Boletim de segurança do Android — setembro de 2018

Publicado em 4 de setembro de 2018 | Atualizado em 5 de setembro de 2018

O Boletim de Segurança do Android contém detalhes das vulnerabilidades de segurança que afetam os dispositivos Android. Os níveis de patch de segurança de 2018-09-05 ou posterior abordam todos esses problemas. Para saber como verificar o nível de patch de segurança de um dispositivo, consulte Verificar e atualizar sua versão do Android .

Os parceiros Android são notificados de todos os problemas pelo menos um mês antes da publicação. Os patches de código-fonte para esses problemas foram lançados no repositório do Android Open Source Project (AOSP) e vinculados a este boletim. Este boletim também inclui links para patches fora do AOSP.

O mais grave desses problemas é uma vulnerabilidade de segurança crítica na estrutura de mídia que pode permitir que um invasor remoto usando um arquivo especialmente criado execute código arbitrário no contexto de um processo privilegiado. A avaliação de gravidade é baseada no efeito que a exploração da vulnerabilidade possivelmente teria em um dispositivo afetado, supondo que as atenuações da plataforma e do serviço sejam desativadas para fins de desenvolvimento ou se forem ignoradas com êxito.

Não tivemos relatos de exploração ativa de clientes ou abuso desses problemas relatados recentemente. Consulte a seção de mitigações do Android e do Google Play Protect para obter detalhes sobre as proteções da plataforma de segurança Android e o Google Play Protect, que melhoram a segurança da plataforma Android.

Observação: as informações sobre a atualização sem fio (OTA) mais recente e as imagens de firmware para dispositivos do Google estão disponíveis no Boletim de segurança Pixel/Nexus de setembro de 2018 .

Mitigações de serviços Android e Google

Este é um resumo das mitigações fornecidas pela plataforma de segurança do Android e proteções de serviços, como o Google Play Protect . Esses recursos reduzem a probabilidade de vulnerabilidades de segurança serem exploradas com sucesso no Android.

• A exploração de muitos problemas no Android é dificultada pelos aprimoramentos nas versões mais recentes da plataforma Android. Incentivamos todos os usuários a atualizar para a versão mais recente do Android sempre que possível.
• A equipe de segurança do Android monitora ativamente o abuso por meio do Google Play Protect e avisa os usuários sobre aplicativos potencialmente prejudiciais . O Google Play Protect está ativado por padrão em dispositivos com Google Mobile Services e é especialmente importante para usuários que instalam aplicativos de fora do Google Play.

2018-09-01 detalhes da vulnerabilidade no nível do patch de segurança

Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança que se aplicam ao nível de patch 2018-09-01. As vulnerabilidades são agrupadas sob o componente que afetam. Há uma descrição do problema e uma tabela com o CVE, referências associadas, tipo de vulnerabilidade , gravidade e versões atualizadas do AOSP (quando aplicável). Quando disponível, vinculamos a alteração pública que abordou o problema ao ID do bug, como a lista de alterações do AOSP. Quando várias alterações estão relacionadas a um único bug, referências adicionais são vinculadas a números após o ID do bug.

Tempo de execução do Android

A vulnerabilidade mais grave nesta seção pode permitir que um invasor remoto usando um arquivo especialmente criado execute código arbitrário no contexto de um aplicativo que usa a biblioteca.

Estrutura

A vulnerabilidade mais grave nesta seção pode permitir que um invasor remoto usando um arquivo especialmente criado execute código arbitrário no contexto de um processo sem privilégios.

Biblioteca

A vulnerabilidade mais grave nesta seção pode permitir que um invasor remoto usando um arquivo especialmente criado execute código arbitrário no contexto de um aplicativo que usa a biblioteca.

Estrutura de mídia

A vulnerabilidade mais grave nesta seção pode permitir que um aplicativo mal-intencionado local ignore os requisitos de interação do usuário para obter acesso a permissões adicionais.

Sistema

A vulnerabilidade mais grave nesta seção pode permitir que um invasor local ignore os requisitos de interação do usuário para obter acesso a permissões adicionais.

2018-09-05 detalhes da vulnerabilidade no nível do patch de segurança

Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança que se aplicam ao nível de patch 2018-09-05. As vulnerabilidades são agrupadas sob o componente que afetam e incluem detalhes como o CVE, referências associadas, tipo de vulnerabilidade , gravidade , componente (quando aplicável) e versões atualizadas do AOSP (quando aplicável). Quando disponível, vinculamos a alteração pública que abordou o problema ao ID do bug, como a lista de alterações do AOSP. Quando várias alterações estão relacionadas a um único bug, referências adicionais são vinculadas a números após o ID do bug.

