Бюллетень по безопасности Android – февраль 2018 г.

Опубликован 5 февраля 2018 г. | Обновлен 2 апреля 2018 г.

В этом бюллетене содержится информация об уязвимостях в защите устройств Android. Все актуальные проблемы, перечисленные здесь, устранены в исправлении от 5 февраля 2018 года или более новом. Информацию о том, как проверить обновления системы безопасности, можно найти в Справочном центре.

Мы сообщаем партнерам обо всех проблемах не менее чем за месяц до выхода бюллетеня. Исправления уязвимостей доступны в хранилище Android Open Source Project (AOSP). Ссылки на них, а также на исправления вне AOSP есть в этом бюллетене.

Самая серьезная из проблем – критическая уязвимость в Media Framework, которая позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла. Уровень серьезности зависит от того, какой ущерб будет нанесен устройству, если злоумышленник воспользуется уязвимостью и сможет обойти средства защиты или их отключит разработчик.

У нас нет информации о недобросовестном использовании обнаруженных уязвимостей. Сведения о том, как платформа безопасности Android и Google Play Защита помогают снизить вероятность успешного применения уязвимостей Android, можно найти в разделе Предотвращение атак.

Примечание. Информация о последних беспроводных обновлениях (OTA) и образах встроенного ПО для устройств Google содержится в бюллетене по безопасности Pixel  и Nexus за февраль 2018 года.

Предотвращение атак

Здесь описано, как платформа безопасности Android и средства защиты сервисов, например Google Play Защита, позволяют снизить вероятность атак на Android.

  • В новых версиях Android сложнее использовать многие уязвимости, поэтому мы рекомендуем всем пользователям своевременно обновлять систему.
  • Команда, отвечающая за безопасность Android, активно отслеживает случаи злоупотребления с помощью Google Play Защиты и предупреждает пользователей об установке потенциально опасных приложений. Google Play Защита по умолчанию включена на телефонах и планшетах, использующих сервисы Google для мобильных устройств. Она особенно важна для тех, кто устанавливает приложения не из Google Play.

Описание уязвимостей (обновление системы безопасности 2018-02-01)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2018-02-01. Проблемы сгруппированы по компонентам, которые они затрагивают. Для каждого случая приведены описание и таблица, в которой указаны CVE, ссылки, тип уязвимости, уровень серьезности и, если применимо, версии AOSP. Где возможно, мы приводим основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Media Framework

Самая серьезная уязвимость позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла.

CVE Ссылки Тип Уровень серьезности Обновленные версии AOSP
CVE-2017-13228 A-69478425 RCE Критический 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2017-13231 A-67962232 EoP Высокий 8.0, 8.1
CVE-2017-13232 A-68953950 ID Высокий 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2017-13230 A-65483665 DoS Высокий 7.0, 7.1.1, 7.1.2, 8.0, 8.1
УВК Критический 5.1.1, 6.0, 6.0.1
CVE-2017-13233 A-62851602 DoS Высокий 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2017-13234 A-68159767 DoS Высокий 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1

Система

Самая серьезная уязвимость позволяет локальному вредоносному ПО выполнять команды, обычно доступные только привилегированным процессам.

CVE Ссылки Тип Уровень серьезности Обновленные версии AOSP
CVE-2017-13236 A-68217699 [2] ПП Средний 8.0, 8.1

Описание уязвимостей (обновление системы безопасности 2018-02-05)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2018-02-05. Проблемы сгруппированы по компонентам, которые они затрагивают. Для каждого случая приведена таблица, в которой указаны CVE, ссылки, тип уязвимости, уровень серьезности, а также, если применимо, компонент и версии AOSP. Где возможно, мы добавляем к идентификатору ошибки ссылку на опубликованное изменение (например, список AOSP). Если таких изменений несколько, дополнительные ссылки указываются в квадратных скобках.

Компоненты HTC

Самая серьезная уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-13238 A-64610940* РИ Высокий Загрузчик
CVE-2017-13247 A-71486645* ПП Средний Загрузчик ОС

Компоненты ядра

Самая серьезная уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-15265 A-67900971
Upstream kernel
EoP Высокий ALSA
CVE-2015-9016 A-63083046
Upstream kernel
EoP Высокий Механизм многопоточного доступа к блочным устройствам blk-mq
CVE-2017-13273 A-65853158* ПП Высокий Ядро

Компоненты NVIDIA

Самая серьезная уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-6279 A-65023166*
N-CVE-2017-6279
EoP Высокий Media Framework
CVE-2017-6258 A-38027496*
N-CVE-2017-6258
EoP Высокий Media Framework

