Bản tin về bảo mật trên Android – tháng 8 năm 2024

Xuất bản ngày 5 tháng 8 năm 2024

Bản tin về bảo mật Android chứa thông tin chi tiết về bảo mật lỗ hổng bảo mật ảnh hưởng đến thiết bị Android. Các cấp bản vá bảo mật từ ngày 5/8/2024 trở đi. Để tìm hiểu cách làm để kiểm tra mức độ bản vá bảo mật của thiết bị, hãy xem Kiểm tra và cập nhật phiên bản Android.

Đối tác Android nhận được thông báo về tất cả các vấn đề ít nhất một tháng trước khi xuất bản. Các bản vá mã nguồn cho những vấn đề này sẽ được được phát hành vào kho lưu trữ Dự án nguồn mở Android (AOSP) trong 48 giờ tới. Chúng tôi sẽ sửa đổi bản tin này bằng AOSP (Dự án nguồn mở Android) khi có sẵn.

Vấn đề nghiêm trọng nhất trong số này là vấn đề bảo mật lỗ hổng bảo mật trong thành phần Khung có thể dẫn đến lỗi chuyển đặc quyền lên cấp trên mà không có đặc quyền thực thi bổ sung cần thiết. Chiến lược phát hành đĩa đơn mức độ nghiêm trọng được dựa trên tác động việc khai thác lỗ hổng bảo mật này có thể có ở thiết bị bị ảnh hưởng, giả sử nền tảng và dịch vụ giảm thiểu bị tắt cho mục đích phát triển hoặc nếu thành công đã bị bỏ qua.

Tham khảo Android và Google Play Phần Bảo vệ các biện pháp giảm thiểu để biết thông tin chi tiết về tính năng bảo mật của Android các biện pháp bảo vệ nền tảng và Google Play Protect, giúp cải thiện tính bảo mật của nền tảng Android.

Android và Giải pháp giảm thiểu dịch vụ của Google

Đây là bản tóm tắt về các giải pháp giảm thiểu được cung cấp bởi nhóm bảo mật Android nền tảng và các biện pháp bảo vệ dịch vụ như Google Play Protect. Các giúp giảm khả năng xảy ra lỗ hổng bảo mật có thể bị khai thác thành công trên Android.

  • Nhiều vấn đề trên Android bị lợi dụng ngày càng nhiều gặp nhiều khó khăn do các tính năng nâng cao trong phiên bản Android mới hơn chủ. Chúng tôi khuyến khích tất cả người dùng cập nhật lên phiên bản mới nhất phiên bản Android nếu có thể.
  • Nhóm bảo mật Android tích cực giám sát để phát hiện hành vi sai trái thông qua Google Play Protect và cảnh báo người dùng về Ứng dụng có khả năng gây hại. Điều khoản Theo mặc định, Play Protect được bật trên những thiết bị có Các dịch vụ của Google dành cho thiết bị di động và đặc biệt quan trọng đối với những người dùng cài đặt ứng dụng không phải của Google Chơi.

01/08/2024 Chi tiết về lỗ hổng bảo mật ở cấp bản vá bảo mật

Trong các phần dưới đây, chúng tôi sẽ cung cấp thông tin chi tiết về từng trường hợp các lỗ hổng bảo mật áp dụng cho bản vá 01/08/2024 cấp độ. Các lỗ hổng bảo mật được nhóm theo thành phần mà chúng ảnh hưởng. Các vấn đề được mô tả trong các bảng dưới đây và bao gồm cả CVE mã nhận dạng, tệp tham chiếu liên quan, loại lỗ hổng bảo mật, mức độ nghiêm trọng, và các phiên bản AOSP đã cập nhật (trong đó có áp dụng). Nếu có, chúng tôi sẽ liên kết thay đổi công khai đó đã giải quyết vấn đề cho mã lỗi, chẳng hạn như danh sách thay đổi của AOSP (Dự án nguồn mở Android). Khi nhiều thay đổi liên quan đến một lỗi, các tham chiếu được liên kết với các số theo sau mã lỗi. Thiết bị người dùng Android 10 trở lên có thể nhận được bản cập nhật bảo mật cũng như Bản cập nhật hệ thống Google Play.

Khung

Lỗ hổng bảo mật nghiêm trọng nhất trong điều này có thể dẫn đến việc leo thang đặc quyền cục bộ mà không cần có thêm đặc quyền thực thi.

