Android 安全公告 - 2022 年 6 月

發表於 2022 年 6 月 6 日 | 2022 年 7 月 22 日更新

Android 安全公告包含影響 Android 設備的安全漏洞的詳細信息。 2022-06-05 或更高版本的安全補丁級別解決了所有這些問題。要了解如何檢查設備的安全補丁級別，請參閱檢查並更新您的 Android 版本。

Android 合作夥伴至少會在發布前一個月收到所有問題的通知。這些問題的源代碼補丁已發佈到 Android 開源項目 (AOSP) 存儲庫，並鏈接自此公告。此公告還包括指向 AOSP 之外的補丁程序的鏈接。

這些問題中最嚴重的是系統組件中的一個嚴重安全漏洞，它可能導致無需額外執行權限即可遠程執行代碼。嚴重性評估基於利用漏洞可能對受影響設備產生的影響，假設平台和服務緩解措施已出於開發目的關閉或成功繞過。

有關提高 Android 平台安全性的Android 安全平台保護和 Google Play Protect 的詳細信息，請參閱Android 和 Google Play Protect 緩解措施部分。

Android 和 Google 服務緩解措施

這是Android 安全平台和服務保護（例如Google Play Protect ）提供的緩解措施的摘要。這些功能降低了在 Android 上成功利用安全漏洞的可能性。

  • 較新版本的 Android 平台的增強使利用 Android 上的許多問題變得更加困難。我們鼓勵所有用戶盡可能更新到最新版本的 Android。
  • Android 安全團隊通過Google Play Protect主動監控濫用情況，並警告用戶可能有害的應用程序。默認情況下，Google Play Protect 在具有Google 移動服務的設備上啟用，對於從 Google Play 之外安裝應用程序的用戶來說尤其重要。

2022-06-01 安全補丁級別漏洞詳情

在以下部分中，我們提供了適用於 2022-06-01 補丁級別的每個安全漏洞的詳細信息。漏洞被歸類在它們影響的組件之下。下表描述了問題，包括 CVE ID、相關參考、漏洞類型、嚴重性和更新的 AOSP 版本（如果適用）。如果可用，我們會將解決問題的公共更改鏈接到錯誤 ID，例如 AOSP 更改列表。當多個更改與單個錯誤相關時，其他參考將鏈接到錯誤 ID 後面的數字。搭載 Android 10 及更高版本的設備可能會收到安全更新以及Google Play 系統更新。

框架

本節中最嚴重的漏洞可能導致無需額外執行權限的本地權限升級。

CVE參考類型嚴重性更新的 AOSP 版本
CVE-2021-39691 A-157929241 EoP高的10、11、12
CVE-2022-20006 A-151095871 EoP高的10、11、12、12L
CVE-2022-20125 A-194402515 EoP高的10、11、12、12L
CVE-2022-20138 A-210469972 [ 2 ] EoP高的10、11、12、12L

媒體框架

本節中的漏洞可能導致無需額外執行權限即可遠程執行代碼。

CVE參考類型嚴重性更新的 AOSP 版本
CVE-2022-20130 A-224314979 RCE批判的10、11、12、12L

系統

本節中最嚴重的漏洞可能導致無需額外執行權限即可遠程執行代碼。

CVE參考類型嚴重性更新的 AOSP 版本
CVE-2022-20127 A-221862119 RCE批判的10、11、12、12L
CVE-2022-20140 A-227618988 EoP批判的12、12L
CVE-2022-20145 A-201660636 EoP批判的11
CVE-2022-20126 A-203431023 EoP高的10、11、12、12L
CVE-2022-20133 A-206807679 EoP高的10、11、12、12L
CVE-2022-20134 A-218341397 [ 2 ] EoP高的10、11、12、12L
CVE-2022-20135 A-220303465 EoP高的10、11、12、12L
CVE-2022-20137 A-206986392 EoP高的12、12L
CVE-2022-20142 A-216631962 EoP高的10、11、12、12L
CVE-2022-20144 A-187702830 [ 2 ] EoP高的10、11、12、12L
CVE-2022-20147 A-221216105 EoP高的10、11、12、12L
CVE-2022-20123 A-221852424 ID高的10、11、12、12L
CVE-2022-20131 A-221856662 ID高的10、11、12、12L
CVE-2022-20129 A-217934478 [ 2 ]拒絕服務高的10、11、12、12L
CVE-2022-20143 A-220735360拒絕服務高的10、11、12、12L

谷歌播放系統更新

Project Mainline 組件中包含以下問題。

零件CVE
媒體編解碼器CVE-2022-20130

2022-06-05 安全補丁級別漏洞詳情

在以下部分中，我們提供了適用於 2022-06-05 補丁級別的每個安全漏洞的詳細信息。漏洞被歸類在它們影響的組件之下。下表描述了問題，包括 CVE ID、相關參考、漏洞類型、嚴重性和更新的 AOSP 版本（如果適用）。如果可用，我們會將解決問題的公共更改鏈接到錯誤 ID，例如 AOSP 更改列表。當多個更改與單個錯誤相關時，其他參考將鏈接到錯誤 ID 後面的數字。

