Бюллетень по безопасности Android – июнь 2018 г.

Дата публикации: 4 июня 2018 г. | Дата обновления: 24 июля 2018 г.

В этом бюллетене содержится информация об уязвимостях в защите устройств Android. Все перечисленные здесь проблемы устранены в исправлении 2018-06-05 и более новых. Сведения о том, как проверить уровень исправления системы безопасности на устройстве, можно найти в статье о сроках обновления ПО.

Мы сообщаем партнерам обо всех проблемах по крайней мере за месяц до выхода бюллетеня. Исправления уязвимостей доступны в хранилище Android Open Source Project (AOSP). Ссылки на них, а также на исправления вне AOSP есть в этом бюллетене.

Самая серьезная из проблем – критическая уязвимость в Media Framework, которая позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла. Уровень серьезности зависит от того, какой ущерб потенциально может быть нанесен устройству, если средства защиты будут отключены в целях разработки или злоумышленнику удастся их обойти.

У нас нет информации об активном использовании обнаруженных уязвимостей. Сведения о том, как платформа безопасности Android и Google Play Защита позволяют снизить вероятность успешного использования уязвимостей Android, можно найти в разделе Предотвращение атак.

Примечание. Информация о последних беспроводных обновлениях (OTA) и образах встроенного ПО для устройств Google содержится в бюллетене по безопасности Pixel и Nexus за июнь 2018 года.

Предотвращение атак

Здесь описано, как платформа безопасности Android и средства защиты сервисов, например Google Play Защита, позволяют снизить вероятность успешного использования уязвимостей Android.

  • В новых версиях Android сложнее использовать многие уязвимости, поэтому мы рекомендуем всем пользователям своевременно обновлять систему.
  • Команда, отвечающая за безопасность Android, активно отслеживает случаи злоупотребления с помощью Google Play Защиты и предупреждает пользователей об установке потенциально опасных приложений. Google Play Защита по умолчанию включена на телефонах и планшетах, использующих сервисы Google для мобильных устройств. Она особенно важна для тех, кто устанавливает приложения не из Google Play.

Описание уязвимостей (исправление системы безопасности 2018-06-01)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в исправлении системы безопасности 2018-06-01. Проблемы сгруппированы по компонентам, которые они затрагивают. Для каждого случая приведены описание и таблица, где указаны CVE, ссылки, тип уязвимости, уровень серьезности и, если применимо, версии AOSP. Где возможно, мы добавляем к идентификатору ошибки ссылку на опубликованное изменение (например, список AOSP). Если таких изменений несколько, дополнительные ссылки указываются в квадратных скобках.

Framework

Самая серьезная уязвимость позволяет локальному вредоносному ПО обойти требования к взаимодействию с пользователем и получить доступ к дополнительным разрешениям.

CVE Ссылки Тип Уровень серьезности Обновленные версии AOSP
CVE-2018-9338 A-71361168 EoP Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9339 A-71508348 EoP Высокий 8.0, 8.1
CVE-2017-13227 A-69981710 ID Высокий 8.0, 8.1
CVE-2018-9340 A-71360999 ID Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1

Media Framework

Самая серьезная уязвимость позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла.

CVE Ссылки Тип Уровень серьезности Обновленные версии AOSP
CVE-2018-9341 A-74016277 RCE Критический 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-5146 A-77284393* RCE Критический 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2017-13230 A-65483665 RCE Критический 6.0
CVE-2018-9344 A-73172817 EoP Высокий 8.1
CVE-2018-9345 A-77238250 ID Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9346 A-77238762 ID Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9347 A-68664359 DoS Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9348 A-68953854 DoS Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1

Система

Самая серьезная уязвимость позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла.

CVE Ссылки Тип Уровень серьезности Обновленные версии AOSP
CVE-2018-9355 A-74016921 RCE Критический 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9356 A-74950468 RCE Критический 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9357 A-74947856 RCE Критический 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9358 A-73172115 ID Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9359 A-74196706 ID Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9360 A-74201143 ID Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9361 A-74202041 ID Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9362 A-72298611 DoS Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1

Описание уязвимостей (исправление системы безопасности 2018-06-05)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в исправлении системы безопасности 2018-06-05. Проблемы сгруппированы по компонентам, которые они затрагивают. Для каждого случая приведена таблица, в которой указаны CVE, ссылки, тип уязвимости, уровень серьезности, а также, если применимо, компонент и версии AOSP. Где возможно, мы приводим основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Компоненты Broadcom

