עלון עדכון מערכת ההפעלה Android Automotive—דצמבר 2021

עלון עדכון מערכת ההפעלה Android Automotive—דצמבר 2021

פורסם ב-6 בדצמבר 2021

עלון העדכון של Android Automotive OS (AAOS) מכיל פרטים על פרצות אבטחה המשפיעות על פלטפורמת Android Automotive OS. העדכון AAOS מלא כולל רמת תיקון האבטחה של 2021/12/05 או במאוחר מן עלון אבטחה אנדרואיד בדצמבר 2021 , בנוסף לכל הבעיות בעלון זה.

אנו מעודדים את כל הלקוחות לקבל עדכונים אלה למכשירים שלהם.

החמורה ביותר מבין הבעיות הללו היא פגיעות אבטחה גבוהה ברכיב ה-Platform Apps שעלולה לאפשר לאפליקציה זדונית מקומית לעקוף את דרישות האינטראקציה של המשתמש כדי לקבל גישה להרשאות נוספות. הערכת החומרה מבוססת על ההשפעה שתהיה לניצול הפגיעות ואולי יצטרך על התקן מושפע, בהנחת הקלות הפלטפורמה ושירות כבויות למטרות פיתוח או אם עקפו בהצלחה.

הכרזות

  • בנוסף לפרצות האבטחה המתוארות בעלון האבטחה של אנדרואיד דצמבר 2021, עלון העדכון של Android Automotive OS של דצמבר 2021 מכיל גם תיקונים ספציפיים עבור פרצות AAOS כמתואר להלן.

2021-12-01 פרטי פגיעות ברמת תיקון האבטחה

בסעיפים שלהלן, אנו מספקים פרטים עבור כל אחת מפגיעות האבטחה החלות על רמת התיקון של 2021-12-01. פגיעויות מקובצות תחת הרכיב שהם משפיעים. סוגיות מתוארות בטבלאות שלהלן כוללות CVE מזהה, אזכור קשור, סוג של פגיעות , חומרה , וכן גרסות AOSP מעודכנות (לפי עניין). כאשר זמין, אנו מקשרים את השינוי הציבורי שטיפל בבעיה למזהה הבאג, כמו רשימת השינויים של AOSP. כאשר שינויים מרובים מתייחסים לבאג בודד, הפניות נוספות מקושרות למספרים בעקבות מזהה הבאג. התקנים עם 10 אנדרואיד ובהמשך עשוי לקבל עדכוני אבטחה וכן עדכוני מערכת ההפעלה Google .

אפליקציות פלטפורמה

הפגיעות החמורה ביותר בסעיף זה עלולה לאפשר לאפליקציה זדונית מקומית לעקוף את דרישות האינטראקציה של המשתמש כדי לקבל גישה להרשאות נוספות.
CVE הפניות סוּג חוּמרָה גרסאות AOSP מעודכנות
CVE-2021-1039 א-182808318 EoP גָבוֹהַ 9, 10, 11, 12
CVE-2021-1040 א-182810085 EoP גָבוֹהַ 9, 10, 11, 12
CVE-2021-1038 א-183411279 DoS גָבוֹהַ 9, 10, 11, 12

שאלות ותשובות נפוצות

סעיף זה עונה על שאלות נפוצות שעלולות להתרחש לאחר קריאת עלון זה.

1. כיצד אוכל לקבוע אם המכשיר שלי מעודכן כדי לטפל בבעיות אלו?

כדי ללמוד כיצד לבדוק רמת תיקון אבטחה של מכשיר, לקרוא את ההוראות על זמני עדכון למכשיר Google .

  • רמות תיקון האבטחה של 2021-12-01 ואילך מטפלות בכל הבעיות הקשורות לרמת תיקון האבטחה של 2021-12-01.

יצרני מכשירים הכוללים עדכונים אלה צריכים להגדיר את רמת מחרוזת התיקון ל:

  • [ro.build.version.security_patch]:[2021-12-01]

עבור מכשירים מסוימים ב-Android 10 ואילך, לעדכון מערכת Google Play תהיה מחרוזת תאריך התואמת את רמת תיקון האבטחה של 2021-12-01. אנא ראה את המאמר הזה לקבלת פרטים נוספים על אופן התקנת עדכוני אבטחה.

2. מה לעשות הערכים הממוצעים בעמודת סוג?

לערכים בעמודת הסוג של פגיעות מפרט התייחסות שולחן הסיווג של פגיעות האבטחה.

נוֹטָרִיקוֹן הַגדָרָה
RCE ביצוע קוד מרחוק
EoP העלאת הפריבילגיה
תְעוּדַת זֶהוּת גילוי מידע
DoS מניעת שירות
לא סיווג אינו זמין

3. מה לעשות הערכים הממוצעים בעמודת הפניות?

רשום תחת עמודת ההפניות של שולחן פרטי פגיעות עלולים להכיל קידומת זיהוי הארגון שאליו לערך הייחוס שייך.

קידומת התייחסות
א- מזהה באג אנדרואיד
QC- מספר סימוכין של קוואלקום
M- מספר סימוכין של MediaTek
נ- מספר סימוכין של NVIDIA
ב- מספר סימוכין של Broadcom
U- מספר סימוכין של UNISOC

4. מה עושה * לצד הזיהוי באג אנדרואיד בתוחלת הפניות לעמודות?

לבעיות שאינן זמינות לציבור יש * ליד מזהה ההפניה המתאים. העדכון עבור בעיה כי הוא הכיל בדרך כלל הנהגים בינארי החדשים ביותר עבור התקנים פיקסל זמינים באתר המפתחים של גוגל .

5. מדוע פרצות אבטחה מתחלקות בין עלון זה לבין עלוני אבטחה של מכשיר/שותף, כגון עלון Pixel?

פרצות אבטחה המתועדות בעלון אבטחה זה נדרשות כדי להצהיר על רמת תיקון האבטחה העדכנית ביותר במכשירי אנדרואיד. פרצות אבטחה נוספות המתועדות בעלוני האבטחה של המכשיר / השותף אינן נדרשות להכרזה על רמת תיקון אבטחה. מכשיר שבבים אנדרואיד יצרנים ייתכן שיפרסמו פרטים פגיעי אבטחה ספציפית למוצרים שלהם, כגון גוגל , Huawei , LGE , מוטורולה , נוקיה , או סמסונג .

גרסאות

גִרְסָה תַאֲרִיך הערות
1.0 6 בדצמבר 2021 פורסם עלון