A partir de 27 de março de 2025, recomendamos usar android-latest-release em vez de aosp-main para criar e contribuir com o AOSP. Para mais informações, consulte Mudanças no AOSP.

Esta página foi traduzida pela API Cloud Translation.

Boletim de segurança do Android: julho de 2016

Publicado em 6 de julho de 2016 | Atualizado em 1º de abril de 2019

O Boletim de segurança do Android contém detalhes das vulnerabilidades de segurança que afetam os dispositivos Android. Além do boletim, lançamos uma atualização de segurança para dispositivos Nexus por uma atualização over the air (OTA). As imagens do firmware do Nexus também foram lançadas no site para desenvolvedores do Google. Os níveis de patch de segurança de 5 de julho de 2016 ou mais recentes abordam todos os problemas aplicáveis neste boletim. Consulte a documentação para saber como verificar o nível do patch de segurança.

Os parceiros foram notificados sobre os problemas descritos no boletim em 6 de junho de 2016 ou antes. Quando aplicável, os patches de código-fonte para esses problemas foram lançados no repositório do Android Open Source Project (AOSP). Este boletim também inclui links para patches fora do AOSP.

O problema mais grave é uma vulnerabilidade de segurança crítica que pode permitir a execução remota de código em um dispositivo afetado por vários métodos, como e-mail, navegação na Web e MMS ao processar arquivos de mídia. A avaliação de gravidade é baseada no efeito que a exploração da vulnerabilidade teria em um dispositivo afetado, supondo que as mitigações de plataforma e serviço estejam desativadas para fins de desenvolvimento ou se forem contornadas.

Não recebemos relatos de exploração ou abuso ativo de clientes desses problemas recém-informados. Consulte a seção Mitigações de serviços do Google e do Android para saber mais sobre as proteções da plataforma de segurança do Android e as proteções de serviço, como a SafetyNet, que melhoram a segurança da plataforma Android.

Recomendamos que todos os clientes aceitem essas atualizações nos dispositivos.

Anúncios

Este boletim define duas strings de nível de patch de segurança para oferecer aos parceiros do Android a flexibilidade de corrigir um subconjunto de vulnerabilidades semelhantes em todos os dispositivos Android. Consulte Perguntas e respostas comuns para mais informações:
- 2016-07-01: string de nível do patch de segurança parcial. Essa string de nível de patch de segurança indica que todos os problemas associados a 2016-07-01 foram resolvidos.
- 2016-07-05: string de nível do patch de segurança completa. Essa string de nível de patch de segurança indica que todos os problemas associados a 2016-07-01 e 2016-07-05 foram resolvidos.
Os dispositivos Nexus compatíveis vão receber uma única atualização OTA com o nível do patch de segurança de 5 de julho de 2016.

Mitigações do Android e dos serviços do Google

Este é um resumo das mitigações fornecidas pela plataforma de segurança do Android e proteções de serviço, como a SafetyNet. Esses recursos reduzem a probabilidade de vulnerabilidades de segurança serem exploradas com sucesso no Android.

A exploração de muitos problemas no Android fica mais difícil devido às melhorias nas versões mais recentes da Plataforma Android. Recomendamos que todos os usuários atualizem para a versão mais recente do Android, sempre que possível.
A equipe de segurança do Android monitora ativamente os abusos com Verify Apps e SafetyNet, que foram criados para alertar os usuários sobre aplicativos potencialmente nocivos. A verificação de apps é ativada por padrão em dispositivos com Google Mobile Services e é especialmente importante para usuários que instalam apps fora do Google Play. Ferramentas de enraizamento de dispositivos são proibidas no Google Play, mas o recurso "Verificar apps" alerta os usuários quando eles tentam instalar um aplicativo de enraizamento detectado, não importa a origem. Além disso, o Verify Apps tenta identificar e bloquear a instalação de aplicativos maliciosos conhecidos que exploram uma vulnerabilidade de elevação de privilégios. Se esse aplicativo já tiver sido instalado, o recurso Verificar apps vai notificar o usuário e tentar remover o aplicativo detectado.
Conforme apropriado, os apps do Google Hangouts e do Messenger não transmitem mídia automaticamente para processos como o Mediaserver.

