Android Güvenlik Bülteni - Eylül 2018

4 Eylül 2018 Yayınlandı | Güncellenme tarihi 5 Eylül 2018

Android Güvenlik Bülteni, Android cihazları etkileyen güvenlik açıklarının ayrıntılarını içerir. 2018-09-05 veya daha sonraki güvenlik yaması seviyeleri tüm bu sorunları ele alır. Bir cihazın güvenlik yaması düzeyini nasıl kontrol edeceğinizi öğrenmek için bkz.Android sürümünüzü kontrol etme ve güncelleme .

Android iş ortakları, tüm sorunlar yayınlanmadan en az bir ay önce bilgilendirilir. Bu sorunlar için kaynak kod yamaları, Android Açık Kaynak Projesi (AOSP) havuzunda yayınlanmış ve bu bültenden bağlanmıştır. Bu bülten ayrıca AOSP dışındaki yamalara bağlantılar içerir.

Bu sorunların en önemlisi, özel olarak hazırlanmış bir dosya kullanan uzaktaki bir saldırganın ayrıcalıklı bir işlem bağlamında rastgele kod yürütmesine olanak verebilecek Medya çerçevesindeki kritik bir güvenlik açığıdır. Önem derecesi değerlendirmesi , güvenlik açığından yararlanmanın etkilenen bir cihaz üzerinde sahip olabileceği etkiye dayanır ve platform ve hizmet azaltma işlemlerinin geliştirme amacıyla kapatıldığı veya başarılı bir şekilde atlandığı varsayılır.

Yeni bildirilen bu sorunların aktif olarak istismar edildiğine veya kötüye kullanıldığına dair hiçbir bildirim almadık. Android güvenlik platformu korumaları ve Android platformunun güvenliğini artıran Google Play Protect hakkında ayrıntılar için Android ve Google Play Protect azaltıcı etkenler bölümüne bakın.

Not: Google cihazları için en son kablosuz güncelleme (OTA) ve donanım yazılımı görüntüleri ile ilgili bilgiler Eylül 2018 Pixel / Nexus Güvenlik Bülteninde mevcuttur .

Android ve Google hizmeti azaltıcı önlemler

Bu, Android güvenlik platformu tarafından sağlanan azaltma önlemlerinin ve Google Play Protect gibi hizmet korumalarının bir özetidir. Bu yetenekler, güvenlik açıklarından Android'de başarıyla yararlanma olasılığını azaltır.

  • Android platformunun daha yeni sürümlerindeki geliştirmeler, Android'deki birçok sorundan yararlanmayı daha da zorlaştırıyor. Mümkünse tüm kullanıcıları en son Android sürümüne güncelleme yapmaya teşvik ediyoruz.
  • Android güvenlik ekibi, Google Play Protect aracılığıyla kötüye kullanımı aktif olarak izler ve kullanıcıları Zararlı Olabilecek Uygulamalar konusunda uyarır. Google Play Protect, Google Mobile Services bulunan cihazlarda varsayılan olarak etkindir ve özellikle Google Play dışından uygulama yükleyen kullanıcılar için önemlidir.

2018-09-01 güvenlik yaması düzeyinde güvenlik açığı ayrıntıları

Aşağıdaki bölümlerde, 2018-09-01 yama düzeyi için geçerli olan güvenlik açıklarının her biri için ayrıntılar sunuyoruz. Güvenlik açıkları, etkiledikleri bileşen altında gruplanır. Sorunun bir açıklaması ve CVE, ilişkili referanslar, güvenlik açığı türü , önem derecesi ve güncellenmiş AOSP sürümlerini (varsa) içeren bir tablo vardır. Mümkün olduğunda, sorunu ele alan genel değişikliği, AOSP değişiklik listesi gibi hata kimliğine bağlarız. Birden fazla değişiklik tek bir hatayla ilgili olduğunda, hata kimliğini izleyen numaralara ek referanslar bağlanır.

Android Çalışma Zamanı

Bu bölümdeki en ciddi güvenlik açığı, özel hazırlanmış bir dosya kullanan uzaktaki bir saldırganın kitaplığı kullanan bir uygulama bağlamında rasgele kod yürütmesine olanak verebilir.