CVE Tài liệu tham khảo Loại Mức độ nghiêm trọng Các phiên bản AOSP đã cập nhật
CVE-2023-20971 A-225880325 EoP Cao 12, 12L, 13, 14
CVE-2023-21351 A-232798676 EoP Cao 12, 12L, 13
CVE-2024-34731 A-319210610 [2] [3] [4] [5] EoP Cao 12, 12L, 13, 14
CVE-2024-34734 A-304772709 EoP Cao 13, 14
CVE-2024-34735 A-336490997 EoP Cao 12, 12L, 13
CVE-2024-34737 A-283103220 EoP Cao 12, 12L, 13, 14
CVE-2024-34738 A-336323279 EoP Cao 13, 14
CVE-2024-34739 A-294105066 EoP Cao 12, 12L, 13, 14
CVE-2024-34740 A-307288067 [2] EoP Cao 12, 12L, 13, 14
CVE-2024-34741 A-318683640 EoP Cao 12, 12L, 13, 14
CVE-2024-34743 A-336648613 EoP Cao 14
CVE-2024-34736 A-288549440 ID Cao 12, 12L, 13, 14
CVE-2024-34742 A-335232744 Yêu cầu Cao 14

Hệ thống

Lỗ hổng bảo mật trong phần này có thể dẫn đến việc tiết lộ thông tin từ xa mà không cần có đặc quyền thực thi.

CVE Tài liệu tham khảo Loại Mức độ nghiêm trọng Các phiên bản AOSP đã cập nhật
CVE-2024-34727 A-287184435 ID Cao 12, 12L, 13, 14

Hệ thống Google Play các bản cập nhật

Không có vấn đề bảo mật nào được giải quyết trong hệ thống Google Play (Project Mainline) trong tháng này.

05/08/2024 Chi tiết về lỗ hổng bảo mật ở cấp bản vá bảo mật

Trong các phần dưới đây, chúng tôi sẽ cung cấp thông tin chi tiết về từng trường hợp các lỗ hổng bảo mật áp dụng cho bản vá 05/08/2024 cấp độ. Các lỗ hổng bảo mật được nhóm theo thành phần mà chúng ảnh hưởng. Các vấn đề được mô tả trong các bảng dưới đây và bao gồm cả CVE mã nhận dạng, tệp tham chiếu liên quan, loại lỗ hổng bảo mật, mức độ nghiêm trọng, và các phiên bản AOSP đã cập nhật (trong đó có áp dụng). Nếu có, chúng tôi sẽ liên kết thay đổi công khai đó đã giải quyết vấn đề cho mã lỗi, chẳng hạn như danh sách thay đổi của AOSP (Dự án nguồn mở Android). Khi nhiều thay đổi liên quan đến một lỗi, các tham chiếu được liên kết với các số theo sau mã lỗi.

Kernel

Lỗ hổng bảo mật trong phần này có thể dẫn đến việc thực thi mã từ xa bằng chế độ Thực thi hệ thống đặc quyền cần thiết.

CVE Tài liệu tham khảo Loại Mức độ nghiêm trọng Thành phần phụ
CVE-2024-36971 A-343727534
Hạt nhân luồng (upstream) [2] [3] [4] [5] [6] [7] [8] [9] [10] 1
RCE Cao Kernel

Các thành phần nhóm thử nghiệm

Các lỗ hổng bảo mật này ảnh hưởng đến các thành phần Arm và các vấn đề khác thông tin chi tiết hiện có trực tiếp từ Arm. Đánh giá mức độ nghiêm trọng về các vấn đề này do Arm trực tiếp cung cấp.

CVE Tài liệu tham khảo Mức độ nghiêm trọng Thành phần phụ
CVE-2024-2937
A-339866012 * Cao Mali
CVE-2024-4607
A-339869945 * Cao Mali

Công nghệ trí tưởng tượng

Lỗ hổng bảo mật này ảnh hưởng đến các thành phần của Imagulation Technologies và thêm chi tiết có sẵn trực tiếp trên Imagination Công nghệ. Đã đưa ra đánh giá mức độ nghiêm trọng của vấn đề này trực tiếp bởi Imagination Technologies.

CVE Tài liệu tham khảo Mức độ nghiêm trọng Thành phần phụ
CVE-2024-31333
A-331435657 * Cao GPU PowerVR

Các thành phần MediaTek

Lỗ hổng bảo mật này ảnh hưởng đến các thành phần của MediaTek và thông tin chi tiết được cung cấp trực tiếp từ MediaTek. Mức độ nghiêm trọng đánh giá trực tiếp về vấn đề này sẽ do MediaTek trực tiếp đưa ra.