Agradecimentos

Agradecemos as contribuições dos seguintes pesquisadores:

Abhishek Arya, Oliver Chang e Martin Barbella, da equipe de segurança do Google Chrome: CVE-2016-3756, CVE-2016-3741, CVE-2016-3743, CVE-2016-3742
Adam Donenfeld e outros da Check Point Software Technologies Ltd.: CVE-2016-2503
Adam Powell, do Google: CVE-2016-3752
Alex Chapman e Paul Stone da Context Information Security: CVE-2016-3763
Andy Tyler (@ticarpi) do e2e-assure: CVE-2016-2457
Ben Hawkes do Project Zero do Google: CVE-2016-3775
Chiachih Wu (@chiachih_wu), Yuan-Tsung Lo (computernik@gmail.com) e Xuxian Jiang da Equipe C0RE: CVE-2016-3770, CVE-2016-3771, CVE-2016-3772, CVE-2016-3773, CVE-2016-3774
Christopher Tate, do Google: CVE-2016-3759
Di Shen (@returnsme) do KeenLab (@keen_lab), Tencent: CVE-2016-3762
Gengjia Chen (@chengjia4574), pjf (weibo.com/jfpan) do IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-3806, CVE-2016-3816, CVE-2016-3805, CVE-2016-3804, CVE-2016-3767, CVE-2016-3810, CVE-2016-3795, CVE-2016-3796
Greg Kaiser, da equipe do Google Android: CVE-2016-3758
Guang Gong (龚广) (@oldfresher) da equipe de segurança para dispositivos móveis, Qihoo 360 Technology Co. Ltd: CVE-2016-3764
Hao Chen e Guang Gong da equipe Alpha, Qihoo 360 Technology Co. Ltd.: CVE-2016-3792, CVE-2016-3768
Hao Qin, do Security Research Lab, Cheetah Mobile: CVE-2016-3754, CVE-2016-3766
Jianqiang Zhao (@jianqiangzhao) e pjf (weibo.com/jfpan) do IceSword Lab, Qihoo 360 Technology Co. Ltd: CVE-2016-3814, CVE-2016-3802, CVE-2016-3769, CVE-2016-3807, CVE-2016-3808
Marco Nelissen, do Google: CVE-2016-3818
Marca Mark do Google Project Zero: CVE-2016-3757
Michał Bednarski: CVE-2016-3750
Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) e Xuxian Jiang da Equipe C0RE: CVE-2016-3747, CVE-2016-3746, CVE-2016-3765
Peng Xiao, Chengming Yang, Ning You, Chao Yang e Yang Ssong, do Alibaba Mobile Security Group: CVE-2016-3800, CVE-2016-3799, CVE-2016-3801, CVE-2016-3812, CVE-2016-3798
Peter Pi (@heisecode) da Trend Micro: CVE-2016-3793
Ricky Wai, do Google: CVE-2016-3749
Roeland Krak: CVE-2016-3753
Scott Bauer (@ScottyBauer1): CVE-2016-3797, CVE-2016-3813, CVE-2016-3815, CVE-2016-2501, CVE-2016-2502
Vasily Vasilev: CVE-2016-2507
Weichao Sun (@sunblate) da Alibaba Inc.: CVE-2016-2508, CVE-2016-3755
Wen Niu (@NWMonster) do KeenLab (@keen_lab), Tencent: CVE-2016-3809
Xiling Gong, do Departamento de Plataforma de Segurança da Tencent: CVE-2016-3745
Yacong Gu, do TCA Lab, Instituto de Software, Academia Chinesa de Ciências: CVE-2016-3761
Yongke Wang (@Rudykewang) da Xuanwu LAB, Tencent: CVE-2016-2505
Yongke Wang (@Rudykewang) e Wei Wei (@Danny__Wei) do Xuanwu LAB, Tencent: CVE-2016-2506
Yulong Zhang e Tao (Lenx) Wei do Baidu X-Lab: CVE-2016-3744

