Google is committed to advancing racial equity for Black communities. See how.
This page was translated by the Cloud Translation API.
Switch to English

กระดานข่าวความปลอดภัยของ Android - สิงหาคม 2020

เผยแพร่เมื่อ 3 สิงหาคม 2020 | อัปเดตเมื่อ 10 สิงหาคม 2020

กระดานข่าวความปลอดภัยของ Android มีรายละเอียดของช่องโหว่ด้านความปลอดภัยที่ส่งผลต่ออุปกรณ์ Android แพตช์ความปลอดภัยระดับ 2020-08-05 หรือใหม่กว่าช่วยแก้ปัญหาเหล่านี้ทั้งหมด หากต้องการเรียนรู้วิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์โปรดดู ตรวจสอบและอัปเดตเวอร์ชัน Android ของคุณ

พาร์ทเนอร์ Android จะได้รับแจ้งเกี่ยวกับปัญหาทั้งหมดอย่างน้อยหนึ่งเดือนก่อนการเผยแพร่ แพตช์ซอร์สโค้ดสำหรับปัญหาเหล่านี้ได้รับการเผยแพร่ไปยังที่เก็บ Android Open Source Project (AOSP) และเชื่อมโยงจากกระดานข่าวสารนี้ กระดานข่าวสารนี้ยังมีลิงก์ไปยังแพตช์ภายนอก AOSP

ปัญหาที่รุนแรงที่สุดคือช่องโหว่ด้านความปลอดภัยสูงในส่วนประกอบ Framework ที่สามารถเปิดใช้งานผู้โจมตีระยะไกลโดยใช้ไฟล์ที่สร้างขึ้นมาเป็นพิเศษเพื่อเรียกใช้รหัสโดยพลการภายในบริบทของกระบวนการที่ไม่มีสิทธิ์ การ ประเมินความรุนแรง ขึ้นอยู่กับผลกระทบของการใช้ประโยชน์จากช่องโหว่ที่อาจเกิดขึ้นกับอุปกรณ์ที่ได้รับผลกระทบโดยสมมติว่าแพลตฟอร์มและการลดการให้บริการถูกปิดเพื่อวัตถุประสงค์ในการพัฒนาหรือหากข้ามได้สำเร็จ

โปรดดูส่วนการ ลดการป้องกัน ของ Android และ Google Play สำหรับรายละเอียดเกี่ยวกับการ ป้องกันแพลตฟอร์มความปลอดภัยของ Android และ Google Play Protect ซึ่งปรับปรุงความปลอดภัยของแพลตฟอร์ม Android

การบรรเทาบริการ Android และ Google

นี่คือบทสรุปของการบรรเทา ความ เสียหายจาก แพลตฟอร์มความปลอดภัยของ Android และการป้องกันบริการเช่น Google Play Protect ความสามารถเหล่านี้ช่วยลดโอกาสที่ช่องโหว่ด้านความปลอดภัยอาจถูกใช้ประโยชน์บน Android ได้สำเร็จ

  • การแสวงหาประโยชน์จากปัญหาต่างๆบน Android ทำได้ยากขึ้นโดยการปรับปรุงในแพลตฟอร์ม Android เวอร์ชันใหม่กว่า เราขอแนะนำให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดหากเป็นไปได้
  • ทีมรักษาความปลอดภัยของ Android คอยตรวจสอบการละเมิดผ่าน Google Play Protect และเตือนผู้ใช้เกี่ยวกับ แอปพลิเคชันที่อาจเป็นอันตราย Google Play Protect จะเปิดใช้งานโดยค่าเริ่มต้นบนอุปกรณ์ที่มี บริการมือถือของ Google และมีความสำคัญอย่างยิ่งสำหรับผู้ใช้ที่ติดตั้งแอปจากภายนอก Google Play

