Android のセキュリティに関する公開情報 - 2017 年 12 月

2017 年 12 月 4 日に公開 | 2017年12月6日更新

Android セキュリティ情報には、Android デバイスに影響を与えるセキュリティ脆弱性の詳細が含まれています。セキュリティ パッチ レベル 2017-12-05 以降では、これらすべての問題に対処します。デバイスのセキュリティ パッチ レベルを確認する方法については、 「Android バージョンの確認と更新」を参照してください。

Android パートナーには、公開の少なくとも 1 か月前にすべての問題が通知されます。これらの問題に対するソース コード パッチは Android オープン ソース プロジェクト (AOSP) リポジトリにリリースされており、この公開情報からリンクされています。この公開情報には、AOSP 以外のパッチへのリンクも含まれています。

これらの問題のうち最も深刻なものは、メディア フレームワークの重大なセキュリティ脆弱性であり、リモート攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。重大度の評価は、プラットフォームとサービスの緩和策が開発目的で無効になっている場合、または回避に成功した場合を想定して、脆弱性の悪用が影響を受けるデバイスに与える可能性のある影響に基づいています。

新たに報告されたこれらの問題について、顧客による積極的な悪用や悪用の報告はありません。 Android プラットフォームのセキュリティを向上させるAndroid セキュリティ プラットフォーム保護と Google Play プロテクトの詳細については、 「Android および Google Play プロテクトの軽減策」セクションを参照してください。

注: Google デバイスの最新の無線アップデート (OTA) とファームウェア イメージに関する情報は、2017 年 12 月の Pixel / Nexus セキュリティ情報で入手できます。

Android および Google サービスの軽減策

これは、Android セキュリティ プラットフォームとGoogle Play プロテクトなどのサービス保護によって提供される緩和策の概要です。これらの機能により、Android でセキュリティの脆弱性が悪用される可能性が低くなります。

• Android プラットフォームの新しいバージョンの機能強化により、Android 上の多くの問題の悪用はさらに困難になっています。すべてのユーザーに、可能な限り Android の最新バージョンに更新することをお勧めします。
• Android セキュリティ チームは、 Google Play プロテクトを通じて悪用を積極的に監視し、有害な可能性のあるアプリケーションについてユーザーに警告します。 Google Play プロテクトは、 Google モバイル サービスを備えたデバイスではデフォルトで有効になっており、Google Play 以外からアプリをインストールするユーザーにとって特に重要です。

2017-12-01 セキュリティ パッチ レベル - 脆弱性の詳細

以下のセクションでは、2017-12-01 パッチ レベルに適用される各セキュリティ脆弱性の詳細を説明します。脆弱性は、影響を受けるコンポーネントの下にグループ化されます。問題の説明と、CVE、関連参照、脆弱性の種類、重大度、更新された AOSP バージョン (該当する場合) の表が記載されています。利用可能な場合は、AOSP 変更リストなど、問題に対処した公開変更をバグ ID にリンクします。複数の変更が 1 つのバグに関連する場合、追加の参照はバグ ID に続く番号にリンクされます。

フレームワーク

このセクションの最も深刻な脆弱性により、悪意のあるローカル アプリケーションが追加の権限にアクセスするためにユーザーの操作要件を回避できる可能性があります。

メディアフレームワーク

このセクションの最も深刻な脆弱性により、リモート攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。

システム

このセクションの最も深刻な脆弱性により、近接攻撃者が特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。

2017-12-05 セキュリティ パッチ レベル - 脆弱性の詳細

以下のセクションでは、2017-12-05 パッチ レベルに適用される各セキュリティ脆弱性の詳細を説明します。脆弱性は影響を受けるコンポーネントごとにグループ化され、CVE、関連参照、脆弱性の種類、重大度、コンポーネント (該当する場合)、更新された AOSP バージョン (該当する場合) などの詳細が含まれます。利用可能な場合は、AOSP 変更リストなど、問題に対処した公開変更をバグ ID にリンクします。複数の変更が 1 つのバグに関連する場合、追加の参照はバグ ID に続く番号にリンクされます。

