Bản tin về bảo mật Android chứa thông tin chi tiết về bảo mật lỗ hổng bảo mật ảnh hưởng đến thiết bị Android. Các cấp bản vá bảo mật từ ngày 5/8/2024 trở đi. Để tìm hiểu cách làm để kiểm tra mức độ bản vá bảo mật của thiết bị, hãy xem Kiểm tra và cập nhật phiên bản Android.
Đối tác Android nhận được thông báo về tất cả các vấn đề ít nhất một tháng trước khi xuất bản. Các bản vá mã nguồn cho những vấn đề này sẽ được được phát hành vào kho lưu trữ Dự án nguồn mở Android (AOSP) trong 48 giờ tới. Chúng tôi sẽ sửa đổi bản tin này bằng AOSP (Dự án nguồn mở Android) khi có sẵn.
Vấn đề nghiêm trọng nhất trong số này là vấn đề bảo mật lỗ hổng bảo mật trong thành phần Khung có thể dẫn đến lỗi chuyển đặc quyền lên cấp trên mà không có đặc quyền thực thi bổ sung cần thiết. Chiến lược phát hành đĩa đơn mức độ nghiêm trọng được dựa trên tác động việc khai thác lỗ hổng bảo mật này có thể có ở thiết bị bị ảnh hưởng, giả sử nền tảng và dịch vụ giảm thiểu bị tắt cho mục đích phát triển hoặc nếu thành công đã bị bỏ qua.
Tham khảo Android và Google Play Phần Bảo vệ các giải pháp giảm thiểu để biết thông tin chi tiết về hoạt động bảo mật của Android các biện pháp bảo vệ nền tảng và Google Play Protect, giúp cải thiện tính bảo mật của nền tảng Android.
Android và Giải pháp giảm thiểu dịch vụ của Google
Đây là bản tóm tắt về các giải pháp giảm thiểu được cung cấp bởi nhóm bảo mật Android các biện pháp bảo vệ nền tảng và dịch vụ như Google Play Protect. Các giúp giảm khả năng xảy ra lỗ hổng bảo mật có thể bị khai thác thành công trên Android.
- Nhiều vấn đề trên Android bị lợi dụng ngày càng nhiều gặp nhiều khó khăn do các tính năng nâng cao trong phiên bản Android mới hơn chủ. Chúng tôi khuyến khích tất cả người dùng cập nhật lên phiên bản mới nhất phiên bản Android nếu có thể.
- Nhóm bảo mật Android tích cực giám sát để phát hiện hành vi sai trái thông qua Google Play Protect và cảnh báo người dùng về Ứng dụng có khả năng gây hại. Điều khoản Theo mặc định, Play Protect được bật trên những thiết bị có Các dịch vụ của Google dành cho thiết bị di động và đặc biệt quan trọng đối với những người dùng cài đặt ứng dụng không phải của Google Chơi.
01/08/2024 Chi tiết về lỗ hổng bảo mật ở cấp bản vá bảo mật
Trong các phần dưới đây, chúng tôi sẽ cung cấp thông tin chi tiết về từng trường hợp các lỗ hổng bảo mật áp dụng cho bản vá 01/08/2024 cấp độ. Các lỗ hổng bảo mật được nhóm theo thành phần mà chúng ảnh hưởng. Các vấn đề được mô tả trong các bảng bên dưới và bao gồm cả CVE mã nhận dạng, tệp tham chiếu liên quan, loại lỗ hổng bảo mật, mức độ nghiêm trọng, và các phiên bản AOSP đã cập nhật (trong đó có áp dụng). Nếu có, chúng tôi sẽ liên kết thay đổi công khai đó đã giải quyết vấn đề cho mã lỗi, chẳng hạn như danh sách thay đổi của AOSP (Dự án nguồn mở Android). Khi nhiều thay đổi liên quan đến một lỗi, các tham chiếu được liên kết với các số theo sau mã lỗi. Thiết bị người dùng Android 10 trở lên có thể nhận được bản cập nhật bảo mật cũng như Bản cập nhật hệ thống Google Play.