รายละเอียดช่องโหว่ระดับแพตช์ความปลอดภัย 2020-08-01

ในส่วนด้านล่างเราให้รายละเอียดสำหรับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่ใช้กับระดับแพตช์ 2020-08-01 ช่องโหว่ถูกจัดกลุ่มภายใต้องค์ประกอบที่มีผลกระทบ ปัญหาอธิบายไว้ในตารางด้านล่างและรวมถึง CVE ID การอ้างอิงที่เกี่ยวข้อง ประเภทของช่องโหว่ ความรุนแรง และเวอร์ชัน AOSP ที่อัปเดต (หากมี) เมื่อมีให้เราเชื่อมโยงการเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสข้อบกพร่องเช่นรายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายอย่างเกี่ยวข้องกับจุดบกพร่องเดียวการอ้างอิงเพิ่มเติมจะเชื่อมโยงกับตัวเลขตามรหัสข้อบกพร่อง อุปกรณ์ที่ใช้ Android 10 ขึ้นไปอาจได้รับการอัปเดตด้านความปลอดภัยรวมถึง การอัปเดตระบบ Google Play

กรอบ

ช่องโหว่ที่รุนแรงที่สุดในส่วนนี้อาจทำให้ผู้โจมตีจากระยะไกลโดยใช้ไฟล์ที่สร้างขึ้นมาเป็นพิเศษเพื่อเรียกใช้รหัสตามอำเภอใจภายในบริบทของกระบวนการที่ไม่มีสิทธิ์

CVE อ้างอิง ประเภท ความรุนแรง อัปเดตเวอร์ชัน AOSP
CVE-2020-0240
A-150706594 RCE สูง 10
CVE-2020-0238
A-150946634 EoP สูง 8.0, 8.1, 9, 10
CVE-2020-0257
A-156741968 EoP สูง 10
CVE-2020-0239
A-151095863 ID สูง 9, 10
CVE-2020-0249
A-154719656 ID สูง 8.0, 8.1, 9, 10
CVE-2020-0258
A-157598956 ID สูง 10
CVE-2020-0247
A-156087409 DoS สูง 8.0, 8.1, 10

กรอบสื่อ

ช่องโหว่ที่รุนแรงที่สุดในส่วนนี้อาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถข้ามข้อกำหนดการโต้ตอบกับผู้ใช้เพื่อเข้าถึงสิทธิ์เพิ่มเติมได้

CVE อ้างอิง ประเภท ความรุนแรง อัปเดตเวอร์ชัน AOSP
CVE-2020-0241
A-151456667 EoP สูง 8.0, 8.1, 9, 10
CVE-2020-0242
A-151643722 EoP สูง 8.0, 8.1, 9, 10
CVE-2020-0243
A-151644303 EoP สูง 8.0, 8.1, 9, 10

ระบบ

ช่องโหว่ที่รุนแรงที่สุดในส่วนนี้อาจทำให้แอปพลิเคชันที่เป็นอันตรายในระบบสามารถข้ามข้อกำหนดการโต้ตอบกับผู้ใช้เพื่อเข้าถึงสิทธิ์เพิ่มเติมได้

CVE อ้างอิง ประเภท ความรุนแรง อัปเดตเวอร์ชัน AOSP
CVE-2020-0108
ก -140108616 [ 2 ] [ 3 ] [ 4 ] EoP สูง 8.1, 9, 10
CVE-2020-0256
A-152874864 EoP สูง 8.0, 8.1, 9, 10
CVE-2020-0248
A-154627439 ID สูง 10
CVE-2020-0250
A-154934934 ID สูง 10

การอัปเดตระบบ Google Play

ไม่มีปัญหาด้านความปลอดภัยในการอัปเดตระบบ Google Play (Project Mainline) ในเดือนนี้

รายละเอียดช่องโหว่ระดับแพตช์ความปลอดภัย 2020-08-05

ในส่วนด้านล่างเราให้รายละเอียดสำหรับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่ใช้กับระดับแพตช์ 2020-08-05 ช่องโหว่ถูกจัดกลุ่มภายใต้องค์ประกอบที่มีผลกระทบ ปัญหาอธิบายไว้ในตารางด้านล่างและรวมถึง CVE ID การอ้างอิงที่เกี่ยวข้อง ประเภทของช่องโหว่ ความรุนแรง และเวอร์ชัน AOSP ที่อัปเดต (หากมี) เมื่อมีให้เราเชื่อมโยงการเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสข้อบกพร่องเช่นรายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายอย่างเกี่ยวข้องกับจุดบกพร่องเดียวการอ้างอิงเพิ่มเติมจะเชื่อมโยงกับตัวเลขตามรหัสข้อบกพร่อง