Самая серьезная уязвимость позволяет злоумышленнику удаленно получать доступ к данным, открытым только для установленных на устройстве приложений, которые обладают необходимыми разрешениями.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2018-5383 A-73665456*
B-CS4906525
ID Высокий Bluetooth

Компоненты ядра

Самая серьезная уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2018-9363 A-65853588* EoP Высокий Bluetooth
CVE-2017-17806 A-71752561
Upstream kernel
EoP Высокий crypto
CVE-2017-17807 A-71751178
Upstream kernel
EoP Высокий Набор ключей
CVE-2017-17558 A-71751622
Upstream kernel
EoP Высокий USB

Компоненты LG

Самая серьезная уязвимость позволяет злоумышленнику, в руки которого попало устройство, обойти требования к взаимодействию с пользователем и получить доступ к дополнительным разрешениям.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2018-9364 A-69163111* EoP Критический Загрузчик

Media Framework

Самая серьезная уязвимость позволяет локальному вредоносному ПО обойти требования к взаимодействию с пользователем и получить доступ к дополнительным разрешениям.

CVE Ссылки Тип Уровень серьезности Обновленные версии AOSP
CVE-2018-9409 A-63144992*
QC-CR#2114346
EoP Высокий 8.1

Компоненты MediaTek

Самая серьезная уязвимость позволяет злоумышленнику выполнять произвольный код в контексте ДВБ (достоверной вычислительной базы).

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2018-9373 A-71867247*
M-ALPS03740330
EoP Критический MediaTek WLAN TDLS
CVE-2018-9366 A-72314499*
M-ALPS03762526
EoP Высокий IMSA
CVE-2018-9367 A-72314219*
M-ALPS03762692
EoP Высокий Cameratool CCAP
CVE-2018-9368 A-70727446*
M-ALPS03730693
EoP Высокий mtksocaudio
CVE-2018-9369 A-70514573*
M-ALPS03666161
EoP Высокий Загрузчик
CVE-2018-9370 A-70515281*
M-ALPS03693488
EoP Высокий Загрузчик
CVE-2018-9371 A-70515752*
M-ALPS03683903
EoP Высокий Загрузчик
CVE-2018-9372 A-70730215*
M-ALPS03676237
EoP Высокий Загрузчик

Компоненты NVIDIA

Самая серьезная уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-6290 A-69559414*
N-200373895
EoP Высокий TLK TrustZone
CVE-2017-6294 A-69316825*
N-200369095
EoP Высокий NVIDIA Tegra X1 TZ
CVE-2017-6292 A-69480285*
N-200373888
EoP Высокий TLZ TrustZone

Компоненты Qualcomm

Самая серьезная уязвимость позволяет злоумышленнику, в руки которого попало устройство, обойти требования к взаимодействию с пользователем и получить доступ к дополнительным разрешениям.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-18158 A-68992400
QC-CR#2104056
EoP Критический Загрузчик
CVE-2018-3569 A-74237215
QC-CR#2161920
EoP Критический Хост WLAN
CVE-2017-18155 A-66734153*
QC-CR#1050893
RCE Критический Аппаратный кодек
CVE-2018-5854 A-71800779
QC-CR#2183877
EoP Критический Загрузчик
CVE-2017-13077 A-63165064* EoP Высокий WLAN
CVE-2018-5896 A-70399602*
QC-CR#2163793
ID Высокий Драйвер diag
CVE-2018-5829 A-74237546
QC-CR#2151241
ID Высокий WLAN
CVE-2018-5383 A-73665204*
QC-CR#2187697
ID Высокий Bluetooth
CVE-2017-18159 A-68992405
QC-CR#2105697 [2] [3] [4] [5] [6] [7] [8] [9]
EoP Высокий Загрузчик
CVE-2017-18158 A-67782849*
QC-CR#2104056
EoP Высокий Загрузчик
CVE-2018-5835 A-74237148
QC-CR#2153553
EoP Высокий Хост WLAN
CVE-2018-5834 A-74237804
QC-CR#2153326
EoP Высокий WLAN
CVE-2018-5831 A-74237606
QC-CR#2161310
EoP Высокий Драйвер графического процессора
CVE-2018-5830 A-74237532
QC-CR#2157917 [2]
EoP Высокий Хост WLAN