內核組件

本節中最嚴重的漏洞可能導致無需額外執行權限的本地權限升級。

CVE參考類型嚴重性零件
CVE-2021-4154 A-218836280
上游內核		EoP高的核心
CVE-2022-20141 A-112551163
上游內核		EoP高的Inet 套接字
CVE-2022-24958 A-220261709
上游內核[ 2 ] [ 3 ] [ 4 ]		 EoP高的USB
CVE-2022-25258 A-222023189
上游內核[ 2 ]		 EoP高的USB
CVE-2022-20132 A-188677105
上游內核[ 2 ] [ 3 ] [ 4 ] [ 5 ] [ 6 ] [ 7 ]		 ID高的USB 隱藏
CVE-2022-25375 A-162326603
上游內核		ID高的RNDIS 驅動程序

聯發科組件

此漏洞會影響聯發科組件，更多詳細信息可直接從聯發科獲得。此問題的嚴重性評估由聯發科直接提供。

CVE參考嚴重性零件
CVE-2022-21745
 A-228972609
M-ALPS06468872 *		高的WIFI固件

紫光組件

此漏洞影響 Unisoc 組件，更多詳細信息可直接從 Unisoc 獲得。該問題的嚴重性評估由 Unisoc 直接提供。

CVE參考嚴重性零件
CVE-2022-20210
 A-228868888
U-1770644 *		批判的調製解調器

高通閉源組件

這些漏洞會影響 Qualcomm 閉源組件，並在相應的 Qualcomm 安全公告或安全警報中進行了更詳細的描述。這些問題的嚴重性評估由高通直接提供。

CVE參考嚴重性零件
CVE-2021-35083
 A-209481130 *高的閉源組件
CVE-2021-35102
 A-209469926 *高的閉源組件
CVE-2021-35111
 A-209469960 *高的閉源組件
CVE-2022-22082 A-223211217 *高的閉源組件
CVE-2022-22083 A-223210917 *高的閉源組件
CVE-2022-22084
 A-223209816 *高的閉源組件
CVE-2022-22085 A-223209306 *高的閉源組件
CVE-2022-22086 A-223211218 *高的閉源組件
CVE-2022-22087 A-223209610 *高的閉源組件
CVE-2022-22090 A-223210918 *高的閉源組件

常見問題和答案

本節回答閱讀本公告後可能出現的常見問題。

1. 如何確定我的設備是否已更新以解決這些問題？

要了解如何檢查設備的安全補丁級別，請參閱檢查並更新您的 Android 版本。

  • 2022-06-01 或更高版本的安全補丁程序級別解決了與 2022-06-01 安全補丁程序級別相關的所有問題。
  • 2022-06-05 或更高版本的安全補丁程序級別解決了與 2022-06-05 安全補丁程序級別和所有以前的補丁程序級別相關的所有問題。

包含這些更新的設備製造商應將補丁字符串級別設置為：

  • [ro.build.version.security_patch]：[2022-06-01]
  • [ro.build.version.security_patch]:[2022-06-05]

對於 Android 10 或更高版本的某些設備，Google Play 系統更新將具有與 2022-06-01 安全補丁級別匹配的日期字符串。有關如何安裝安全更新的更多詳細信息，請參閱本文。

2. 為什麼這個公告有兩個安全補丁級別？

此公告有兩個安全補丁級別，以便 Android 合作夥伴可以靈活地更快地修復所有 Android 設備中相似的漏洞子集。鼓勵 Android 合作夥伴修復此公告中的所有問題並使用最新的安全補丁級別。

  • 使用 2022-06-01 安全補丁級別的設備必須包含與該安全補丁級別相關的所有問題，以及針對之前安全公告中報告的所有問題的修復程序。
  • 使用 2022-06-05 或更高級別安全補丁程序的設備必須在此（和以前的）安全公告中包含所有適用的補丁程序。

鼓勵合作夥伴將他們正在解決的所有問題的修復程序捆綁在一次更新中。

3. Type欄中的條目是什麼意思？

漏洞詳細信息表的類型列中的條目引用了安全漏洞的分類。

縮寫定義
RCE遠程代碼執行
EoP特權提升
ID信息披露
拒絕服務拒絕服務
不適用分類不可用

4.參考欄中的條目是什麼意思？

漏洞詳細信息表的參考列下的條目可能包含一個前綴，用於標識參考值所屬的組織。

字首參考
一個- Android 錯誤 ID
質量控制-高通參考號
米-聯發科參考號
N-英偉達參考號
乙-博通參考號
ü- UNISOC 參考號

5. References欄中Android bug ID旁邊的*是什麼意思？

不公開的問題在相應的參考 ID 旁邊有一個 *。該問題的更新通常包含在谷歌開發者網站上最新的 Pixel 設備二進制驅動程序中。

6. 為什麼此公告與設備/合作夥伴安全公告（例如 Pixel 公告）之間存在安全漏洞？

本安全公告中記錄的安全漏洞需要在 Android 設備上聲明最新的安全補丁級別。聲明安全補丁級別不需要設備/合作夥伴安全公告中記錄的其他安全漏洞。 Android 設備和芯片組製造商還可能發布特定於其產品的安全漏洞詳細信息，例如Google 、華為、 LGE 、摩托羅拉、諾基亞或三星。

版本

版本日期筆記
1.0 2022 年 6 月 6 日公告發布
1.1 2022 年 6 月 7 日修訂公告以包括 AOSP 鏈接
2.0 2022 年 6 月 28 日由於可能的回歸，CVE-2021-39624 已從 2022-06-01 SPL 中刪除。對於未來的 SPL，我們可能需要此修復程序的更新版本。
3.0 2022 年 7 月 22 日由於可能的回歸，CVE-2022-20124 已從 2022-06-01 SPL 中刪除。對於未來的 SPL，我們將需要此修復程序的更新版本。