ส่วนประกอบ AMLogic

ช่องโหว่ในส่วนนี้สามารถเปิดใช้งานผู้โจมตีในพื้นที่โดยใช้ไฟล์ที่สร้างขึ้นมาเป็นพิเศษเพื่อเรียกใช้รหัสโดยอำเภอใจภายในบริบทของกระบวนการที่มีสิทธิพิเศษ

CVE อ้างอิง ประเภท ความรุนแรง ส่วนประกอบ
CVE-2020-0259
A-157941353 * EoP สูง dm-verity

ส่วนประกอบเคอร์เนล

ช่องโหว่ที่รุนแรงที่สุดในส่วนนี้อาจทำให้ผู้โจมตีในพื้นที่สามารถข้ามข้อกำหนดการโต้ตอบกับผู้ใช้เพื่อเข้าถึงสิทธิ์เพิ่มเติมได้

CVE อ้างอิง ประเภท ความรุนแรง ส่วนประกอบ
CVE-2020-10751
A-155485360
เคอร์เนลต้นน้ำ
EoP สูง SELinux
CVE-2020-12464
ก -156071259
เคอร์เนลต้นน้ำ
EoP สูง ระบบย่อย Linux USB
CVE-2019-16746
A-145728612
เคอร์เนลต้นน้ำ
ID สูง ระบบย่อยไร้สายของลินุกซ์

ส่วนประกอบ MediaTek

การประเมินความรุนแรงของปัญหาเหล่านี้จัดทำโดย MediaTek โดยตรง

CVE อ้างอิง ประเภท ความรุนแรง ส่วนประกอบ
CVE-2020-0252
A-152236803
ALPS05098839 *
EoP สูง ไดรเวอร์ประมวลผลมัลติมีเดีย
CVE-2020-0253
A-152647365
ALPS05098839 *
EoP สูง ไดรเวอร์ประมวลผลมัลติมีเดีย
CVE-2020-0260
A-152225183
ALPS05098839 *
EoP สูง ไดรเวอร์ประมวลผลมัลติมีเดีย
CVE-2020-0251
A-152647626
ALPS05098839 *
ID สูง ไดรเวอร์ประมวลผลมัลติมีเดีย
CVE-2020-0254
A-152647751
ALPS05098839 *
ID สูง ไดรเวอร์ประมวลผลมัลติมีเดีย

ส่วนประกอบ Qualcomm

ช่องโหว่เหล่านี้ส่งผลกระทบต่อส่วนประกอบของ Qualcomm และมีการอธิบายรายละเอียดเพิ่มเติมในกระดานข่าวความปลอดภัยของ Qualcomm หรือการแจ้งเตือนด้านความปลอดภัย การประเมินความรุนแรงของปัญหาเหล่านี้จัดทำโดย Qualcomm โดยตรง

CVE อ้างอิง ประเภท ความรุนแรง ส่วนประกอบ
CVE-2020-11116
A-155654321
QC-CR # 2575144
QC-CR # 2616225
QC-CR # 2616227
ไม่มี สำคัญ WLAN
CVE-2020-11115
A-155653491
QC-CR # 2573329
QC-CR # 2617004
QC-CR # 2617005
ไม่มี สูง WLAN
CVE-2020-11118
A-155654263
QC-CR # 2626729
QC-CR # 2635664
QC-CR # 2635666
ไม่มี สูง WLAN
CVE-2020-11120
A-155652795
QC-CR # 2556613
ไม่มี สูง WLAN

ส่วนประกอบปิดของ Qualcomm

ช่องโหว่เหล่านี้ส่งผลกระทบต่อคอมโพเนนต์ปิดของ Qualcomm และมีการอธิบายรายละเอียดเพิ่มเติมในประกาศความปลอดภัยของ Qualcomm หรือการแจ้งเตือนด้านความปลอดภัย การประเมินความรุนแรงของปัญหาเหล่านี้จัดทำโดย Qualcomm โดยตรง