Nível do patch de segurança de 01/07/2016: detalhes da vulnerabilidade de segurança

Nas seções abaixo, fornecemos detalhes sobre cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 2016-07-01. Há uma descrição do problema, um raciocínio sobre a gravidade e uma tabela com as vulnerabilidades e exposições comuns, as referências associadas, a gravidade, os dispositivos Nexus atualizados, as versões do AOSP atualizadas (quando aplicável) e a data de denúncia. Quando disponível, vamos vincular a mudança pública que resolveu o problema ao ID do bug, como a lista de mudanças do AOSP. Quando várias mudanças se relacionam a um único bug, outras referências são vinculadas a números após o ID do bug.

Vulnerabilidade de execução remota de código no Mediaserver

Uma vulnerabilidade de execução remota de código no Mediaserver pode permitir que um invasor use um arquivo criado especialmente para causar corrupção de memória durante o processamento de arquivos de mídia e dados. Esse problema é classificado como crítico devido à possibilidade de execução remota de código no contexto do processo do Mediaserver. O processo do Mediaserver tem acesso a streams de áudio e vídeo, além de privilégios que apps de terceiros normalmente não podem acessar.

A funcionalidade afetada é fornecida como parte principal do sistema operacional e há vários aplicativos que permitem o acesso a ela com conteúdo remoto, principalmente MMS e reprodução de mídia no navegador.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-2506	A-28175045	Crítico	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	11 de abril de 2016
CVE-2016-2505	A-28333006	Crítico	Todos os Nexus	6.0, 6.0.1	21 de abril de 2016
CVE-2016-2507	A-28532266	Crítico	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	2 de maio de 2016
CVE-2016-2508	A-28799341 [2]	Crítico	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	16 de maio de 2016
CVE-2016-3741	A-28165661 [2]	Crítico	Todos os Nexus	6.0, 6.0.1	Uso interno do Google
CVE-2016-3742	A-28165659	Crítico	Todos os Nexus	6.0, 6.0.1	Uso interno do Google
CVE-2016-3743	A-27907656	Crítico	Todos os Nexus	6.0, 6.0.1	Uso interno do Google

Vulnerabilidade de execução remota de código no OpenSSL e BoringSSL

Uma vulnerabilidade de execução remota de código no OpenSSL e no BoringSSL pode permitir que um invasor use um arquivo criado especialmente para causar corrupção de memória durante o processamento de arquivos e dados. Esse problema é classificado como crítico devido à possibilidade de execução remota de código no contexto de um processo afetado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-2108	A-28175332	Crítico	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	3 de maio de 2016

Vulnerabilidade de execução remota de código no Bluetooth

Uma vulnerabilidade de execução remota de código no Bluetooth pode permitir que um invasor próximo execute códigos arbitrários durante o processo de pareamento. Esse problema é classificado como Alto devido à possibilidade de execução remota de código durante a inicialização de um dispositivo Bluetooth.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3744	A-27930580	Alta	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	30 de março de 2016

Vulnerabilidade de elevação de privilégio no libpng

Uma vulnerabilidade de elevação de privilégios no libpng pode permitir que um aplicativo local malicioso execute código arbitrário no contexto de um aplicativo do sistema com privilégios elevados. Essa questão foi classificada como alta porque pode ser usada para ter acesso local a recursos elevados, como Signature ou privilégios de permissões SignatureOrSystem, que não são acessíveis a um aplicativo de terceiros.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3751	A-23265085	Alta	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	3 de dezembro de 2015

Vulnerabilidade de elevação de privilégio no Mediaserver

Uma elevação de vulnerabilidade de privilégio no Mediaserver pode permitir que um aplicativo malicioso local execute código arbitrário no contexto de um aplicativo de sistema elevado. Esse problema foi classificado como "Alto" porque pode ser usado para conseguir acesso local a recursos elevados, como Signature ou SignatureOrSystem privilégios de permissões, que não são acessíveis a um aplicativo de terceiros.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3745	A-28173666	Alta	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	10 de abril de 2016
CVE-2016-3746	A-27890802	Alta	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	27 de março de 2016
CVE-2016-3747	A-27903498	Alta	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	28 de março de 2016

