, CVE-2017-0746 יונגגנג גואו ( @ guoygang ) ממעבדת IceSword , Qihoo 360 Technology Co. Ltd.
CVE-2017-0729 יונגקה וואנג ממעבדת Xuanwu של טנסנט
CVE-2017-0714, CVE-2017-0719, CVE-2017-0718, CVE-2017-0722, CVE-2017-0725, CVE-2017-0720, CVE-2017-0745 זינו האן ממרכז תגובת האבטחה בצ'נגדו, צ'יהו 360 טכנולוגיה ושות 'בע"מ

שאלות נפוצות ותשובות

חלק זה עונה על שאלות נפוצות שעשויות להתרחש לאחר קריאת העלון הזה.

1. כיצד אוכל לקבוע אם המכשיר שלי מעודכן לטפל בבעיות אלה?

כדי ללמוד כיצד לבדוק את רמת תיקון האבטחה של המכשיר, קרא את ההוראות בלוח הזמנים של עדכוני פיקסל ונקסוס .

  • רמות תיקון האבטחה של 2017-08-01 ואילך מטפלות בכל הבעיות הקשורות לרמת תיקון האבטחה 2017-08-01.
  • רמות תיקון האבטחה של 2017-08-05 ואילך מטפלות בכל הבעיות הקשורות לרמת תיקון האבטחה 2017-08-05 ובכל רמות התיקון הקודמות.

יצרני מכשירים הכוללים עדכונים אלה צריכים להגדיר את רמת מחרוזת התיקון ל:

  • [ro.build.version.security_patch]: [01-01-2017]
  • [ro.build.version.security_patch]: [2017-08-05]

2. מדוע בעלון זה כולל שתי רמות תיקון אבטחה?

בעלון זה יש שתי רמות תיקון אבטחה, כך שלשותפי Android יש את הגמישות לתקן מערך משנה של נקודות תורפה שדומות בכל מכשירי Android במהירות רבה יותר. שותפי Android מוזמנים לתקן את כל הבעיות בעלון זה ולהשתמש ברמת תיקון האבטחה העדכנית ביותר.

  • התקנים המשתמשים ברמת תיקון האבטחה של 01 באוגוסט 2017 חייבים לכלול את כל הבעיות הקשורות לרמת תיקון האבטחה ההיא, וכן תיקונים לכל הבעיות שדווחו בעלוני האבטחה הקודמים.
  • התקנים המשתמשים ברמת תיקון האבטחה של 05 באוגוסט 2017 ומעלה חייבים לכלול את כל התיקונים הרלוונטיים בעלוני האבטחה (וקודם) זה.

השותפים מוזמנים לאגד את התיקונים לכל הבעיות שהם מטפלים בהם בעדכון יחיד.

3. מה המשמעות של הערכים בעמודה סוג ?

רשומות בעמודה סוג בטבלת פרטי הפגיעות מתייחסות לסיווג הפגיעות האבטחה.

נוֹטָרִיקוֹן הַגדָרָה
RCE ביצוע קוד מרחוק
EoP הרמת זכות
תְעוּדַת זֶהוּת גילוי מידע
DoS מניעת שירות
לא סיווג אינו זמין

4. מה המשמעות של הערכים בעמודה הפניות ?

רשומות בעמודה הפניות בטבלת פרטי הפגיעות עשויות להכיל קידומת המזהה את הארגון אליו שייך הערך הפניה.

קידומת התייחסות
א- מזהה באג של Android
QC- מספר התייחסות של קוואלקום
M- מספר הפניה של MediaTek
N- מספר התייחסות של NVIDIA
B- מספר הפניה לברודקום

5. מה המשמעות של * ליד מזהה הבאג של Android בעמודה הפניות ?

לבעיות שאינן זמינות לציבור יש סימן * לצד מזהה הבאג של Android בעמודה הפניות . העדכון לבעיה זו כלול בדרך כלל במנהלי ההתקנים הבינאריים האחרונים למכשירי Nexus שזמינים באתר המפתחים של גוגל .

גרסאות

גִרְסָה תַאֲרִיך הערות
1.0 7 באוגוסט 2017 עלון פורסם.
1.1 8 באוגוסט 2017 העלון תוקן כך שיכלול קישורי AOSP ותודות.
1.2 14 באוגוסט 2017 העלון תוקן להוספת CVE-2017-0687.
1.2 23 באוגוסט 2017 העלון תוקן להוספת CVE-2017-0805.