CVE อ้างอิง ประเภท ความรุนแรง ส่วนประกอบ
CVE-2019-10562
A-147102924 * ไม่มี สำคัญ องค์ประกอบปิด
CVE-2019-10615
A-147102844 * ไม่มี สำคัญ องค์ประกอบปิด
CVE-2019-13998
A-147102225 * ไม่มี สำคัญ องค์ประกอบปิด
CVE-2020-3619
A-148815858 * ไม่มี สำคัญ องค์ประกอบปิด
CVE-2020-3667
A-150696660 * ไม่มี สำคัญ องค์ประกอบปิด
CVE-2018-5886
A-63165064 * ไม่มี สูง องค์ประกอบปิด
CVE-2018-13903
A-145546313 * ไม่มี สูง องค์ประกอบปิด
CVE-2019-13999
A-147104231 * ไม่มี สูง องค์ประกอบปิด
CVE-2019-14025
A-145546440 * ไม่มี สูง องค์ประกอบปิด
CVE-2019-14052
A-147103610 * ไม่มี สูง องค์ประกอบปิด
CVE-2019-14056
A-147101659 * ไม่มี สูง องค์ประกอบปิด
CVE-2019-14065
A-147102925 * ไม่มี สูง องค์ประกอบปิด
CVE-2019-14089
A-147104726 * ไม่มี สูง องค์ประกอบปิด
CVE-2019-14115
A-147104255 * ไม่มี สูง องค์ประกอบปิด
CVE-2019-14119
A-147103020 * ไม่มี สูง องค์ประกอบปิด
CVE-2020-3611
A-148816870 * ไม่มี สูง องค์ประกอบปิด
CVE-2020-3624
A-148816990 * ไม่มี สูง องค์ประกอบปิด
CVE-2020-3636
A-148816708 * ไม่มี สูง องค์ประกอบปิด
CVE-2020-3640
A-148816993 * ไม่มี สูง องค์ประกอบปิด
CVE-2020-3643
A-148816294 * ไม่มี สูง องค์ประกอบปิด
CVE-2020-3644
A-148817069 * ไม่มี สูง องค์ประกอบปิด
CVE-2020-3666
A-150697811 * ไม่มี สูง องค์ประกอบปิด
CVE-2020-3668
A-150697381 * ไม่มี สูง องค์ประกอบปิด
CVE-2020-3669
A-150848722 * ไม่มี สูง องค์ประกอบปิด
CVE-2020-3675
A-150696996 * ไม่มี สูง องค์ประกอบปิด
CVE-2020-11122
A-155653312 * ไม่มี สูง องค์ประกอบปิด
CVE-2020-11128
A-155654284 * ไม่มี สูง องค์ประกอบปิด

คำถามและคำตอบทั่วไป

ส่วนนี้ตอบคำถามทั่วไปที่อาจเกิดขึ้นหลังจากอ่านกระดานข่าวสารนี้

1. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ของฉันได้รับการอัปเดตเพื่อแก้ไขปัญหาเหล่านี้หรือไม่?

หากต้องการเรียนรู้วิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์โปรดดู ตรวจสอบและอัปเดตเวอร์ชัน Android ของคุณ

  • ระดับแพตช์ความปลอดภัยของ 2020-08-01 หรือใหม่กว่าจะแก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2020-08-01
  • ระดับแพตช์ความปลอดภัย 2020-08-05 หรือใหม่กว่าจะแก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2020-08-05 และระดับแพตช์ก่อนหน้าทั้งหมด

ผู้ผลิตอุปกรณ์ที่มีการอัปเดตเหล่านี้ควรตั้งค่าระดับสตริงโปรแกรมแก้ไขเป็น:

  • [ro.build.version.security_patch]: [2020-08-01]
  • [ro.build.version.security_patch]: [2020-08-05]

สำหรับอุปกรณ์บางรุ่นที่ใช้ Android 10 ขึ้นไปการอัปเดตระบบ Google Play จะมีสตริงวันที่ที่ตรงกับระดับแพตช์ความปลอดภัย 2020-08-01 โปรดดู บทความนี้ สำหรับรายละเอียดเพิ่มเติมเกี่ยวกับวิธีการติดตั้งโปรแกรมปรับปรุงความปลอดภัย