Elevação de vulnerabilidade de privilégio em soquetes

Uma elevação de vulnerabilidade de privilégio em soquetes pode permitir que um aplicativo malicioso local acesse chamadas do sistema fora do nível de permissões. Esse problema é classificado como Alto porque pode permitir a evasão de medidas de segurança em vigor para aumentar a dificuldade dos invasores que exploram a plataforma.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3748	A-28171804	Alta	Todos os Nexus	6.0, 6.0.1	13 de abril de 2016

Vulnerabilidade de elevação de privilégio no LockSettingsService

Uma elevação de vulnerabilidade de privilégio no LockSettingsService pode permitir que um aplicativo malicioso redefina a senha de bloqueio de tela sem autorização do usuário. Esse problema é classificado como Alto porque é um desvio local dos requisitos de interação do usuário para qualquer modificação nas configurações de segurança ou de desenvolvedor.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3749	A-28163930	Alta	Todos os Nexus	6.0, 6.0.1	Uso interno do Google

Vulnerabilidade de elevação de privilégio em APIs do framework

Uma elevação de vulnerabilidade de privilégio nas APIs do Parcels Framework pode permitir que um aplicativo malicioso local ignore as proteções do sistema operacional que isolam os dados de um aplicativo de outros. Esse problema é classificado como Alto porque pode ser usado para acessar dados a que o aplicativo não tem acesso.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3750	A-28395952	Alta	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	16 de dezembro de 2015

Vulnerabilidade de elevação de privilégio no serviço ChooserTarget

Uma vulnerabilidade de elevação de privilégio no serviço ChooserTarget pode permitir que um aplicativo malicioso local execute código no contexto de outro aplicativo. Esse problema tem classificação alta porque pode ser usado para acessar atividades pertencentes a outro aplicativo sem permissão.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3752	A-28384423	Alta	Todos os Nexus	6.0, 6.0.1	Uso interno do Google

Vulnerabilidade de divulgação de informações no Mediaserver

Uma vulnerabilidade de divulgação de informações no Mediaserver pode permitir que um invasor remoto acesse dados protegidos que normalmente só podem ser acessados por apps instalados localmente que solicitam permissão. Esse problema foi classificado como Alto porque pode ser usado para acessar dados sem permissão.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3753	A-27210135	Alta	Nenhuma*	4.4.4	15 de fevereiro de 2016

* Os dispositivos Nexus com suporte que instalaram todas as atualizações disponíveis não são afetados por essa vulnerabilidade.

Vulnerabilidade de divulgação de informações no OpenSSL

Uma vulnerabilidade de divulgação de informações no OpenSSL pode permitir que um invasor remoto acesse dados protegidos normalmente acessíveis apenas a apps instalados localmente que solicitam permissão. Esse problema foi classificado como Alto porque pode ser usado para acessar dados sem permissão.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-2107	A-28550804	Alta	Nenhuma*	4.4.4, 5.0.2, 5.1.1	13 de abril de 2016

* Os dispositivos Nexus com suporte que instalaram todas as atualizações disponíveis não são afetados por essa vulnerabilidade.

Vulnerabilidade de negação de serviço no Mediaserver

Uma vulnerabilidade de negação de serviço no Mediaserver pode permitir que um invasor use um arquivo criado especialmente para causar uma falha ou reinicialização do dispositivo. Esse problema é classificado como Alto devido à possibilidade de uma negação de serviço remota temporária.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3754	A-28615448 [2]	Alta	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	5 de maio de 2016
CVE-2016-3755	A-28470138	Alta	Todos os Nexus	6.0, 6.0.1	29 de abril de 2016
CVE-2016-3756	A-28556125	Alta	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	Uso interno do Google

Vulnerabilidade de negação de serviço no libc

Uma vulnerabilidade de negação de serviço no libc pode permitir que um invasor use um arquivo criado especialmente para causar uma falha ou reinicialização do dispositivo. Esse problema é classificado como alto devido à possibilidade de negação de serviço remota.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3818	A-28740702 [2]	Alta	Nenhuma*	4.4.4	Uso interno do Google

* Os dispositivos Nexus com suporte que instalaram todas as atualizações disponíveis não são afetados por essa vulnerabilidade.