Компоненты Qualcomm

Самая серьезная уязвимость позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-15860 A-68992416
QC-CR#2082544 [2]
RCE Критический WLAN
CVE-2017-11041 A-35269676*
QC-CR#2053101
EoP Высокий Media Framework
CVE-2017-17767 A-64750179*
QC-CR#2115779
EoP Высокий Media Framework
CVE-2017-17765 A-68992445
QC-CR#2115112
EoP Высокий WLAN
CVE-2017-15862 A-68992439
QC-CR#2114426
EoP Высокий WLAN
CVE-2017-14884 A-68992429
QC-CR#2113052
EoP Высокий WLAN
CVE-2017-15829 A-68992397
QC-CR#2097917
EoP Высокий Graphics_Linux
CVE-2017-15820 A-68992396
QC-CR#2093377
EoP Высокий Graphics_Linux
CVE-2017-17764 A-68992443
QC-CR#2114789
EoP Высокий WLAN
CVE-2017-15861 A-68992434
QC-CR#2114187
EoP Высокий WLAN

Компоненты Qualcomm с закрытым исходным кодом

Эти уязвимости затрагивают компоненты Qualcomm. Они описаны в бюллетенях по безопасности Qualcomm AMSS или оповещениях системы безопасности. Уровень серьезности этих уязвимостей определяется непосредственно компанией Qualcomm.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-14910 A-62212114* Н/Д Высокий Компонент с закрытым исходным кодом

Часто задаваемые вопросы

В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.

1. Как определить, установлено ли на устройстве обновление, в котором устранены перечисленные проблемы?

Информацию о том, как проверить версию системы безопасности на устройстве, можно найти в Справочном центре.

  • В исправлении от 1 февраля 2018 года или более новом устранены все проблемы, связанные с обновлением 2018-02-01.
  • В исправлении от 5 февраля 2018 года или более новом устранены все проблемы, связанные с обновлением 2018-02-05.

Производители устройств, позволяющие установить эти обновления, должны присвоить им один из следующих уровней:

  • [ro.build.version.security_patch]:[2018-02-01]
  • [ro.build.version.security_patch]:[2018-02-05]

2. Почему в этом бюллетене говорится о двух исправлениях для системы безопасности?

Мы включили в этот бюллетень сведения о двух исправлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Рекомендуем партнерам Android исправить все вышеперечисленные проблемы и установить последнее обновление системы безопасности.

  • На устройствах с установленным обновлением 2018-02-01 должны быть исправлены все проблемы, упомянутые в соответствующем разделе этого бюллетеня, а также в предыдущих выпусках.
  • На устройствах с установленным обновлением 2018-02-05 или более новым должны быть исправлены все проблемы, упомянутые в этом бюллетене и предыдущих выпусках.

Рекомендуем партнерам собрать все исправления проблем в одно обновление.

3. Что означают сокращения в столбце Тип?

В этом столбце указан тип уязвимости по следующей классификации:

Сокращение Описание
RCE Удаленное выполнение кода (Remote code execution)
EoP Повышение привилегий (Elevation of privilege)
ID Раскрытие информации (Information disclosure)
DoS Отказ в обслуживании (Denial of service)
Н/Д Классификация недоступна

4. Что означает информация в столбце Ссылки?

В таблицах с описанием уязвимостей есть столбец Ссылки. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:

Префикс Значение
A- Идентификатор ошибки Android
QC- Ссылочный номер Qualcomm
M- Ссылочный номер MediaTek
N- Ссылочный номер NVIDIA
B- Ссылочный номер Broadcom

5. Что означает символ * рядом с идентификатором ошибки Android в столбце Ссылки?

Символ * означает, что исправление для уязвимости не опубликовано. Необходимое обновление обычно содержится в последних исполняемых файлах драйверов для устройств Nexus, которые можно скачать на сайте Google Developers.

6. Почему теперь одни уязвимости описываются в этом бюллетене, а другие – в бюллетенях по безопасности Pixel и Nexus, а также в остальных бюллетенях партнеров?

В этом бюллетене описаны уязвимости, которые были устранены в последнем обновлении системы безопасности для устройств Android. Решать дополнительные проблемы, перечисленные в бюллетенях по безопасности партнеров, для этого не требуется. Мы рекомендуем производителям чипсетов и устройств Android рассказывать об исправлениях для своих устройств в бюллетенях по безопасности на собственных сайтах. Примеры: бюллетени Samsung, LG, а также Pixel и Nexus.

Версии

Версия Дата Примечания
1.0 5 февраля 2018 г. Бюллетень опубликован.
1.1 7 февраля 2018 г. Добавлены ссылки на AOSP.
1.2 14 февраля 2018 г. Исправлены идентификаторы уязвимостей CVE-2017-13273, CVE-2017-15860, CVE-2017-15861 и CVE-2017-15862.
1.3 2 апреля 2018 г. Сведения об уязвимости CVE-2017-15817 перенесены в бюллетень по безопасности Pixel за февраль.