Published December 1, 2025 | Updated January 8, 2025
עדכון האבטחה הדחוף הזה ל-Android מכיל פרטים על נקודות חולשה שמשפיעות על מכשירי Android. תיקוני אבטחה מרמה 2025-12-05 ואילך פותרים את כל הבעיות האלה. במאמר איך בודקים מהי גרסת ה-Android ומעדכנים אותה מוסבר איך בודקים את רמת תיקון האבטחה במכשיר.
תוך 48 שעות אחרי הפרסום הראשוני של העדכון הזה, נפרסם את תיקוני קוד המקור התואמים במאגר של פרויקט הקוד הפתוח של Android (AOSP). לאחר מכן נעדכן את העלון הזה עם הקישורים ל-AOSP.
הבעיה החמורה ביותר היא פגיעות אבטחה קריטית ברכיב Framework, שעלולה להוביל למניעת שירות מרחוק ללא צורך בהרשאות ביצוע נוספות. הערכת חומרת הפגיעות מבוססת על ההשפעה האפשרית של ניצול הפגיעות על מכשיר מושפע, בהנחה שאמצעי ההגנה של הפלטפורמה והשירות מושבתים למטרות פיתוח או אם נעקפו בהצלחה.
פרטים נוספים על אמצעי ההגנה של פלטפורמת האבטחה של Android ועל Google Play Protect, שמשפרים את האבטחה של פלטפורמת Android, מופיעים בקטע אמצעי ההגנה של Android ו-Google Play Protect.
אנחנו מודיעים לשותפי Android על כל הבעיות לפחות חודש לפני פרסום העלון.
אמצעי הגנה ב-Android ובשירותי Google
זהו סיכום של אמצעי ההגנה שמסופקים על ידי פלטפורמת האבטחה של Android ועל ידי שירותי ההגנה, כמו Google Play Protect. היכולות האלה מפחיתות את הסיכוי שנקודות חולשה באבטחה ינוצלו לרעה ב-Android.
- שיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של הרבה בעיות ב-Android. מומלץ לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
- צוות האבטחה של Android עוקב באופן פעיל אחרי ניצול לרעה באמצעות Google Play Protect ומזהיר משתמשים מפני אפליקציות שעלולות להזיק. Google Play Protect מופעל כברירת מחדל במכשירים עם שירותי Google לנייד, והוא חשוב במיוחד למשתמשים שמתקינים אפליקציות ממקורות אחרים ולא מ-Google Play.
רמת תיקון האבטחה 2025-12-01 פרטי הפגיעות
בקטעים הבאים מפורטות כל פגיעויות האבטחה שרלוונטיות לרמת התיקון 2025-12-01. נקודות החולשה מקובצות לפי הרכיב שהן משפיעות עליו. הבעיות מתוארות בטבלאות שבהמשך, וכוללות את מזהה ה-CVE, הפניות למקורות חיצוניים, סוג נקודת החולשה, חומרת הבעיה ומספרי הגרסה המעודכנים של AOSP (אם רלוונטי). כשאפשר אנחנו מקשרים את התיקון שפורסם ופותר את הבעיה למזהה של הבאג, כמו ברשימת השינויים ב-AOSP. אם כמה עדכונים קשורים לאותו באג, אנחנו מקשרים מקורות נוספים למספרים שמופיעים אחרי המזהה של הבאג. יכול להיות שמכשירים עם Android מגרסה 10 ואילך יקבלו עדכוני אבטחה וגם עדכוני מערכת של Google Play.