Vulnerabilidade de elevação de privilégios no lsof

Uma elevação de vulnerabilidade de privilégio no lsof pode permitir que um aplicativo malicioso local execute um código arbitrário que possa levar a uma comprometimento permanente do dispositivo. Esse problema é classificado como moderado porque requer etapas manuais incomuns.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3757	A-28175237	Moderada	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	11 de abril de 2016

Elevação de vulnerabilidade de privilégio no DexClassLoader

Uma elevação de vulnerabilidade de privilégio no DexClassLoader pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto de um processo privilegiado. Esse problema é considerado moderado porque requer etapas manuais incomuns.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3758	A-27840771	Moderada	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	Uso interno do Google

Vulnerabilidade de elevação de privilégio em APIs do framework

Uma elevação de vulnerabilidade de privilégio nas APIs do framework pode permitir que um aplicativo malicioso local solicite permissões de backup e intercepte todos os dados de backup. Esse problema é considerado moderado porque requer permissões específicas para ignorar as proteções do sistema operacional que isolam os dados de um app de outros.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3759	A-28406080	Moderada	Todos os Nexus	5.0.2, 5.1.1, 6.0, 6.0.1	Uso interno do Google

Vulnerabilidade de elevação de privilégio no Bluetooth

Uma elevação de vulnerabilidade de privilégio no componente Bluetooth pode permitir que um invasor local adicione um dispositivo Bluetooth autenticado que persiste para o usuário principal. Esse problema foi classificado como moderado porque pode ser usado para acessar recursos elevados sem a permissão explícita do usuário.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3760	A-27410683 [2] [3]	Moderada	Todos os Nexus	5.0.2, 5.1.1, 6.0, 6.0.1	29 de fevereiro de 2016

Vulnerabilidade de elevação de privilégios na NFC

Uma elevação de vulnerabilidade de privilégio no NFC pode permitir que um aplicativo de segundo plano malicioso local acesse informações de um aplicativo em primeiro plano. Esse problema é considerado moderado porque pode ser usado para ter recursos elevado sem a permissão explícita do usuário.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3761	A-28300969	Moderada	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	20 de abril de 2016

Elevação de vulnerabilidade de privilégio em soquetes

Uma elevação de vulnerabilidade de privilégio em soquetes pode permitir que um aplicativo malicioso local tenha acesso a determinados tipos de soquetes incomuns, o que pode levar à execução de código arbitrário no contexto do kernel. Esse problema é classificado como moderado porque pode permitir a burla de medidas de segurança para aumentar a dificuldade dos invasores de explorar a plataforma.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3762	A-28612709	Moderada	Todos os Nexus	5.0.2, 5.1.1, 6.0, 6.0.1	21 de abril de 2016

Vulnerabilidade de divulgação de informações na autoconfiguração de proxy

Uma vulnerabilidade de divulgação de informações no componente de configuração automática de proxy pode permitir que um aplicativo acesse informações sensíveis. Esse problema foi classificado como moderado porque pode ser usado para acessar dados sem permissão.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3763	A-27593919	Moderada	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	10 de março de 2016

Vulnerabilidade de divulgação de informações no Mediaserver

Uma vulnerabilidade de divulgação de informações no Mediaserver pode permitir que um aplicativo malicioso local acesse informações sensíveis. Esse problema foi classificado como moderado porque pode ser usado para acessar dados sem permissão.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3764	A-28377502	Moderada	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	25 de abril de 2016
CVE-2016-3765	A-28168413	Moderada	Todos os Nexus	6.0, 6.0.1	8 de abril de 2016