Компоненты Qualcomm с закрытым исходным кодом

Эти уязвимости затрагивают компоненты Qualcomm и описаны в бюллетенях по безопасности Qualcomm AMSS или оповещениях системы безопасности. Уровень серьезности этих уязвимостей определяется непосредственно компанией Qualcomm.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-18157 A-73539080* Н/Д Высокий Компонент с закрытым исходным кодом
CVE-2017-18156 A-73539065* Н/Д Высокий Компонент с закрытым исходным кодом
CVE-2018-5892 A-72951191* Н/Д Высокий Компонент с закрытым исходным кодом
CVE-2018-5891 A-72950815* Н/Д Высокий Компонент с закрытым исходным кодом
CVE-2018-5885 A-72950554* Н/Д Высокий Компонент с закрытым исходным кодом
CVE-2018-5894 A-74236854* Н/Д Высокий Компонент с закрытым исходным кодом
CVE-2018-5884 A-74235510* Н/Д Высокий Компонент с закрытым исходным кодом

Система

Самая серьезная уязвимость позволяет злоумышленнику удаленно получать доступ к данным, открытым только для установленных на устройстве приложений, которые обладают необходимыми разрешениями.

CVE Ссылки Тип Уровень серьезности Обновленные версии AOSP
CVE-2018-5383 A-72377774 ID Высокий 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1

Часто задаваемые вопросы

В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.

1. Как определить, установлено ли на устройстве обновление, в котором устранены перечисленные уязвимости?

Сведения о том, как проверить уровень исправления системы безопасности на устройстве, можно найти в статье о сроках обновления ПО.

  • В исправлении 2018-06-01 и более новых устранены все проблемы, соответствующие исправлению системы безопасности 2018-06-01.
  • В исправлении 2018-06-05 и более новых решены все проблемы, соответствующие исправлению системы безопасности 2018-06-05 и всем предыдущим исправлениям.

Производители устройств, позволяющие установить эти обновления, должны присвоить им один из следующих уровней:

  • [ro.build.version.security_patch]:[2018-06-01]
  • [ro.build.version.security_patch]:[2018-06-05]

2. Почему в этом бюллетене говорится о двух исправлениях системы безопасности?

Мы включили в этот бюллетень сведения о двух исправлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Рекомендуем партнерам Android решить все перечисленные выше проблемы и установить последнее исправление системы безопасности.

  • На устройствах с исправлением 2018-06-01 должны быть устранены все охваченные им проблемы, а также уязвимости, описанные в предыдущих выпусках бюллетеня.
  • На устройствах с исправлением 2018-06-05 или более новым должны быть решены все проблемы, упомянутые в этом бюллетене и предыдущих выпусках.

Рекомендуем партнерам собрать все исправления проблем в одно обновление.

3. Что означают сокращения в столбце Тип?

В этом столбце указан тип уязвимости по следующей классификации:

Сокращение Описание
RCE Удаленное выполнение кода
EoP Повышение уровня привилегий
ID Раскрытие информации
DoS Отказ в обслуживании
Н/Д Классификация недоступна

4. Что означает информация в столбце Ссылки?

В таблицах с описанием уязвимостей есть столбец Ссылки. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:

Префикс Значение
A- Идентификатор ошибки Android
QC- Ссылочный номер Qualcomm
M- Ссылочный номер MediaTek
N- Ссылочный номер NVIDIA
B- Ссылочный номер Broadcom

5. Что означает символ * рядом с идентификатором ошибки Android в столбце Ссылки?

Символ * означает, что исправление для уязвимости не опубликовано. Необходимое обновление обычно содержится в последних исполняемых файлах драйверов для устройств Pixel и Nexus, которые можно скачать на сайте Google Developers.

6. Почему одни уязвимости описываются в этом бюллетене, а другие – в бюллетенях по безопасности устройств партнеров, например Pixel?

Здесь описаны уязвимости, которые необходимо устранить для соответствия последнему уровню исправления системы безопасности Android. Для подтверждения уровня исправления системы безопасности не требуется устранять уязвимости, указанные в бюллетенях безопасности устройств или партнеров. Мы рекомендуем производителям чипсетов и устройств Android рассказывать об исправлениях для своих устройств в бюллетенях по безопасности на собственных сайтах. Примеры: бюллетени Samsung, LG, а также Pixel и Nexus.

Версии

Версия Дата Примечания
1.0 4 июня 2018 г. Бюллетень опубликован.
1.1 6 июня 2018 г. Добавлены ссылки на AOSP.
1.2 24 июля 2018 г. Добавлены сведения об уязвимости CVE-2018-5383 в рамках согласованного раскрытия информации.