Biuletyn bezpieczeństwa w Androidzie – wrzesień 2024 r.

Opublikowano 3 września 2024 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Wszystkie te problemy są rozwiązane w poziomach poprawek zabezpieczeń z 5 września 2024 r. lub nowszych. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed publikacją. Poprawki w źródle dla tych problemów zostaną opublikowane w repozytorium Projektu Android Open Source (AOSP) w ciągu najbliższych 48 godzin. Gdy tylko będą dostępne, zaktualizujemy to ogłoszenie, dodając linki do AOSP.

Najpoważniejszym z tych problemów jest luka w zabezpieczeniach o wysokim priorytecie w komponencie Framework, która może prowadzić do lokalnego podwyższenia uprawnień bez konieczności uzyskania dodatkowych uprawnień do wykonywania. Ocena dotkliwości jest oparta na wpływie, jaki wykorzystanie luki w zabezpieczeniach może mieć na urządzeniu dotkniętym problemem, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programowania lub że zostały pomyślnie omijane.

Więcej informacji o zabezpieczeniach platformy Android i Google Play Protect, które zwiększają bezpieczeństwo platformy Android, znajdziesz w sekcji Zabezpieczenia Androida i Google Play Protect.

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie zabezpieczeń oferowanych przez platformę zabezpieczeń Androida oraz zabezpieczenia usług, takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach będą mogły być wykorzystane na urządzeniach z Androidem.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach tej platformy. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą Google Play Protect i ostrzega użytkowników o potencjalnie szkodliwych aplikacjach. Funkcja Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google i jest szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play.

Szczegóły luki w zabezpieczeniach na poziomie poprawki zabezpieczeń z 2024-09-01

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 2024-09-01. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej i zawierają identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w odpowiednich przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli pojedynczy błąd dotyczy wielu zmian, dodatkowe odniesienia są połączone z liczbami po identyfikatorze błędu. Urządzenia z Androidem 10 lub nowszym mogą otrzymywać aktualizacje zabezpieczeń, a także aktualizacje systemowe Google Play.

Platforma

Najpoważniejsza luka w tym rozdziale może doprowadzić do lokalnej eskalacji uprawnień bez konieczności uzyskania dodatkowych uprawnień do wykonania.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2024-32896 A-324321147 [2] EoP Wysoki 12, 12L, 13, 14
CVE-2024-40658 A-329641908 EoP Wysoki 12, 12L, 13, 14
CVE-2024-40662 A-261721900 EoP Wysoki 12, 12L, 13, 14

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może doprowadzić do lokalnej eskalacji uprawnień bez konieczności uzyskania dodatkowych uprawnień do wykonywania.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2024-40650 A-293199910 EoP Wysoki 12, 12L, 13, 14
CVE-2024-40652 A-327749022 EoP Wysoki 12, 12L, 13, 14
CVE-2024-40654 A-333364513 EoP Wysoki 12, 12L, 13, 14
CVE-2024-40655 A-300904123 EoP Wysoki 12, 12L, 13, 14
CVE-2024-40657 A-341886134 EoP Wysoki 12, 12L, 13, 14
CVE-2024-40656 A-329058967 ID Wysoki 12, 12L, 13, 14
CVE-2024-40659 A-336976105 DoS Wysoki 14

Aktualizacje systemowe Google Play

Komponenty projektu Mainline obejmują te problemy:

Składnik podrzędny CVE
Zdalne udostępnianie klucza CVE-2024-40659

Szczegóły luki w zabezpieczeniach na poziomie poprawki zabezpieczeń z 2024-09-05

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 2024-09-05. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej i zawierają identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w odpowiednich przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli pojedynczy błąd dotyczy wielu zmian, dodatkowe odniesienia są połączone z liczbami po identyfikatorze błędu.

Bąbelki

Użytkownik lokalny może wykorzystać podatność opisaną w tym rozdziale do eskalacji uprawnień bez dodatkowych uprawnień do wykonania.

CVE Pliki referencyjne Typ Poziom Składnik podrzędny
CVE-2024-36972 A-342490466
Kernel upstream [2] [3] [4] [5] [6] 		EoP Wysoki Netto

Komponenty ramienia

Ta luka dotyczy komponentów Arm. Więcej informacji można uzyskać bezpośrednio od firmy Arm. Ocena stopnia ważności tego problemu jest dostarczana bezpośrednio przez Arm.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2024-3655
 A-346629290 * Wysoki Mali

Imagination Technologies

Te luki w zabezpieczeniach dotyczą komponentów Imagination Technologies. Więcej informacji można uzyskać bezpośrednio od Imagination Technologies. Ocena ważności tych problemów jest dostarczana bezpośrednio przez Imagination Technologies.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2024-23716
 A-350535746 * Wysoki PowerVR-GPU
CVE-2024-31336
 A-337949672 * Wysoki PowerVR-GPU

Komponenty Unisoc

Te luki w zabezpieczeniach dotyczą komponentów Unisoc. Więcej informacji można uzyskać bezpośrednio od Unisoc. Ocena ważności tych problemów jest dostarczana bezpośrednio przez Unisoc.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2024-39431
 A-349917018
U-2638126 * 		Wysoki Modem
CVE-2024-39432
 A-349916584
U-2638173 * 		Wysoki Modem