Vulnerabilidade de negação de serviço no Mediaserver

Uma vulnerabilidade de negação de serviço no Mediaserver pode permitir que um invasor use um arquivo criado especialmente para causar uma falha ou reinicialização do dispositivo. Esse problema é classificado como moderado devido à possibilidade de negação de serviço remota.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Versões atualizadas do AOSP	Data de denúncia
CVE-2016-3766	A-28471206 [2]	Moderada	Todos os Nexus	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	29 de abril de 2016

Nível do patch de segurança de 05/07/2016: detalhes da vulnerabilidade

Nas seções abaixo, fornecemos detalhes sobre cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 2016-07-05. Há uma descrição do problema, um raciocínio sobre a gravidade e uma tabela com as vulnerabilidades e exposições comuns, as referências associadas, a gravidade, os dispositivos Nexus atualizados, as versões do AOSP atualizadas (quando aplicável) e a data de denúncia. Quando disponível, vamos vincular a mudança pública que resolveu o problema ao ID do bug, como a lista de mudanças do AOSP. Quando várias mudanças se relacionam a um único bug, outras referências são vinculadas a números após o ID do bug.

Elevação do privilégio no driver da GPU Qualcomm

Uma elevação de vulnerabilidade de privilégio no driver da GPU da Qualcomm pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como crítico devido à possibilidade de comprometimento permanente local do dispositivo, que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-2503	A-28084795* QC-CR1006067	Crítico	Nexus 5X, Nexus 6P	5 de abril de 2016
CVE-2016-2067	A-28305757 QC-CR988993	Crítico	Nexus 5X, Nexus 6, Nexus 6P	20 de abril de 2016

* O patch para esse problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.

Vulnerabilidade de elevação de privilégio no driver do MediaTek Wi-Fi

Uma elevação de vulnerabilidade de privilégio no driver do Wi-Fi da MediaTek pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como crítico devido à possibilidade de comprometer permanentemente o dispositivo local, o que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3767	A-28169363* M-ALPS02689526	Crítico	Android One	6 de abril de 2016

Vulnerabilidade de elevação de privilégio no componente de desempenho da Qualcomm

Uma elevação de vulnerabilidade de privilégio no componente de desempenho da Qualcomm pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como de gravidade crítica devido à possibilidade de comprometimento permanente local do dispositivo, que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3768	A-28172137* QC-CR1010644	Crítico	Nexus 5, Nexus 6, Nexus 5X, Nexus 6P, Nexus 7 (2013)	9 de abril de 2016

Vulnerabilidade de elevação de privilégio no driver de vídeo da NVIDIA

Uma vulnerabilidade de elevação de privilégio no driver de vídeo da NVIDIA pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como crítico devido à possibilidade de comprometimento permanente local do dispositivo, que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3769	A-28376656* N-CVE20163769	Crítico	Nexus 9	18 de abril de 2016

Elevação de vulnerabilidade de privilégio em drivers MediaTek (específicos do dispositivo)

Uma elevação de vulnerabilidade de privilégio em vários drivers do MediaTek pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como crítico devido à possibilidade de comprometer permanentemente o dispositivo local, o que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3770	A-28346752* M-ALPS02703102	Crítico	Android One	22 de abril de 2016
CVE-2016-3771	A-29007611* M-ALPS02703102	Crítico	Android One	22 de abril de 2016
CVE-2016-3772	A-29008188* M-ALPS02703102	Crítico	Android One	22 de abril de 2016
CVE-2016-3773	A-29008363* M-ALPS02703102	Crítico	Android One	22 de abril de 2016
CVE-2016-3774	A-29008609* M-ALPS02703102	Crítico	Android One	22 de abril de 2016

Vulnerabilidade de elevação de privilégio no sistema de arquivos do kernel

Uma elevação de vulnerabilidade de privilégio no sistema de arquivos do kernel pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como crítico devido à possibilidade de comprometimento permanente local do dispositivo, que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3775	A-28588279*	Crítico	Nexus 5X, Nexus 6, Nexus 6P e Nexus Player, Pixel C	4 de maio de 2016

Vulnerabilidade de elevação de privilégio no driver USB

Uma elevação de vulnerabilidade de privilégio no driver USB pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como de gravidade crítica devido à possibilidade de comprometimento permanente do dispositivo local, o que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2015-8816	A-28712303*	Crítico	Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Nexus Player, Pixel C	4 de maio de 2016

Elevação de privilégio em componentes da Qualcomm

A tabela abaixo contém vulnerabilidades de segurança que afetam componentes da Qualcomm, incluindo o carregador de inicialização, o driver de câmera, o driver de caracteres, a rede, o driver de som e o driver de vídeo.