Khung
Lỗ hổng bảo mật nghiêm trọng nhất trong điều này có thể dẫn đến việc leo thang đặc quyền cục bộ mà không cần có thêm đặc quyền thực thi.
| CVE | Tài liệu tham khảo | Loại | Mức độ nghiêm trọng | Các phiên bản AOSP đã cập nhật |
|---|---|---|---|---|
| CVE-2023-20971 | A-225880325 | EoP | Cao | 12, 12L, 13, 14 |
| CVE-2023-21351 | A-232798676 | EoP | Cao | 12, 12L, 13 |
| CVE-2024-34731 | A-319210610 [2] [3] [4] [5] | EoP | Cao | 12, 12L, 13, 14 |
| CVE-2024-34734 | A-304772709 | EoP | Cao | 13, 14 |
| CVE-2024-34735 | A-336490997 | EoP | Cao | 12, 12L, 13 |
| CVE-2024-34737 | A-283103220 | EoP | Cao | 12, 12L, 13, 14 |
| CVE-2024-34738 | A-336323279 | EoP | Cao | 13, 14 |
| CVE-2024-34739 | A-294105066 | EoP | Cao | 12, 12L, 13, 14 |
| CVE-2024-34740 | A-307288067 [2] | EoP | Cao | 12, 12L, 13, 14 |
| CVE-2024-34741 | A-318683640 | EoP | Cao | 12, 12L, 13, 14 |
| CVE-2024-34743 | A-336648613 | EoP | Cao | 14 |
| CVE-2024-34736 | A-288549440 | ID | Cao | 12, 12L, 13, 14 |
| CVE-2024-34742 | A-335232744 | Yêu cầu | Cao | 14 |
Hệ thống
Lỗ hổng bảo mật trong phần này có thể dẫn đến việc tiết lộ thông tin từ xa mà không cần có đặc quyền thực thi.
| CVE | Tài liệu tham khảo | Loại | Mức độ nghiêm trọng | Các phiên bản AOSP đã cập nhật |
|---|---|---|---|---|
| CVE-2024-34727 | A-287184435 | ID | Cao | 12, 12L, 13, 14 |
Hệ thống Google Play các bản cập nhật
Không có vấn đề bảo mật nào được giải quyết trong hệ thống Google Play (Project Mainline) trong tháng này.
05/08/2024 Chi tiết về lỗ hổng bảo mật ở cấp bản vá bảo mật
Trong các phần dưới đây, chúng tôi sẽ cung cấp thông tin chi tiết về từng trường hợp các lỗ hổng bảo mật áp dụng cho bản vá 05/08/2024 cấp độ. Các lỗ hổng bảo mật được nhóm theo thành phần mà chúng ảnh hưởng. Các vấn đề được mô tả trong các bảng bên dưới và bao gồm cả CVE mã nhận dạng, tệp tham chiếu liên quan, loại lỗ hổng bảo mật, mức độ nghiêm trọng, và các phiên bản AOSP đã cập nhật (trong đó có áp dụng). Nếu có, chúng tôi sẽ liên kết thay đổi công khai đó đã giải quyết vấn đề cho mã lỗi, chẳng hạn như danh sách thay đổi của AOSP (Dự án nguồn mở Android). Khi nhiều thay đổi liên quan đến một lỗi, các tham chiếu được liên kết với các số theo sau mã lỗi.
Kernel
Lỗ hổng bảo mật trong phần này có thể dẫn đến việc thực thi mã từ xa bằng chế độ Thực thi hệ thống đặc quyền cần thiết.
| CVE | Tài liệu tham khảo | Loại | Mức độ nghiêm trọng | Thành phần phụ |
|---|---|---|---|---|
| CVE-2024-36971 |
A-343727534 Hạt nhân luồng (upstream) [2] [3] [4] [5] [6] [7] [8] [9] [10] 1 |
RCE | Cao | Kernel |
Các thành phần nhóm thử nghiệm
Các lỗ hổng bảo mật này ảnh hưởng đến các thành phần Arm và các vấn đề khác thông tin chi tiết hiện có trực tiếp từ Arm. Đánh giá mức độ nghiêm trọng về các vấn đề này do Arm trực tiếp cung cấp.
| CVE | Tài liệu tham khảo | Mức độ nghiêm trọng | Thành phần phụ |
|---|---|---|---|
| CVE-2024-2937 |
A-339866012 * | Cao | Mali |
| CVE-2024-4607 |
A-339869945 * | Cao | Mali |
Công nghệ trí tưởng tượng
Lỗ hổng bảo mật này ảnh hưởng đến các thành phần của Imagulation Technologies và thông tin chi tiết khác có sẵn trực tiếp trên Imagination Công nghệ. Đã đưa ra đánh giá mức độ nghiêm trọng của vấn đề này trực tiếp bởi Imagination Technologies.
| CVE | Tài liệu tham khảo | Mức độ nghiêm trọng | Thành phần phụ | |
|---|---|---|---|---|
| CVE-2024-31333 |
A-331435657 * | Cao | GPU PowerVR |
Các thành phần MediaTek
Lỗ hổng bảo mật này ảnh hưởng đến các thành phần của MediaTek và thông tin chi tiết được cung cấp trực tiếp từ MediaTek. Mức độ nghiêm trọng đánh giá trực tiếp về vấn đề này sẽ do MediaTek trực tiếp đưa ra.