Komponenty Qualcomm

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm i są opisane w szczegółach w odpowiednim biuletynie lub alertu dotyczącym zabezpieczeń Qualcomm. Ocena stopnia ważności tych problemów jest dokonywana bezpośrednio przez Qualcomm.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2024-33042
 A-344620519
QC-CR#3774878 		Krytyczny WLAN
CVE-2024-33052
 A-344620630
QC-CR#3773240 		Krytyczny WLAN
CVE-2024-33034
 A-350500940
QC-CR#3744850 		Wysoki Wyświetlacz
CVE-2024-33035
 A-344620673
QC-CR#3734251 		Wysoki Wyświetlacz
CVE-2024-33038
 A-344620773
QC-CR#3696086 		Wysoki Aparat
CVE-2024-33043
 A-344620433
QC-CR#3774849 		Wysoki WLAN
CVE-2024-33045
 A-344620353
QC-CR#3745620 		Wysoki Program rozruchowy
CVE-2024-33048
 A-344620292
QC-CR#3704739
QC-CR#3707241 		Wysoki WLAN
CVE-2024-33050
 A-344620238
QC-CR#3717568 		Wysoki WLAN
CVE-2024-33054
 A-344620733
QC-CR#3667735 		Wysoki Aparat
CVE-2024-33057
 A-344620215
QC-CR#3699767 		Wysoki WLAN
CVE-2024-33060
 A-350500584
QC-CR#3735984 [2] 		Wysoki Bąbelki

Komponenty Qualcomm ze zamkniętym kodem źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm o zamkniętym kodzie źródłowym i są opisane bardziej szczegółowo w odpowiednim biuletynie lub ostrzeżeniu dotyczącym zabezpieczeń Qualcomm. Ocena stopnia ważności tych problemów jest dokonywana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2024-23358
 A-328083897 * Wysoki Komponent zamkniętego źródła
CVE-2024-23359
 A-328083933 * Wysoki Komponent zamkniętego źródła
CVE-2024-23362
 A-328084308 * Wysoki Komponent zamkniętego źródła
CVE-2024-23364
 A-328083671 * Wysoki Komponent zamkniętego źródła
CVE-2024-23365
 A-328083987 * Wysoki Komponent zamkniętego źródła
CVE-2024-33016
 A-339043498 * Wysoki Komponent zamkniętego źródła
CVE-2024-33051
 A-344620373 * Wysoki Komponent zamkniętego źródła

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy zawiera te poprawki?

Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Poziomy aktualizacji zabezpieczeń z 2024-09-01 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2024-09-01.
  • Poziomy aktualizacji zabezpieczeń z 2024-09-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2024-09-05 oraz wszystkie poprzednie poziomy aktualizacji.

Producenci urządzeń, którzy udostępniają te aktualizacje, powinni ustawić poziom ciągu poprawek na:

  • [ro.build.version.security_patch]:[2024-09-01]
  • [ro.build.version.security_patch]:[2024-09-05]

W przypadku niektórych urządzeń z Androidem 10 lub nowszym aktualizacja systemu Google Play będzie miała ciąg znaków daty odpowiadający poziomowi poprawki zabezpieczeń z 2024-09-01. Więcej informacji o instalowaniu aktualizacji zabezpieczeń znajdziesz w tym artykule.

2. Dlaczego w tym komunikacie są 2 poziomy poprawek zabezpieczeń?

W tym komunikacie znajdują się 2 poziomy poprawek zabezpieczeń, dzięki którym partnerzy Androida mogą szybciej naprawiać podzbiór podatności na ataki, które są podobne na wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do rozwiązania wszystkich problemów opisanych w tym biuletynie i do korzystania z najnowszej poprawki zabezpieczeń.

  • Urządzenia korzystające z poziomu poprawki zabezpieczeń z 2024-09-01 muszą zawierać wszystkie problemy związane z tym poziomem poprawki zabezpieczeń, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia z poziomem poprawki zabezpieczeń 2024-09-05 lub nowszym muszą zawierać wszystkie poprawki z tego (i poprzednich) komunikatu bezpieczeństwa.

Zachęcamy partnerów do łączenia poprawek dotyczących wszystkich problemów, które rozwiązują, w jednym pakiecie.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów podatności odnoszą się do klasyfikacji podatności na zagrożenia.

Skrót Definicja
RCE Zdalne wykonywanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odniesienia?

Wpisy w kolumnie Odwołania w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odniesienia.

Prefiks Źródła wiedzy
A- Identyfikator błędu na Androidzie
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom
U- Numer referencyjny UNISOC

5. Co oznacza znak * obok identyfikatora błędu Androida w kolumnie Odwołania?

Problemy, które nie są dostępne publicznie, mają * obok odpowiedniego identyfikatora referencyjnego. Aktualizacja rozwiązująca ten problem jest zazwyczaj zawarta w najnowszych binarnych sterownikach urządzeń Pixel, które można pobrać na stronie dla deweloperów Google.

6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny o zabezpieczeniach urządzeń i partnerów, takie jak biuletyn o Pixelu?

Użytkownicy muszą zadeklarować najnowszy stan aktualizacji zabezpieczeń na urządzeniach z Androidem, aby rozwiązać luki w zabezpieczeniach opisane w tym biuletynie. Dodatkowe luki w zabezpieczeniach opisane w biuletynach dotyczących zabezpieczeń urządzenia lub partnera nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producenci urządzeń i chipsetów z Androidem mogą też publikować informacje o lukach w zabezpieczeniach dotyczące ich produktów, takich jak Huawei, LGE, Motorola, Nokia czy Samsung.

Wersje

Wersja Data Uwagi
1,0 3 września 2024 r. Biuletyn opublikowany