Estrutura

A vulnerabilidade mais grave nesta seção pode permitir que um aplicativo mal-intencionado local ignore as proteções do sistema operacional que isolam os dados do aplicativo de outros aplicativos.

Componentes do kernel

A vulnerabilidade mais grave nesta seção pode permitir que um invasor remoto acesse dados normalmente acessíveis apenas a aplicativos instalados localmente com permissões.

Componentes da Qualcomm

Essas vulnerabilidades afetam os componentes da Qualcomm e são descritas com mais detalhes no boletim de segurança ou alerta de segurança do Qualcomm APSS apropriado. Os parceiros Android podem verificar a aplicabilidade de seus problemas em seus dispositivos por meio do Createpoint. A avaliação da gravidade desses problemas é fornecida diretamente pela Qualcomm.

Componentes de código fechado da Qualcomm

Essas vulnerabilidades afetam os componentes da Qualcomm e são descritas com mais detalhes no boletim de segurança ou alerta de segurança do Qualcomm AMSS apropriado. Os parceiros Android podem verificar a aplicabilidade de seus problemas em seus dispositivos por meio do Createpoint. A avaliação da gravidade desses problemas é fornecida diretamente pela Qualcomm.

Perguntas e respostas comuns

Esta seção responde a perguntas comuns que podem ocorrer após a leitura deste boletim.

1. Como determino se meu dispositivo está atualizado para resolver esses problemas?

Para saber como verificar o nível de patch de segurança de um dispositivo, consulte Verificar e atualizar sua versão do Android .

• Os níveis de patch de segurança de 01/09/2018 ou posterior abordam todos os problemas associados ao nível de patch de segurança 01/09/2018.
• Os níveis de patch de segurança de 2018-09-05 ou posterior abordam todos os problemas associados ao nível de patch de segurança 2018-09-05 e todos os níveis de patch anteriores.

Os fabricantes de dispositivos que incluem essas atualizações devem definir o nível da string de patch para:

• [ro.build.version.security_patch]:[2018-09-01]
• [ro.build.version.security_patch]:[2018-09-05]

2. Por que este boletim tem dois níveis de patch de segurança?

Este boletim tem dois níveis de patch de segurança para que os parceiros Android tenham a flexibilidade de corrigir um subconjunto de vulnerabilidades semelhantes em todos os dispositivos Android mais rapidamente. Os parceiros Android são incentivados a corrigir todos os problemas neste boletim e usar o nível de patch de segurança mais recente.

• Os dispositivos que usam o nível de patch de segurança 2018-09-01 devem incluir todos os problemas associados a esse nível de patch de segurança, bem como correções para todos os problemas relatados em boletins de segurança anteriores.
• Os dispositivos que usam o nível de patch de segurança de 2018-09-05 ou mais recente devem incluir todos os patches aplicáveis ​​neste (e nos anteriores) boletins de segurança.

Os parceiros são incentivados a agrupar as correções para todos os problemas que estão abordando em uma única atualização.

3. O que significam as entradas na coluna Tipo ?

As entradas na coluna Tipo da tabela de detalhes da vulnerabilidade fazem referência à classificação da vulnerabilidade de segurança.

4. O que significam as entradas na coluna Referências ?

As entradas na coluna Referências da tabela de detalhes da vulnerabilidade podem conter um prefixo que identifica a organização à qual o valor de referência pertence.

5. O que significa um * ao lado do ID do bug do Android na coluna Referências ?

Os problemas que não estão disponíveis publicamente têm um * ao lado do ID do bug do Android na coluna Referências . A atualização para esse problema geralmente está contida nos drivers binários mais recentes para dispositivos Pixel/Nexus disponíveis no site do Google Developer .

6. Por que as vulnerabilidades de segurança são divididas entre este boletim e os boletins de segurança do dispositivo/parceiro, como o boletim Pixel/Nexus?

As vulnerabilidades de segurança documentadas neste boletim de segurança são necessárias para declarar o nível de patch de segurança mais recente em dispositivos Android. Vulnerabilidades de segurança adicionais documentadas nos boletins de segurança do dispositivo/parceiro não são necessárias para declarar um nível de patch de segurança. Os fabricantes de dispositivos e chipsets Android são incentivados a documentar a presença de outras correções em seus dispositivos por meio de seus próprios sites de segurança, como os boletins de segurança Samsung , LGE ou Pixel/Nexus .

Versões