| CVE | Tài liệu tham khảo | Mức độ nghiêm trọng | Thành phần phụ |
|---|---|---|---|
| CVE-2024-20082 |
A-344434139 M-MOLY01182594 * |
Cao | Modem |
Các thành phần của Qualcomm
Các lỗ hổng bảo mật này ảnh hưởng đến các thành phần của Qualcomm và được mô tả chi tiết hơn trong chính sách bảo mật thích hợp của bản tin hoặc cảnh báo bảo mật. Đánh giá mức độ nghiêm trọng của các lỗi này do Qualcomm trực tiếp đưa ra.
| CVE | Tài liệu tham khảo | Mức độ nghiêm trọng | Thành phần phụ |
|---|---|---|---|
| CVE-2024-21478 |
A-323926460 QC-CR#3594987 |
Cao | Màn hình |
| CVE-2024-23381 |
A-339043781 QC-CR#3701594 [2] |
Cao | Màn hình |
| CVE-2024-23382 |
A-339043615 QC-CR#3704061 [2] |
Cao | Màn hình |
| CVE-2024-23383 |
A-339042492 QC-CR#3707659 |
Cao | Màn hình |
| CVE-2024-23384 |
A-339043323 QC-CR#3704870 [2] |
Cao | Màn hình |
| CVE-2024-33010 |
A-339043396 QC-CR#3717571 |
Cao | Mạng WLAN |
| CVE-2024-33011 |
A-339043727 QC-CR#3717567 |
Cao | Mạng WLAN |
| CVE-2024-33012 |
A-339043053 QC-CR#3717566 |
Cao | Mạng WLAN |
| CVE-2024-33013 |
A-339042691 QC-CR#3710085 |
Cao | Mạng WLAN |
| CVE-2024-33014 |
A-339043382 QC-CR#3710081 |
Cao | Mạng WLAN |
| CVE-2024-33015 |
A-339043107 QC-CR#3710080 |
Cao | Mạng WLAN |
| CVE-2024-33018 |
A-339043500 QC-CR#3704796 |
Cao | Mạng WLAN |
| CVE-2024-33019 |
A-339043783 QC-CR#3704794 |
Cao | Mạng WLAN |
| CVE-2024-33020 |
A-339043480 QC-CR#3704762 |
Cao | Mạng WLAN |
| CVE-2024-33023 |
A-339043278 QC-CR#3702019 [2] |
Cao | Màn hình |
| CVE-2024-33024 |
A-339043270 QC-CR#3700072 |
Cao | Mạng WLAN |
| CVE-2024-33025 |
A-339042969 QC-CR#3700045 |
Cao | Mạng WLAN |
| CVE-2024-33026 |
A-339043880 QC-CR#3699954 |
Cao | Mạng WLAN |
| CVE-2024-33027 |
A-316373168 QC-CR#3697522 |
Cao | Màn hình |
| CVE-2024-33028 |
A-339043463 QC-CR#3694338 |
Cao | Màn hình |
Nguồn khép kín của Qualcomm thành phần
Các lỗ hổng bảo mật này ảnh hưởng đến các thành phần nguồn đóng của Qualcomm và được mô tả chi tiết hơn trong đơn vị xử lý thích hợp của bản tin bảo mật hoặc cảnh báo bảo mật. Đánh giá mức độ nghiêm trọng của các vấn đề này do hãng trực tiếp cung cấp.
| CVE | Tài liệu tham khảo | Mức độ nghiêm trọng | Thành phần phụ |
|---|---|---|---|
| CVE-2024-23350 |
A-323919259 * | Quan trọng | Thành phần nguồn đóng |
| CVE-2024-21481 |
A-323918669 * | Cao | Thành phần nguồn đóng |
| CVE-2024-23352 |
A-323918787 * | Cao | Thành phần nguồn đóng |
| CVE-2024-23353 |
A-323918845 * | Cao | Thành phần nguồn đóng |
| CVE-2024-23355 |
A-323918338 * | Cao | Thành phần nguồn đóng |
| CVE-2024-23356 |
A-323919081 * | Cao | Thành phần nguồn đóng |
| CVE-2024-23357 |
A-323919249 * | Cao | Thành phần nguồn đóng |
Câu hỏi thường gặp và đáp gọn
Phần này giải đáp các thắc mắc phổ biến có thể xảy ra sau khi đọc bản tin này.
1. Làm thế nào để xác định xem thiết bị của tôi có được cập nhật lên hay không giải quyết những vấn đề này không?
Để tìm hiểu cách kiểm tra cấp bản vá bảo mật của thiết bị, hãy xem Kiểm tra và cập nhật thiết bị Android phiên bản.