カーネルコンポーネント

このセクションの最も深刻な脆弱性により、悪意のあるローカル アプリケーションが特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。

MediaTek コンポーネント

このセクションの最も深刻な脆弱性により、悪意のあるローカル アプリケーションが特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。

NVIDIA コンポーネント

このセクションの最も深刻な脆弱性により、悪意のあるローカル アプリケーションが特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。

クアルコムのコンポーネント

このセクションの最も深刻な脆弱性により、リモート攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。

クアルコムのクローズドソース コンポーネント

これらの脆弱性は Qualcomm コンポーネントに影響し、適切な Qualcomm AMSS セキュリティ情報またはセキュリティ アラートで詳細に説明されています。これらの問題の重大度評価は、クアルコムによって直接提供されます。

よくある質問と回答

このセクションでは、このセキュリティ情報を読んだ後に発生する可能性のある一般的な質問に答えます。

1. これらの問題に対処するためにデバイスが更新されているかどうかを確認するにはどうすればよいですか?

デバイスのセキュリティ パッチ レベルを確認する方法については、 「Android バージョンの確認と更新」を参照してください。

• セキュリティ パッチ レベル 2017-12-01 以降では、セキュリティ パッチ レベル 2017-12-01 に関連するすべての問題が解決されます。
• セキュリティ パッチ レベル 2017-12-05 以降では、2017-12-05 のセキュリティ パッチ レベルおよび以前のすべてのパッチ レベルに関連するすべての問題が解決されます。

これらのアップデートを組み込むデバイス メーカーは、パッチ文字列レベルを次のように設定する必要があります。

• [ro.build.version.security_patch]:[2017-12-01]
• [ro.build.version.security_patch]:[2017-12-05]

2. このセキュリティ情報には 2 つのセキュリティ パッチ レベルがあるのはなぜですか?

この情報には 2 つのセキュリティ パッチ レベルがあり、Android パートナーはすべての Android デバイスで同様の脆弱性のサブセットをより迅速に修正できる柔軟性を備えています。 Android パートナーは、このセキュリティ情報にあるすべての問題を修正し、最新のセキュリティ パッチ レベルを使用することをお勧めします。

• 2017-12-01 のセキュリティ パッチ レベルを使用するデバイスには、そのセキュリティ パッチ レベルに関連するすべての問題と、以前のセキュリティ情報で報告されたすべての問題の修正が含まれている必要があります。
• 2017-12-05 以降のセキュリティ パッチ レベルを使用するデバイスには、この (および以前の) セキュリティ情報に該当するすべてのパッチが含まれている必要があります。

パートナーは、対処しているすべての問題の修正を 1 つのアップデートにバンドルすることをお勧めします。

3. [タイプ] 列のエントリは何を意味しますか?

脆弱性の詳細テーブルの「タイプ」列のエントリは、セキュリティ脆弱性の分類を参照します。

4. [参考文献] 列のエントリは何を意味しますか?

脆弱性の詳細表の「参照」列の下のエントリには、参照値が属する組織を識別するプレフィックスが含まれる場合があります。

5. [参照]列の Android バグ ID の横にある * は何を意味しますか?

一般に公開されていない問題には、 [参考]列の Android バグ ID の横に * が付いています。この問題のアップデートは通常、 Google デベロッパー サイトから入手できる Nexus デバイス用の最新バイナリ ドライバに含まれています。

6. セキュリティの脆弱性がこのセキュリティ情報と、Pixel/Nexus のセキュリティ情報などのデバイス/パートナーのセキュリティ情報に分かれているのはなぜですか?

Android デバイスで最新のセキュリティ パッチ レベルを宣言するには、このセキュリティ情報に記載されているセキュリティの脆弱性が必要です。デバイス/パートナーのセキュリティ情報に文書化されている追加のセキュリティ脆弱性は、セキュリティ パッチ レベルを宣言するために必要ありません。 Android デバイスおよびチップセットのメーカーは、 Samsung 、 LGE 、 Pixel / Nexus のセキュリティ情報など、独自のセキュリティ Web サイトを通じて、デバイス上の他の修正の存在を文書化することをお勧めします。

バージョン