CVE Referanslar Tür Ciddiyet Güncellenmiş AOSP sürümleri
CVE-2018-9466 A-62151041 RCE Yüksek 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9467 A-110955991 EoP Yüksek 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

Çerçeve

Bu bölümdeki en ciddi güvenlik açığı, özel hazırlanmış bir dosya kullanan uzaktaki bir saldırganın ayrıcalıksız bir işlem bağlamında rasgele kod yürütmesine olanak verebilir.

CVE Referanslar Tür Ciddiyet Güncellenmiş AOSP sürümleri
CVE-2018-9469 A-109824443 EoP Yüksek 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9470 A-78290481 EoP Yüksek 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9471 A-77599679 EoP Yüksek 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

Kütüphane

Bu bölümdeki en ciddi güvenlik açığı, özel hazırlanmış bir dosya kullanan uzaktaki bir saldırganın kitaplığı kullanan bir uygulama bağlamında rasgele kod yürütmesine olanak verebilir.

CVE Referanslar Tür Önem Güncellenmiş AOSP sürümleri
CVE-2018-9472 A-79662501 RCE Yüksek 7.0, 7.1.1, 7.1.2, 8.0, 8.1

Medya Çerçevesi

Bu bölümdeki en ciddi güvenlik açığı, yerel bir kötü amaçlı uygulamanın ek izinlere erişim elde etmek için kullanıcı etkileşim gereksinimlerini atlamasına olanak sağlayabilir.

CVE Referanslar Tür Ciddiyet Güncellenmiş AOSP sürümleri
CVE-2018-9474 A-77600398 EoP Yüksek 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9440 A-77823362 [ 2 ] DoS Orta 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

Sistemi

Bu bölümdeki en ciddi güvenlik açığı, yerel bir saldırganın ek izinlere erişim elde etmek için kullanıcı etkileşim gereksinimlerini atlamasına olanak sağlayabilir.

CVE Referanslar Tür Ciddiyet Güncellenmiş AOSP sürümleri
CVE-2018-9475 A-79266386 EoP Kritik 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9478 A-79217522 EoP Kritik 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9479 A-79217770 EoP Kritik 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9456 A-78136869 DoS Yüksek 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2018-9477 A-92497653 EoP Yüksek 8.0, 8.1
CVE-2018-9480 A-109757168 İD Yüksek 8.0, 8.1, 9
CVE-2018-9481 A-109757435 İD Yüksek 8.0, 8.1, 9
CVE-2018-9482 A-109757986 İD Yüksek 8.0, 8.1, 9
CVE-2018-9483 A-110216173 İD Yüksek 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9484 A-79488381 İD Yüksek 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9485 A-80261585 İD Yüksek 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9486 A-80493272 İD Yüksek 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9
CVE-2018-9487 A-69873852 DoS Yüksek 8.0, 8.1, 9
CVE-2018-9488 A-110107376 EoP Orta 8.0, 8.1, 9

2018-09-05 güvenlik yaması düzeyinde güvenlik açığı ayrıntıları

Aşağıdaki bölümlerde, 2018-09-05 yama düzeyi için geçerli olan güvenlik açıklarının her biri için ayrıntılar sunuyoruz. Güvenlik açıkları, etkiledikleri bileşen altında gruplanır ve CVE, ilgili referanslar, güvenlik açığı türü , önem derecesi , bileşen (uygun olduğu yerde) ve güncellenmiş AOSP sürümleri (uygun olduğu durumlarda) gibi ayrıntıları içerir. Mümkün olduğunda, sorunu ele alan genel değişikliği, AOSP değişiklik listesi gibi hata kimliğine bağlarız. Birden fazla değişiklik tek bir hatayla ilgili olduğunda, hata kimliğini izleyen numaralara ek referanslar bağlanır.

Çerçeve

Bu bölümdeki en ciddi güvenlik açığı, kötü amaçlı bir yerel uygulamanın, uygulama verilerini diğer uygulamalardan ayıran işletim sistemi korumalarını atlamasına olanak sağlayabilir.