O mais grave desses problemas é classificado como crítico devido à possibilidade de execução arbitrária de código, que pode levar a um comprometimento permanente do dispositivo local, o que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.

CVE	Referências	Gravidade*	Dispositivos Nexus atualizados	Data de denúncia
CVE-2014-9795	A-28820720 QC-CR681957 [2]	Crítico	Nexus 5	8 de agosto de 2014
CVE-2014-9794	A-28821172 QC-CR646385	Crítico	Nexus 7 (2013)	8 de agosto de 2014
CVE-2015-8892	A-28822807 QC-CR902998	Crítico	Nexus 5X, Nexus 6P	30 de dezembro de 2015
CVE-2014-9781	A-28410333 QC-CR556471	Alta	Nexus 7 (2013)	6 de fevereiro de 2014
CVE-2014-9786	A-28557260 QC-CR545979	Alta	Nexus 5, Nexus 7 (2013)	13 de março de 2014
CVE-2014-9788	A-28573112 QC-CR548872	Alta	Nexus 5	13 de março de 2014
CVE-2014-9779	A-28598347 QC-CR548679	Alta	Nexus 5	13 de março de 2014
CVE-2014-9780	A-28602014 QC-CR542222	Alta	Nexus 5, Nexus 5X, Nexus 6P	13 de março de 2014
CVE-2014-9789	A-28749392 QC-CR556425	Alta	Nexus 5	13 de março de 2014
CVE-2014-9793	A-28821253 QC-CR580567	Alta	Nexus 7 (2013)	13 de março de 2014
CVE-2014-9782	A-28431531 QC-CR511349	Alta	Nexus 5, Nexus 7 (2013)	31 de março de 2014
CVE-2014-9783	A-28441831 QC-CR511382 [2]	Alta	Nexus 7 (2013)	31 de março de 2014
CVE-2014-9785	A-28469042 QC-CR545747	Alta	Nexus 7 (2013)	31 de março de 2014
CVE-2014-9787	A-28571496 QC-CR545764	Alta	Nexus 7 (2013)	31 de março de 2014
CVE-2014-9784	A-28442449 QC-CR585147	Alta	Nexus 5, Nexus 7 (2013)	30 de abril de 2014
CVE-2014-9777	A-28598501 QC-CR563654	Alta	Nexus 5, Nexus 7 (2013)	30 de abril de 2014
CVE-2014-9778	A-28598515 QC-CR563694	Alta	Nexus 5, Nexus 7 (2013)	30 de abril de 2014
CVE-2014-9790	A-28769136 QC-CR545716 [2]	Alta	Nexus 5, Nexus 7 (2013)	30 de abril de 2014
CVE-2014-9792	A-28769399 QC-CR550606	Alta	Nexus 5	30 de abril de 2014
CVE-2014-9797	A-28821090 QC-CR674071	Alta	Nexus 5	3 de julho de 2014
CVE-2014-9791	A-28803396 QC-CR659364	Alta	Nexus 7 (2013)	29 de agosto de 2014
CVE-2014-9796	A-28820722 QC-CR684756	Alta	Nexus 5, Nexus 7 (2013)	30 de setembro de 2014
CVE-2014-9800	A-28822150 QC-CR692478	Alta	Nexus 5, Nexus 7 (2013)	31 de outubro de 2014
CVE-2014-9799	A-28821731 QC-CR691916	Alta	Nexus 5, Nexus 7 (2013)	31 de outubro de 2014
CVE-2014-9801	A-28822060 QC-CR705078	Alta	Nexus 5	28 de novembro de 2014
CVE-2014-9802	A-28821965 QC-CR705108	Alta	Nexus 5, Nexus 7 (2013)	31 de dezembro de 2014
CVE-2015-8891	A-28842418 QC-CR813930	Alta	Nexus 5, Nexus 7 (2013)	29 de maio de 2015
CVE-2015-8888	A-28822465 QC-CR813933	Alta	Nexus 5	30 de junho de 2015
CVE-2015-8889	A-28822677 QC-CR804067	Alta	Nexus 6P	30 de junho de 2015
CVE-2015-8890	A-28822878 QC-CR823461	Alta	Nexus 5, Nexus 7 (2013)	19 de agosto de 2015