Framework
הפגיעות החמורה ביותר בקטע הזה עלולה להוביל למניעת שירות מרחוק ללא צורך בהרשאות ביצוע נוספות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2025-22420 | A-337775777 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-32319 | A-291281543 | EoP | גבוהה | 16 |
| CVE-2025-32328 | A-327137311 | EoP | גבוהה | 13, 14, 15 |
| CVE-2025-32329 | A-326926596 | EoP | גבוהה | 13, 14, 15 |
| CVE-2025-48525 | A-391895151 [2] | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48564 | A-403565650 [2] [3] | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48565 | A-407763772 [2] [3] | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48572 | A-385736540 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48573 | A-339637822 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48580 | A-393582077 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48583 | A-381885240 | EoP | גבוהה | 14, 15, 16 |
| CVE-2025-48588 | A-303408193 | EoP | גבוהה | 13, 14, 15 |
| CVE-2025-48589 | A-362492829 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48594 | A-427206637 | EoP | גבוהה | 14, 15, 16 |
| CVE-2025-48596 | A-438098181 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48597 | A-436270922 | EoP | גבוהה | 14, 15, 16 |
| CVE-2025-48601 | A-426207912 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48618 | A-404254549 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48620 | A-352024705 [2] | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48621 | A-266433089 [2] | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48627 | A-326571066 | EoP | גבוהה | 13, 14 |
| CVE-2025-48629 | A-352518318 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48632 | A-443742829 | EoP | גבוהה | 14, 15, 16 |
| CVE-2025-48639 | A-301952571 [2] | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48591 | A-305710469 [2] | מזהה | גבוהה | 13, 14, 15 |
| CVE-2025-48592 | A-427113482 | מזהה | גבוהה | 15, 16 |
| CVE-2025-48628 | A-376462130 | מזהה | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48633 | A-417988098 | מזהה | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48576 | A-426205822 | DoS | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48584 | A-425662627 | DoS | גבוהה | 16 |
| CVE-2025-48590 | A-417987184 | DoS | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48603 | A-416259832 | DoS | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48607 | A-416490321 | DoS | גבוהה | 15, 16 |
| CVE-2025-48614 | A-430568718 | DoS | גבוהה | 13, 14, 15, 16 |
מערכת
הפגיעות החמורה ביותר בקטע הזה עלולה להוביל להעלאת רמת ההרשאות המקומית ולהפעלת פעילות ברקע ללא צורך בהרשאות ביצוע נוספות.
| CVE | קובצי עזר | סוג | מידת החומרה | גרסאות AOSP מעודכנות |
|---|---|---|---|---|
| CVE-2023-40130 | A-289809991 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-22432 | A-376461726 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48536 | A-388034510 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48566 | A-397216638 [2] [3] | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48575 | A-417463103 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48586 | A-337784859 | EoP | גבוהה | 15, 16 |
| CVE-2025-48598 | A-418774489 | EoP | גבוהה | 16 |
| CVE-2025-48599 | A-299633613 | EoP | גבוהה | 13, 14 |
| CVE-2025-48612 | A-429417453 | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48626 | A-381339822 [2] | EoP | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48555 | A-396666065 | מזהה | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48604 | A-305710989 | מזהה | גבוהה | 13, 14, 15, 16 |
| CVE-2025-48622 | A-412662901 [2] [3] | מזהה | גבוהה | 13, 14, 15, 16 |
עדכוני מערכת של Google Play
החודש לא נפתרו בעיות אבטחה בעדכוני המערכת של Google Play (פרויקט Mainline).
פרטים על פגיעות ברמת תיקון האבטחה 2025-12-05
בקטעים הבאים מפורטות כל נקודות החולשה באבטחה שרלוונטיות לרמת התיקון 2025-12-05. נקודות החולשה מקובצות לפי הרכיב שהן משפיעות עליו. הבעיות מתוארות בטבלאות שבהמשך, וכוללות את מזהה ה-CVE, הפניות למקורות חיצוניים, סוג נקודת החולשה, חומרת הבעיה ומספרי הגרסה המעודכנים של AOSP (אם רלוונטי). כשאפשר אנחנו מקשרים את התיקון שפורסם ופותר את הבעיה למזהה של הבאג, כמו ברשימת השינויים ב-AOSP. אם כמה עדכונים קשורים לאותו באג, אנחנו מקשרים מקורות נוספים למספרים שמופיעים אחרי המזהה של הבאג.
בועה
נקודת החולשה החמורה ביותר בקטע הזה עלולה להוביל להסלמת הרשאות (privilege escalation) ברמה המקומית ללא צורך בהרשאות ביצוע נוספות.
| CVE | קובצי עזר | סוג | מידת החומרה | רכיב משנה |
|---|---|---|---|---|
| CVE-2025-48623 | A-436580278 Upstream kernel [2] |
EoP | קריטית | pKVM |
| CVE-2025-48624 | A-443053939 Upstream kernel |
EoP | קריטית | IOMMU |
| CVE-2025-48637 | A-443763663 Upstream kernel [2] |
EoP | קריטית | pKVM |
| CVE-2025-48638 | A-442540376 Upstream kernel [2] |
EoP | קריטית | pKVM |
| CVE-2024-35970 | A-432804305 Upstream kernel [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29] |
EoP | גבוהה | נטו |
| CVE-2025-38236 | A-432753641 Upstream kernel [2] |
EoP | גבוהה | נטו |
| CVE-2025-38349 | A-432751421 Upstream kernel [2] |
EoP | גבוהה | EPoll |
| CVE-2025-48610 | A-432439762 Upstream kernel [2] |
מזהה | גבוהה | מכונה וירטואלית של ליבת מערכת ההפעלה |
| CVE-2025-38500 | A-436201996 Upstream kernel [2] |
EoP | בינונית | XFRM |
Kernel LTS
גרסאות הליבה הבאות עודכנו. עדכונים של גרסת הליבה תלויים בגרסת מערכת ההפעלה של Android בזמן השקת המכשיר.