CVE Tài liệu tham khảo Mức độ nghiêm trọng Thành phần phụ
CVE-2024-20082
A-344434139
M-MOLY01182594 *
Cao Modem

Các thành phần của Qualcomm

Các lỗ hổng bảo mật này ảnh hưởng đến các thành phần của Qualcomm và được mô tả chi tiết hơn trong chính sách bảo mật thích hợp của bản tin hoặc cảnh báo bảo mật. Đánh giá mức độ nghiêm trọng của các lỗi này do Qualcomm trực tiếp đưa ra.

CVE Tài liệu tham khảo Mức độ nghiêm trọng Thành phần phụ
CVE-2024-21478
A-323926460
QC-CR#3594987
Cao Màn hình
CVE-2024-23381
A-339043781
QC-CR#3701594 [2]
Cao Màn hình
CVE-2024-23382
A-339043615
QC-CR#3704061 [2]
Cao Màn hình
CVE-2024-23383
A-339042492
QC-CR#3707659
Cao Màn hình
CVE-2024-23384 A-339043323
QC-CR#3704870 [2] [3] [4]
Cao Màn hình
CVE-2024-33010
A-339043396
QC-CR#3717571
Cao Mạng WLAN
CVE-2024-33011
A-339043727
QC-CR#3717567
Cao Mạng WLAN
CVE-2024-33012
A-339043053
QC-CR#3717566
Cao Mạng WLAN
CVE-2024-33013
A-339042691
QC-CR#3710085
Cao Mạng WLAN
CVE-2024-33014
A-339043382
QC-CR#3710081
Cao Mạng WLAN
CVE-2024-33015 A-339043107
QC-CR#3710080
Cao Mạng WLAN
CVE-2024-33018
A-339043500
QC-CR#3704796
Cao Mạng WLAN
CVE-2024-33019
A-339043783
QC-CR#3704794
Cao Mạng WLAN
CVE-2024-33020
A-339043480
QC-CR#3704762
Cao Mạng WLAN
CVE-2024-33023
A-339043278
QC-CR#3702019 [2]
Cao Màn hình
CVE-2024-33024
A-339043270
QC-CR#3700072
Cao Mạng WLAN
CVE-2024-33025
A-339042969
QC-CR#3700045
Cao Mạng WLAN
CVE-2024-33026
A-339043880
QC-CR#3699954
Cao Mạng WLAN
CVE-2024-33027
A-316373168
QC-CR#3697522
Cao Màn hình
CVE-2024-33028
A-339043463
QC-CR#3694338
Cao Màn hình

Nguồn khép kín của Qualcomm thành phần

Các lỗ hổng bảo mật này ảnh hưởng đến các thành phần nguồn đóng của Qualcomm và được mô tả chi tiết hơn trong đơn vị xử lý thích hợp của bản tin bảo mật hoặc cảnh báo bảo mật. Đánh giá mức độ nghiêm trọng của các vấn đề này do Qualcomm trực tiếp cung cấp.

CVE Tài liệu tham khảo Mức độ nghiêm trọng Thành phần phụ
CVE-2024-23350
A-323919259 * Quan trọng Thành phần nguồn đóng
CVE-2024-21481
A-323918669 * Cao Thành phần nguồn đóng
CVE-2024-23352
A-323918787 * Cao Thành phần nguồn đóng
CVE-2024-23353
A-323918845 * Cao Thành phần nguồn đóng
CVE-2024-23355
A-323918338 * Cao Thành phần nguồn đóng
CVE-2024-23356
A-323919081 * Cao Thành phần nguồn đóng
CVE-2024-23357
A-323919249 * Cao Thành phần nguồn đóng

Câu hỏi thường gặp và đáp gọn

Phần này giải đáp các thắc mắc phổ biến có thể xảy ra sau khi đọc bản tin này.

1. Làm thế nào để xác định xem thiết bị của tôi có được cập nhật lên hay không giải quyết những vấn đề này không?

Để tìm hiểu cách kiểm tra cấp bản vá bảo mật của thiết bị, hãy xem Kiểm tra và cập nhật thiết bị Android phiên bản.