2. เหตุใดแถลงการณ์นี้จึงมีแพตช์ความปลอดภัยสองระดับ

กระดานข่าวนี้มีแพตช์ความปลอดภัยสองระดับเพื่อให้พาร์ทเนอร์ Android มีความยืดหยุ่นในการแก้ไขช่องโหว่ส่วนย่อยที่คล้ายกันในอุปกรณ์ Android ทั้งหมดได้เร็วขึ้น ขอแนะนำให้พันธมิตร Android แก้ไขปัญหาทั้งหมดในกระดานข่าวสารนี้และใช้ระดับแพตช์ความปลอดภัยล่าสุด

  • อุปกรณ์ที่ใช้ระดับแพตช์ความปลอดภัย 2020-08-01 ต้องมีปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัยนั้นตลอดจนการแก้ไขปัญหาทั้งหมดที่รายงานในกระดานข่าวความปลอดภัยก่อนหน้านี้
  • อุปกรณ์ที่ใช้แพตช์ความปลอดภัยระดับ 2020-08-05 หรือใหม่กว่าต้องมีแพตช์ที่เกี่ยวข้องทั้งหมดในกระดานข่าวความปลอดภัยนี้ (และก่อนหน้า)

พันธมิตรได้รับการสนับสนุนให้รวมการแก้ไขสำหรับปัญหาทั้งหมดที่กำลังแก้ไขอยู่ในการอัปเดตเดียว

3. รายการในคอลัมน์ Type หมายถึงอะไร?

รายการในคอลัมน์ Type ของตารางรายละเอียดช่องโหว่จะอ้างอิงการจัดประเภทของช่องโหว่ด้านความปลอดภัย

ตัวย่อ คำจำกัดความ
RCE การเรียกใช้รหัสระยะไกล
EoP การยกระดับสิทธิพิเศษ
ID การเปิดเผยข้อมูล
DoS การปฏิเสธการให้บริการ
ไม่มี ไม่มีการจัดประเภท

4. รายการในคอลัมน์ อ้างอิง หมายถึงอะไร?

รายการในคอลัมน์ การอ้างอิง ของตารางรายละเอียดช่องโหว่อาจมีคำนำหน้าที่ระบุองค์กรที่มีค่าอ้างอิง

คำนำหน้า ข้อมูลอ้างอิง
ก - รหัสข้อบกพร่องของ Android
QC- หมายเลขอ้างอิงของ Qualcomm
M- หมายเลขอ้างอิง MediaTek
N- หมายเลขอ้างอิง NVIDIA
B- หมายเลขอ้างอิงของ Broadcom

5. * ถัดจากรหัสข้อบกพร่องของ Android ในคอลัมน์ อ้างอิง หมายถึงอะไร

ปัญหาที่ไม่เปิดเผยต่อสาธารณะจะมีเครื่องหมาย * ถัดจากรหัสอ้างอิงที่เกี่ยวข้อง โดยทั่วไปการอัปเดตสำหรับปัญหาดังกล่าวจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Pixel ที่มีให้จาก ไซต์ Google Developer

6. เหตุใดช่องโหว่ด้านความปลอดภัยจึงแยกระหว่างกระดานข่าวนี้กับกระดานข่าวความปลอดภัยของอุปกรณ์ / พันธมิตรเช่นกระดานข่าว Pixel

ช่องโหว่ด้านความปลอดภัยที่บันทึกไว้ในกระดานข่าวความปลอดภัยนี้จำเป็นสำหรับการประกาศระดับแพตช์ความปลอดภัยล่าสุดบนอุปกรณ์ Android ช่องโหว่ด้านความปลอดภัยเพิ่มเติมที่บันทึกไว้ในกระดานข่าวความปลอดภัยของอุปกรณ์ / พันธมิตรไม่จำเป็นสำหรับการประกาศระดับแพตช์ความปลอดภัย ผู้ผลิตอุปกรณ์และชิปเซ็ต Android อาจเผยแพร่รายละเอียดช่องโหว่ด้านความปลอดภัยเฉพาะสำหรับผลิตภัณฑ์ของตนเช่น Google , Huawei , LGE , Motorola , Nokia หรือ Samsung

เวอร์ชัน

เวอร์ชัน วันที่ หมายเหตุ
1.0 3 สิงหาคม 2020 เผยแพร่แถลงการณ์แล้ว
1.1 4 สิงหาคม 2020 ปรับปรุงกระดานข่าวสารเพื่อรวมลิงก์ AOSP
1.2 10 สิงหาคม 2020 แก้ไขตาราง CVE