CVE Referanslar Tür Ciddiyet Güncellenmiş AOSP sürümleri
CVE-2018-9468 A-111084083 İD Yüksek 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9

Çekirdek bileşenleri

Bu bölümdeki en ciddi güvenlik açığı, uzaktaki bir saldırganın normalde yalnızca izinlere sahip yerel olarak yüklenmiş uygulamalar tarafından erişilebilen verilere erişmesini sağlayabilir.

CVE Referanslar Tür Ciddiyet Bileşen
CVE-2017-5754 A-69856074 *
Yukarı akış çekirdek
İD Yüksek Çekirdek Belleği

Qualcomm bileşenleri

Bu güvenlik açıkları Qualcomm bileşenlerini etkiler ve uygun Qualcomm APSS güvenlik bülteninde veya güvenlik uyarısında daha ayrıntılı olarak açıklanır. Android iş ortakları, sorunlarının cihazlarına uygulanabilirliğini Createpoint aracılığıyla kontrol edebilir. Bu sorunların ciddiyet değerlendirmesi doğrudan Qualcomm tarafından sağlanır.

CVE Referanslar Tür Önem Bileşen
CVE-2018-11816 A-63527106
QC-CR # 2119840 *
Yok Yüksek Video
CVE-2018-11261 A-64340487
QC-CR # 2119840 *
Yok Yüksek Video
CVE-2018-11836 A-111128620
QC-CR # 2214158
Yok Yüksek WLAN HOST
CVE-2018-11842 A-111124974
QC-CR # 2216741
Yok Yüksek WLAN HOST
CVE-2018-11898 A-111128799
QC-CR # 2233036
Yok Yüksek WLAN HOST
CVE-2017-15825 A-68992460
QC-CR # 2096455
Yok Orta Çizme
CVE-2018-11270 A-109741697
QC-CR # 2205728
Yok Orta Kablolu Bağlantı

Qualcomm kapalı kaynak bileşenleri

Bu güvenlik açıkları Qualcomm bileşenlerini etkiler ve uygun Qualcomm AMSS güvenlik bülteninde veya güvenlik uyarısında daha ayrıntılı olarak açıklanır. Android iş ortakları, sorunlarının cihazlarına uygulanabilirliğini Createpoint aracılığıyla kontrol edebilir. Bu sorunların ciddiyet değerlendirmesi doğrudan Qualcomm tarafından sağlanır.

CVE Referanslar Tür Ciddiyet Bileşen
CVE-2016-10394 A-68326803 * Yok Kritik Kapalı kaynak bileşeni
CVE-2017-18314 A-62213176 * Yok Kritik Kapalı kaynak bileşeni
CVE-2017-18311 A-73539234 * Yok Kritik Kapalı kaynak bileşeni
CVE-2018-11950 A-72950814 * Yok Kritik Kapalı kaynak bileşeni
CVE-2018-5866 A-77484228 * Yok Kritik Kapalı kaynak bileşeni
CVE-2018-11824 A-111090697 * Yok Kritik Kapalı kaynak bileşeni
CVE-2016-10408 A-68326811 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2017-18313 A-78240387 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2017-18312 A-78239234 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2017-18124 A-68326819 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-3588 A-71501117 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-11951 A-72950958 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-11952 A-74236425 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-5871 A-77484229 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-5914 A-79419793 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-11288 A-109677940 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-11285 A-109677982 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-11290 A-109677964 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-11292 A-109678202 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-11287 A-109678380 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-11846 A-111091377 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-11855 A-111090533 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-11857 A-111093202 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-11858 A-111090698 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-11866 A-111093021 * Yok Yüksek Kapalı kaynak bileşeni
CVE-2018-11865 A-111093167 * Yok Yüksek Kapalı kaynak bileşeni

Sık sorulan sorular ve cevaplar

Bu bölüm, bu bülteni okuduktan sonra ortaya çıkabilecek yaygın soruları yanıtlamaktadır.

1. Cihazımın bu sorunları gidermek için güncellenip güncellenmediğini nasıl anlarım?

Bir cihazın güvenlik yaması düzeyini nasıl kontrol edeceğinizi öğrenmek için bkz.Android sürümünüzü kontrol etme ve güncelleme .