| קובצי עזר | גרסת ההשקה של Android | גרסת ההשקה של הליבה | גרסת העדכון המינימלית |
|---|---|---|---|
| A-404245371 | 12 | 5.4 | 5.4.292 |
רכיבים של זרוע
נקודות החולשה האלה משפיעות על רכיבי Arm, ופרטים נוספים זמינים ישירות מ-Arm. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Arm.
| CVE | הפניות למקור חיצוני | מידת החומרה | רכיב משנה | |
|---|---|---|---|---|
| CVE-2025-6349 | A-428702264* | גבוהה | מאלי | |
| CVE-2025-8045 | A-443063131* | גבוהה | מאלי |
Imagination Technologies
הפגיעויות האלה משפיעות על רכיבים של Imagination Technologies, ופרטים נוספים זמינים ישירות מ-Imagination Technologies. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Imagination Technologies.
| CVE | הפניות למקור חיצוני | מידת החומרה | רכיב משנה |
|---|---|---|---|
| CVE-2025-6573 | A-384999601* | גבוהה | PowerVR-GPU |
| CVE-2025-25177 | A-416692063* | גבוהה | PowerVR-GPU |
| CVE-2025-46711 | A-425907218* | גבוהה | PowerVR-GPU |
| CVE-2025-58410 | A-429381687* | גבוהה | PowerVR-GPU |
רכיבים של MediaTek
נקודות החולשה האלה משפיעות על רכיבי MediaTek, ופרטים נוספים זמינים ישירות מ-MediaTek. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי MediaTek.
| CVE | הפניות למקור חיצוני | מידת החומרה | רכיב משנה | |
|---|---|---|---|---|
| CVE-2025-20725 | A-442288325 M-MOLY01671924* |
גבוהה | שירות IMS | |
| CVE-2025-20726 | A-442288324 M-MOLY01672598* |
גבוהה | מודם | |
| CVE-2025-20727 | A-442295794 M-MOLY01672601* |
גבוהה | מודם | |
| CVE-2025-20730 | A-442288321 M-ALPS10068463* |
גבוהה | כלי לטעינה מראש | |
| CVE-2025-20750 | A-445777810 M-MOLY01661199* |
גבוהה | מודם | |
| CVE-2025-20751 | A-445793670 M-MOLY01661195* |
גבוהה | מודם | |
| CVE-2025-20752 | A-445793668 M-MOLY01270690* |
גבוהה | מודם | |
| CVE-2025-20753 | A-445785195 M-MOLY01689252* |
גבוהה | מודם | |
| CVE-2025-20754 | A-445785196 M-MOLY01689251* |
גבוהה | מודם | |
| CVE-2025-20755 | A-445793671 M-MOLY00628396* |
גבוהה | מודם | |
| CVE-2025-20756 | A-445793666 M-MOLY01673749* |
גבוהה | מודם | |
| CVE-2025-20757 | A-445775439 M-MOLY01673751* |
גבוהה | מודם | |
| CVE-2025-20758 | A-445775438 M-MOLY01673755* |
גבוהה | מודם | |
| CVE-2025-20759 | A-445775437 M-MOLY01673760* |
גבוהה | מודם | |
| CVE-2025-20790 | A-445775436 M-MOLY01677581* |
גבוהה | מודם | |
| CVE-2025-20791 | A-445785199 M-MOLY01661189* |
גבוהה | מודם | |
| CVE-2025-20792 | A-446071856 M-MOLY01717526* |
גבוהה | מודם |
רכיבי Unisoc
נקודות החולשה באבטחה משפיעות על רכיבי Unisoc, ופרטים נוספים זמינים ישירות מ-Unisoc. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Unisoc.