- Các cấp bản vá bảo mật từ ngày 1/8/2024 trở đi sẽ giải quyết được tất cả các vấn đề liên quan đến bản vá bảo mật 01/08/2024 cấp độ.
- Các cấp bản vá bảo mật từ ngày 5/8/2024 trở đi sẽ giải quyết được tất cả các vấn đề liên quan đến cấp bản vá bảo mật ngày 05/08/2024 và tất cả các cấp bản vá trước đó.
Nhà sản xuất thiết bị có các bản cập nhật này phải đặt vá cấp chuỗi thành:
- [ro.build.version.security_patch]:[01/08/2024]
- [ro.build.version.security_patch]:[05/08/2024]
Đối với một số thiết bị chạy Android 10 trở lên, Google Play bản cập nhật hệ thống sẽ có chuỗi ngày khớp với ngày 1/8/2024 cấp bản vá bảo mật. Vui lòng xem bài viết này để biết thêm chi tiết về cách cài đặt bản cập nhật bảo mật.
2. Tại sao bản tin này có 2 bản vá bảo mật cấp độ?
Bản tin này có 2 cấp bản vá bảo mật để Android các đối tác có thể linh hoạt khắc phục một nhóm nhỏ các lỗ hổng tương tự trên tất cả các thiết bị Android một cách nhanh chóng hơn. của Android các đối tác nên khắc phục tất cả vấn đề trong bản tin này và sử dụng cấp bản vá bảo mật mới nhất.
- Thiết bị sử dụng cấp bản vá bảo mật 2024-08-01 phải bao gồm tất cả những vấn đề liên quan đến cấp bản vá bảo mật đó, cũng như bản sửa lỗi cho tất cả sự cố đã báo cáo trong bản tin.
- Thiết bị sử dụng cấp bản vá bảo mật ngày 5/8/2024 hoặc phiên bản mới hơn phải bao gồm tất cả bản vá hiện hành trong phiên bản này (và trước đó) bản tin bảo mật.
Đối tác nên nhóm các bản sửa lỗi cho tất cả vấn đề mà họ đang xử lý chỉ trong một lần cập nhật duy nhất.
3. Mục nhập trong cột Type có chức năng gì có nghĩa là gì?
Các mục nhập trong cột Loại của lỗ hổng bảo mật bảng thông tin chi tiết về việc phân loại chứng khoán lỗ hổng bảo mật.
| Từ viết tắt | Định nghĩa |
|---|---|
| RCE | Thực thi mã từ xa |
| EoP | Nâng cao đặc quyền |
| ID | Tiết lộ thông tin |
| Yêu cầu | Từ chối dịch vụ |
| Không áp dụng | Không có thông tin phân loại |
4. Nội dung của các mục trong phần Tài liệu tham khảo giá trị trung bình của cột là gì?
Các mục nhập trong cột Tham chiếu của Bảng thông tin chi tiết về lỗ hổng bảo mật có thể chứa tiền tố xác định tổ chức có chứa giá trị tham chiếu.
| Tiền tố | Tài liệu tham khảo |
|---|---|
| A- | Mã lỗi Android |
| Quản lý chất lượng | Số tham chiếu của Qualcomm |
| T2 | Số tham chiếu MediaTek |
| K | Số tham chiếu của NVIDIA |
| B- | Số tham chiếu Broadcom |
| U- | Số tham chiếu UNISOC |
5. * có nghĩa là gì bên cạnh mã lỗi Android trong Cột Tệp đối chiếu có nghĩa là gì?
Các vấn đề không công khai có dấu * bên cạnh mã tham chiếu tương ứng. Thông tin cập nhật cho vấn đề đó là thường có trong các trình điều khiển nhị phân mới nhất cho Pixel danh sách thiết bị có sẵn từ Trang web dành cho nhà phát triển của Google.
6. Lý do các lỗ hổng bảo mật được phân chia giữa bản tin và bản tin bảo mật của đối tác / thiết bị, chẳng hạn như Bản tin trên Pixel?
Các lỗ hổng bảo mật được ghi nhận trong bảo mật này phải có bản tin để khai báo cấp bản vá bảo mật mới nhất trên các thiết bị Android. Các lỗ hổng bảo mật khác được ghi lại trong bản tin bảo mật của thiết bị / đối tác không để khai báo cấp bản vá bảo mật. Thiết bị Android và các nhà sản xuất bộ vi mạch cũng có thể công bố lỗ hổng bảo mật thông tin chi tiết cụ thể về sản phẩm của họ, chẳng hạn như Google, Huawei, LGE, Motorola, Nokia hoặc Samsung.
Phiên bản
| Phiên bản | Ngày | Ghi chú |
|---|---|---|
| 1.0 | Ngày 5 tháng 8 năm 2024 | Bản tin đã xuất bản. |