עלון אבטחה של Android - אפריל 2021

פורסם ב -5 באפריל 2021 | עודכן ב- 7 באפריל 2021

עלון האבטחה של Android מכיל פרטים על פרצות אבטחה המשפיעות על מכשירי Android. רמות תיקון האבטחה של 2021-04-05 ואילך מטפלות בכל הבעיות הללו. כדי ללמוד כיצד לבדוק את רמת תיקון האבטחה של המכשיר, ראהבדוק ועדכן את גרסת Android שלך .

שותפי Android מקבלים הודעה על כל הבעיות לפחות חודש לפני הפרסום. תיקוני קוד המקור לבעיות אלה שוחררו למאגר Android Open Source Project (AOSP) וקושרו מעלון זה. עלון זה כולל גם קישורים לתיקונים מחוץ ל- AOSP.

החמורה מבין הבעיות הללו היא פגיעות אבטחה קריטית ברכיב המערכת שעלולה לאפשר לתוקף מרוחק המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר של תהליך מורשה. הערכת החומרה מבוססת על ההשפעה שיש לנצל את הפגיעות על מכשיר מושפע, בהנחה שהפלטפורמה והפחתת השירות מושבתים לצורכי פיתוח או אם עוקפים אותם בהצלחה.

עיין בסעיף הפחתת האנדרואיד ו- Google Play לפרטים אודות ההגנות על פלטפורמת האבטחה של Android ו- Google Play Protect, המשפרים את האבטחה של פלטפורמת Android.

הפחתת שירותים של Android ו- Google

זהו סיכום הפחתות המסופקות על ידי פלטפורמת האבטחה של Android והגנות שירות כגון Google Play Protect . יכולות אלה מקטינות את הסבירות שניתן לנצל בהצלחה פגיעויות אבטחה באנדרואיד.

• ניצול לבעיות רבות באנדרואיד מקשה על ידי שיפורים בגרסאות החדשות יותר של פלטפורמת אנדרואיד. אנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, במידת האפשר.
• צוות האבטחה של Android מפקח באופן פעיל על התעללות באמצעות Google Play Protect ומזהיר משתמשים מפני יישומים שעלולים להזיק . הגנה על Google Play מופעלת כברירת מחדל במכשירים עם שירותי המובייל של גוגל , והיא חשובה במיוחד עבור משתמשים שמתקינים אפליקציות מחוץ לגוגל פליי.

2021-04-01 פרטים על פגיעות ברמת תיקון האבטחה

בסעיפים שלמטה אנו מספקים פרטים עבור כל אחת מפגיעות האבטחה החלות על רמת התיקון 2021-04-01. פגיעויות מקובצות לפי הרכיב עליו הן משפיעות. הבעיות מתוארות בטבלאות שלהלן וכוללות מזהה CVE, הפניות משויכות, סוג פגיעות , חומרתן וגרסאות AOSP מעודכנות (היכן שרלוונטי). כאשר הוא זמין, אנו מקשרים את השינוי הציבורי שעסק בבעיה למזהה הבאג, כמו רשימת השינויים של AOSP. כאשר שינויים מרובים מתייחסים לבאג יחיד, אזכורים נוספים מקושרים למספרים בעקבות מזהה הבאג. מכשירים עם Android 10 ואילך עשויים לקבל עדכוני אבטחה וכן עדכוני מערכת של Google Play .

מִסגֶרֶת

הפגיעות הקשה ביותר בסעיף זה עלולה לאפשר למשתמש זדוני לזייף נתוני מיקום באמצעות מיקום ללעג במהלך שיחה לשירותי החירום.

מסגרת מדיה

הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר ליישום זדוני מקומי לעקוף את דרישות האינטראקציה של המשתמש בכדי לקבל גישה להרשאות נוספות.

מערכת

הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר לתוקף מרוחק המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר לתהליך מורשה.

עדכוני מערכת של Google Play

הנושאים הבאים כלולים ברכיבי Project Mainline.

2021-04-05 פרטי פגיעות ברמת תיקון האבטחה

בסעיפים שלהלן אנו מספקים פרטים על כל אחת מפגיעות האבטחה החלות על רמת התיקון 2021-04-05. פגיעויות מקובצות לפי הרכיב עליו הן משפיעות. הבעיות מתוארות בטבלאות שלהלן וכוללות מזהה CVE, הפניות משויכות, סוג פגיעות , חומרתן וגרסאות AOSP מעודכנות (היכן שרלוונטי). כאשר הוא זמין, אנו מקשרים את השינוי הציבורי שעסק בבעיה למזהה הבאג, כמו רשימת השינויים של AOSP. כאשר שינויים מרובים מתייחסים לבאג יחיד, אזכורים נוספים מקושרים למספרים בעקבות מזהה הבאג.

מערכת

הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר ליישום זדוני מקומי לעקוף את דרישות האינטראקציה של המשתמש בכדי לקבל גישה להרשאות נוספות.