| CVE | הפניות למקור חיצוני | מידת החומרה | רכיב משנה | |
|---|---|---|---|---|
| CVE-2025-31717 | A-435065128 U-3037449* |
גבוהה | מודם | |
| CVE-2025-31718 | A-435076697 U-3037571* |
גבוהה | מודם | |
| CVE-2025-3012 | A-448234052 U-3080225* |
גבוהה | מודם | |
| CVE-2025-11131 | A-448236351 U-3079792* |
גבוהה | מודם | |
| CVE-2025-11132 | A-448253912 U-3080198* |
גבוהה | מודם | |
| CVE-2025-11133 | A-448236352 U-3080202* |
גבוהה | מודם | |
| CVE-2025-61607 | A-448276915 U-3080265* |
גבוהה | מודם | |
| CVE-2025-61608 | A-448275674 U-3080269* |
גבוהה | מודם | |
| CVE-2025-61609 | A-448277338 U-3080271* |
גבוהה | מודם | |
| CVE-2025-61610 | A-448275675 U-3080273* |
גבוהה | מודם | |
| CVE-2025-61617 | A-448253913 U-3080233* |
גבוהה | מודם | |
| CVE-2025-61618 | A-448277334 U-3080237* |
גבוהה | מודם | |
| CVE-2025-61619 | A-448276914 U-3080263* |
גבוהה | מודם |
רכיבים של Qualcomm
נקודות החולשה האלה משפיעות על רכיבי Qualcomm, והן מתוארות בפירוט נוסף בחדשות האבטחה או בהתראת האבטחה המתאימים של Qualcomm. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Qualcomm.
| CVE | הפניות למקור חיצוני | מידת החומרה | רכיב משנה |
|---|---|---|---|
| CVE-2025-47351 | A-430043154 QC-CR#4115551 |
גבוהה | בועה |
| CVE-2025-47354 | A-430042895 QC-CR#4090786 |
גבוהה | בועה |
| CVE-2025-47382 | A-442620646 QC-CR#4152954 |
גבוהה | תוכנת אתחול |
רכיבים של Qualcomm שהקוד שלהם סגור
נקודות החולשה האלה משפיעות על רכיבים של Qualcomm שהקוד שלהם סגור, והן מתוארות בפירוט נוסף בפרסום או באזהרת האבטחה הרלוונטיים של Qualcomm. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Qualcomm.
| CVE | הפניות למקור חיצוני | מידת החומרה | רכיב משנה |
|---|---|---|---|
| CVE-2025-47319 | A-421905250* | קריטית | רכיב שהקוד שלו סגור |
| CVE-2025-47372 | A-442619421* | קריטית | רכיב שהקוד שלו סגור |
| CVE-2025-27053 | A-409046800* | גבוהה | רכיב שהקוד שלו סגור |
| CVE-2025-27054 | A-409047704* | גבוהה | רכיב שהקוד שלו סגור |
| CVE-2025-27070 | A-415773046* | גבוהה | רכיב שהקוד שלו סגור |
| CVE-2025-27074 | A-415772654* | גבוהה | רכיב שהקוד שלו סגור |
| CVE-2025-47323 | A-421904320* | גבוהה | רכיב שהקוד שלו סגור |
| CVE-2025-47370 | A-436259460* | גבוהה | רכיב שהקוד שלו סגור |
תשובות לשאלות נפוצות
בקטע הזה תמצאו תשובות לשאלות נפוצות שיכולות לעלות אחרי שתקראו את פרטי העדכון הזה.
1. איך אפשר לבדוק אם המכשיר שלי קיבל את העדכון שפותר את הבעיות האלה?
במאמר איך בודקים ומעדכנים את גרסת Android שמותקנת במכשיר מוסבר איך בודקים את רמת תיקוני האבטחה במכשיר.
- תיקוני אבטחה מרמה 2025-12-01 ואילך פותרים את כל הבעיות שמשויכות להם.
- תיקוני אבטחה מרמה 2025-12-05 ואילך פותרים את כל הבעיות שמשויכות להם וגם את אלה שמשויכות לתיקונים קודמים.
יצרני מכשירים שכוללים את העדכונים האלה צריכים להגדיר את הרמה של מחרוזת התיקון לערך הבא:
- [ro.build.version.security_patch]:[2025-12-01]
- [ro.build.version.security_patch]:[2025-12-05]
במכשירים מסוימים עם Android מגרסה 10 ואילך, לעדכון של מערכת Google Play יהיה מחרוזת תאריך שתואמת לרמה של תיקוני האבטחה מ-2025-12-01. במאמר הזה מוסבר איך להתקין עדכוני אבטחה.