  • 2018-09-01 veya daha sonraki güvenlik yaması düzeyleri, 2018-09-01 güvenlik yaması düzeyiyle ilişkili tüm sorunları ele alır.
  • 2018-09-05 veya sonraki güvenlik yaması düzeyleri, 2018-09-05 güvenlik yaması düzeyiyle ve önceki tüm yama düzeyleriyle ilişkili tüm sorunları ele alır.

Bu güncellemeleri içeren cihaz üreticileri yama dizisi seviyesini şu şekilde ayarlamalıdır:

  • [ro.build.version.security_patch]: [2018-09-01]
  • [ro.build.version.security_patch]: [2018-09-05]

2. Bu bültende neden iki güvenlik yaması düzeyi var?

Bu bültende iki güvenlik yaması düzeyi vardır, böylece Android iş ortakları, tüm Android cihazlarda benzer güvenlik açıklarını daha hızlı bir şekilde düzeltme esnekliğine sahip olur. Android ortaklarının bu bültendeki tüm sorunları gidermeleri ve en son güvenlik yaması düzeyini kullanmaları önerilir.

  • 2018-09-01 güvenlik yaması düzeyini kullanan cihazlar, bu güvenlik yaması düzeyiyle ilişkili tüm sorunları ve önceki güvenlik bültenlerinde bildirilen tüm sorunların düzeltmelerini içermelidir.
  • 2018-09-05 veya daha yeni güvenlik yaması düzeyini kullanan cihazlar, bu (ve önceki) güvenlik bültenlerindeki tüm geçerli yamaları içermelidir.

İş ortaklarının, ele aldıkları tüm sorunlar için düzeltmeleri tek bir güncellemede bir araya getirmeleri önerilir.

3. Tür sütunundaki girişler ne anlama geliyor?

Güvenlik açığı ayrıntıları tablosunun Tür sütunundaki girişler, güvenlik açığı sınıflandırmasına atıfta bulunur.

Kısaltma Tanım
RCE Uzaktan kod yürütme
EoP Ayrıcalık yükselmesi
İD Bilgi ifşası
DoS Hizmet reddi
Yok Sınıflandırma mevcut değil

4. Referanslar sütunundaki girişler ne anlama geliyor?

Güvenlik açığı ayrıntıları tablosunun Başvurular sütununun altındaki girişler, referans değerinin ait olduğu kuruluşu tanımlayan bir önek içerebilir.

Önek Referans
A- Android hata kimliği
QC- Qualcomm referans numarası
M- MediaTek referans numarası
N- NVIDIA referans numarası
B- Broadcom referans numarası

5. Başvurular sütunundaki Android hata kimliğinin yanında bulunan bir * ne anlama geliyor?

Herkese açık olmayan sorunlar, Referanslar sütunundaki Android hata kimliğinin yanında * işaretine sahiptir. Bu soruna yönelik güncelleme, genellikle Google Geliştirici sitesinde bulunan Pixel / Nexus cihazları için en son ikili sürücülerde bulunur.

6. Güvenlik açıkları bu bülten ile Pixel / Nexus bülteni gibi cihaz / ortak güvenlik bültenleri arasında neden bölünüyor?

Bu güvenlik bülteninde belgelenen güvenlik açıkları, Android cihazlarda en son güvenlik yaması düzeyini bildirmek için gereklidir. Aygıt / iş ortağı güvenlik bültenlerinde belgelenen ek güvenlik açıkları, bir güvenlik yaması düzeyi bildirmek için gerekli değildir. Android cihaz ve yonga seti üreticilerinin, cihazlarındaki diğer düzeltmelerin varlığını Samsung , LGE veya Pixel / Nexus güvenlik bültenleri gibi kendi güvenlik web siteleri aracılığıyla belgelemeleri önerilir.

Versiyonlar

Versiyon Tarih (değiştir | kaynağı değiştir) Notlar
1.0 4 Eylül 2018 Bülten yayınlandı.
1.1 5 Eylül 2018 Bülten, AOSP bağlantılarını içerecek şekilde revize edildi.