רכיבי ליבה

הפגיעות הקשה ביותר בסעיף זה עשויה לאפשר לתוקף מקומי המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר של תהליך מורשה.

רכיבי MediaTek

פגיעות זו משפיעה על רכיבי MediaTek ופרטים נוספים זמינים ישירות מ- MediaTek. הערכת חומרת הנושא ניתנת ישירות על ידי MediaTek.

רכיבי קוואלקום

פגיעות זו משפיעה על רכיבי Qualcomm ומתוארת בפירוט רב יותר בעלון האבטחה המתאים של Qualcomm או התראת האבטחה. הערכת חומרת הבעיה ניתנת ישירות על ידי קוואלקום.

רכיבי קוד סגור של קוואלקום

נקודות תורפה אלו משפיעות על רכיבי קוד סגור של קוואלקום ומתוארות בפירוט רב יותר בעלון האבטחה המתאים או התראת האבטחה. הערכת חומרת הנושאים הללו ניתנת ישירות על ידי קוואלקום.

שאלות ותשובות נפוצות

חלק זה עונה על שאלות נפוצות שעשויות להתרחש לאחר קריאת העלון הזה.

1. כיצד אוכל לקבוע אם המכשיר שלי מעודכן לטפל בבעיות אלה?

כדי ללמוד כיצד לבדוק את רמת תיקון האבטחה של המכשיר, ראה בדוק ועדכן את גרסת Android שלך .

• רמות תיקון אבטחה של 2021-04-01 ואילך מטפלות בכל הבעיות הקשורות לרמת תיקון האבטחה 2021-04-01.
• רמות תיקון אבטחה של 2021-04-05 ואילך מטפלות בכל הבעיות הקשורות לרמת תיקון האבטחה 2021-04-05 ובכל רמות התיקון הקודמות.

יצרני מכשירים הכוללים עדכונים אלה צריכים להגדיר את רמת מחרוזת התיקון ל:

• [ro.build.version.security_patch]: [2021-04-01]
• [ro.build.version.security_patch]: [2021-04-05]

עבור מכשירים מסוימים ב- Android 10 ואילך, עדכון המערכת של Google Play יכלול מחרוזת תאריך שתואמת את רמת תיקון האבטחה 2021-04-01. אנא עייןבמאמר זה לקבלת פרטים נוספים על התקנת עדכוני אבטחה.

2. מדוע בעלון זה כולל שתי רמות תיקון אבטחה?

בעלון זה יש שתי רמות תיקון אבטחה, כך שלשותפי Android יש את הגמישות לתקן מערך משנה של נקודות תורפה שדומות בכל מכשירי Android במהירות רבה יותר. שותפי Android מוזמנים לתקן את כל הבעיות בעלון זה ולהשתמש ברמת תיקון האבטחה העדכנית ביותר.

• התקנים המשתמשים ברמת תיקון האבטחה 2021-04-01 חייבים לכלול את כל הבעיות הקשורות לאותה רמת תיקון אבטחה, כמו גם תיקונים לכל הבעיות שדווחו בעלוני האבטחה הקודמים.
• התקנים המשתמשים ברמת תיקון האבטחה של 2021-04-05 ומעלה חייבים לכלול את כל התיקונים הרלוונטיים בעלוני האבטחה (וקודם) זה.

השותפים מוזמנים לאגד את התיקונים לכל הבעיות שהם מטפלים בהם בעדכון יחיד.

3. מה המשמעות של הערכים בעמודה סוג ?

רשומות בעמודה סוג בטבלת פרטי הפגיעות מתייחסות לסיווג הפגיעות האבטחה.

4. מה המשמעות של הערכים בעמודה הפניות ?

רשומות בעמודה הפניות בטבלת פרטי הפגיעות עשויות להכיל קידומת המזהה את הארגון אליו שייך הערך הפניה.

5. מה המשמעות של * ליד מזהה הבאג של Android בעמודה הפניות ?

לבעיות שאינן זמינות לציבור יש * לצד מזהה ההתייחסות המתאים. העדכון לבעיה זו כלול בדרך כלל במנהלי ההתקנים הבינאריים האחרונים למכשירי Pixel הזמינים באתר המפתחים של גוגל .

6. מדוע חולשות אבטחה מפוצלות בין עלון זה לבין עלוני אבטחה של מכשיר / שותף, כמו עלון פיקסל?

פרצות אבטחה המתועדות בעלון אבטחה זה נדרשות להכריז על רמת תיקון האבטחה האחרונה במכשירי Android. פרצות אבטחה נוספות המתועדות בעלוני האבטחה של המכשיר / של השותף אינם נדרשים לצורך הכרזה על רמת תיקון אבטחה. יצרני מכשירי Android וערכת השבבים עשויים גם לפרסם פרטי פגיעות אבטחה ספציפיים למוצריהם, כגון גוגל , Huawei , LGE , מוטורולה , נוקיה או סמסונג .

גרסאות