2. למה בחדשות האבטחה האלה יש שתי רמות של תיקוני אבטחה?
בחדשות האבטחה האלה יש שתי רמות של תיקוני אבטחה, כדי ששותפי Android יוכלו לתקן במהירות רבה יותר קבוצת משנה של נקודות חולשה שדומות בכל מכשירי Android. אנחנו ממליצים לשותפי Android לפתור את כל הבעיות שמפורטות בעדכון הזה ולהשתמש בתיקוני האבטחה ברמה הכי עדכנית.
- מכשירים שמשתמשים בתיקוני אבטחה ברמה 2025-12-01 חייבים לכלול את כל הבעיות שמשויכות לרמת תיקוני האבטחה הזו, וגם תיקונים לכל הבעיות שדווחו בחדשות אבטחה קודמות.
- במכשירים שבהם רמת תיקוני האבטחה היא 2025-12-05 או חדשה יותר, צריך לכלול את כל התיקונים הרלוונטיים בחדשות האבטחה האלה (ובחדשות קודמות).
אנחנו ממליצים לשותפים לאגד את התיקונים לכל הבעיות שהם מטפלים בהן בעדכון אחד.
3. מה המשמעות של הערכים בעמודה סוג?
הערכים בעמודה סוג בטבלת הפרטים של נקודות החולשה מתייחסים לסיווג שלהן.
| קיצור | ההגדרה |
|---|---|
| RCE | הרצת קוד מרחוק |
| EoP | רמת הרשאה גבוהה יותר |
| ID | חשיפת מידע |
| DoS | התקפת מניעת שירות |
| N/A | אין סיווג |
4. מה המשמעות של הערכים בעמודה הפניות למקורות חיצוניים?
מידע על הערכים בעמודה הפניות למקורות חיצוניים בטבלה של פרטי נקודות החולשה: יש מקרים שבהם לערך יש תחילית שמציינת לאיזה ארגון משויך מקור המידע החיצוני.
| תחילית | מקור המידע החיצוני |
|---|---|
| A- | מזהה באג ב-Android |
| QC- | מספר סימוכין של Qualcomm |
| M- | מספר סימוכין של MediaTek |
| N- | מספר סימוכין של NVIDIA |
| B- | מספר סימוכין של Broadcom |
| U- | מספר סימוכין של UNISOC |
5. מה המשמעות של הכוכבית (*) לצד מזהה הבאג ב-Android בעמודה הפניות למקור חיצוני?
אם הנתונים על הבעיה לא פורסמו לציבור הרחב, יש סימן * לצד מזהה ההפניה המתאים. העדכון לבעיה הזו בדרך כלל כלול במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Pixel שזמינים באתר המפתחים של Google.
6. למה חלק מנקודות החולשה מפורטות כאן וחלק בחדשות האבטחה של מכשירים או שותפים, כמו החדשות של Pixel?
כדי שנוכל להצהיר על תיקוני האבטחה ברמה הכי עדכנית למכשירי Android, אנחנו חייבים לתעד בעדכון האבטחה הזה את נקודות החולשה הרלוונטיות. אין צורך לתעד שם נקודות חולשה נוספות בשביל זה. יצרנים של מכשירי Android וערכות שבבים עשויים לפרסם גם פרטים על נקודות חולשה באבטחה שספציפיות למוצרים שלהם, כמו Google, Huawei, LGE, Motorola, Nokia או Samsung.
גרסאות
| הגרסה | תאריך | הערות |
|---|---|---|
| 1.0 | 1 בדצמבר 2025 | תאריך פרסום העדכון |
| 1.1 | 4 בדצמבר 2025 | הודעה על עדכון שכולל קישורים ל-AOSP |
| 1.2 | 17 בדצמבר 2025 | הסרנו את CVE-2025-48600 ו-CVE-2025-48615 מ-ASB#2025-12 בגלל תיקון לא מלא. יכול להיות שהשותפים ישמרו את התיקונים האלה. תיקון מעודכן יידרש כחלק מעדכון אבטחה עתידי של Android. |
| 1.3 | 8 בינואר 2026 | הוסר CVE-2025-48631 בגלל תיקון לא מלא ל-Android 16 25Q4. כל שאר הגרסאות של Android תקינות. השותפים יכולים לשמור את התיקון הזה. תיקון מעודכן יידרש כחלק מ-ASB#2026-03 Android Security Bulletin. |