  • Các cấp bản vá bảo mật từ ngày 1/8/2024 trở đi sẽ giải quyết được tất cả các vấn đề liên quan đến bản vá bảo mật 01/08/2024 cấp độ.
  • Các cấp bản vá bảo mật từ ngày 5/8/2024 trở đi sẽ giải quyết được tất cả các vấn đề liên quan đến cấp bản vá bảo mật ngày 05/08/2024 và tất cả các cấp bản vá trước đó.

Nhà sản xuất thiết bị có các bản cập nhật này phải đặt vá cấp chuỗi thành:

  • [ro.build.version.security_patch]:[01/08/2024]
  • [ro.build.version.security_patch]:[05/08/2024]

Đối với một số thiết bị chạy Android 10 trở lên, Google Play bản cập nhật hệ thống sẽ có chuỗi ngày khớp với ngày 1/8/2024 cấp bản vá bảo mật. Vui lòng xem bài viết này để biết thêm chi tiết về cách cài đặt bản cập nhật bảo mật.

2. Tại sao bản tin này có 2 bản vá bảo mật cấp độ?

Bản tin này có 2 cấp bản vá bảo mật để Android các đối tác có thể linh hoạt khắc phục một nhóm nhỏ các lỗ hổng tương tự trên tất cả các thiết bị Android một cách nhanh chóng hơn. của Android các đối tác nên khắc phục tất cả vấn đề trong bản tin này và sử dụng cấp bản vá bảo mật mới nhất.

  • Thiết bị sử dụng cấp bản vá bảo mật 2024-08-01 phải bao gồm tất cả những vấn đề liên quan đến cấp bản vá bảo mật đó, cũng như bản sửa lỗi cho tất cả sự cố đã báo cáo trong bản tin.
  • Thiết bị sử dụng cấp bản vá bảo mật ngày 5/8/2024 hoặc phiên bản mới hơn phải bao gồm tất cả bản vá hiện hành trong phiên bản này (và trước đó) bản tin bảo mật.

Đối tác nên nhóm các bản sửa lỗi cho tất cả vấn đề mà họ đang xử lý chỉ trong một lần cập nhật duy nhất.

3. Mục nhập trong cột Type có chức năng gì có nghĩa là gì?

Các mục nhập trong cột Loại của lỗ hổng bảo mật bảng thông tin chi tiết về việc phân loại chứng khoán lỗ hổng bảo mật.

Từ viết tắt Định nghĩa
RCE Thực thi mã từ xa
EoP Nâng cao đặc quyền
ID Tiết lộ thông tin
Yêu cầu Từ chối dịch vụ
Không có thời gian Không có thông tin phân loại

4. Nội dung của các mục trong phần Tài liệu tham khảo giá trị trung bình của cột là gì?

Các mục nhập trong cột Tham chiếu của Bảng thông tin chi tiết về lỗ hổng bảo mật có thể chứa tiền tố xác định tổ chức có chứa giá trị tham chiếu.

Tiền tố Tài liệu tham khảo
A- Mã lỗi Android
Quản lý chất lượng Số tham chiếu của Qualcomm
T2 Số tham chiếu MediaTek
K Số tham chiếu của NVIDIA
B- Số tham chiếu Broadcom
U- Số tham chiếu UNISOC

5. * có nghĩa là gì bên cạnh mã lỗi Android trong Cột Tệp đối chiếu có nghĩa là gì?

Các vấn đề không công khai có dấu * bên cạnh mã tham chiếu tương ứng. Thông tin cập nhật cho vấn đề đó là thường có trong các trình điều khiển nhị phân mới nhất cho Pixel danh sách thiết bị có sẵn từ Trang web dành cho nhà phát triển của Google.

6. Tại sao các lỗ hổng bảo mật lại được chia tách bản tin và bản tin bảo mật của đối tác / thiết bị, chẳng hạn như Bản tin trên Pixel?

Các lỗ hổng bảo mật được ghi nhận trong bảo mật này phải có bản tin để khai báo cấp bản vá bảo mật mới nhất trên các thiết bị Android. Các lỗ hổng bảo mật khác được ghi lại trong bản tin bảo mật của thiết bị / đối tác không được để khai báo cấp bản vá bảo mật. Thiết bị Android và các nhà sản xuất bộ vi mạch cũng có thể công bố lỗ hổng bảo mật thông tin cụ thể về sản phẩm của họ, chẳng hạn như Google, Huawei, LGE, Motorola, Nokia hoặc Samsung.

Phiên bản

Phiên bản Ngày Ghi chú
1.0 Ngày 5 tháng 8 năm 2024 Bản tin đã xuất bản.