* A classificação de gravidade desses problemas é fornecida diretamente pela Qualcomm.

Vulnerabilidade de elevação de privilégio no driver USB da Qualcomm

Uma elevação de vulnerabilidade de privilégio no driver USB da Qualcomm pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-2502	A-27657963 QC-CR997044	Alta	Nexus 5X, Nexus 6P	11 de março de 2016

Vulnerabilidade de elevação de privilégio no driver do Wi-Fi da Qualcomm

Uma elevação de vulnerabilidade de privilégio no driver de Wi-Fi da Qualcomm pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro exige comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3792	A-27725204 QC-CR561022	Alta	Nexus 7 (2013)	17 de março de 2016

Vulnerabilidade de elevação de privilégio no driver da câmera Qualcomm

Uma elevação de vulnerabilidade de privilégio no driver da câmera Qualcomm pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro exige comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-2501	A-27890772* QC-CR1001092	Alta	Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013)	27 de março de 2016

Vulnerabilidade de elevação de privilégio no driver da câmera NVIDIA

Uma elevação de vulnerabilidade de privilégio no driver da câmera da NVIDIA pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3793	A-28026625* N-CVE20163793	Alta	Nexus 9	5 de abril de 2016

Vulnerabilidade de elevação de privilégio no driver de energia do MediaTek

Um aumento de privilégio no driver de energia do MediaTek pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3795	A-28085222* M-ALPS02677244	Alta	Android One	7 de abril de 2016
CVE-2016-3796	A-29008443* M-ALPS02677244	Alta	Android One	7 de abril de 2016

Vulnerabilidade de elevação de privilégio no driver do Wi-Fi da Qualcomm

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3797	A-28085680* QC-CR1001450	Alta	Nexus 5X	7 de abril de 2016

Elevação de vulnerabilidade de privilégio no driver do sensor de hardware MediaTek

Uma elevação de vulnerabilidade de privilégio no driver do sensor de hardware MediaTek pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como Alto porque primeiro exige comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3798	A-28174490* M-ALPS02703105	Alta	Android One	11 de abril de 2016

Vulnerabilidade de elevação de privilégio no driver de vídeo MediaTek

Uma elevação de vulnerabilidade de privilégio no driver de vídeo MediaTek pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como Alto porque primeiro exige comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3799	A-28175025* M-ALPS02693738	Alta	Android One	11 de abril de 2016
CVE-2016-3800	A-28175027* M-ALPS02693739	Alta	Android One	11 de abril de 2016

Vulnerabilidade de elevação de privilégio no driver do GPS do MediaTek

Uma elevação de vulnerabilidade de privilégio no driver do GPS da MediaTek pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3801	A-28174914* M-ALPS02688853	Alta	Android One	11 de abril de 2016

Vulnerabilidade de elevação de privilégio no sistema de arquivos do kernel

Uma elevação de vulnerabilidade de privilégio no sistema de arquivos do kernel pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3802	A-28271368*	Alta	Nexus 9	19 de abril de 2016
CVE-2016-3803	A-28588434*	Alta	Nexus 5X, Nexus 6P	4 de maio de 2016

Elevação de vulnerabilidade de privilégio no driver de gerenciamento de energia do MediaTek

Uma elevação de privilégio no driver de gerenciamento de energia do MediaTek pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3804	A-28332766* M-ALPS02694410	Alta	Android One	20 de abril de 2016
CVE-2016-3805	A-28333002* M-ALPS02694412	Alta	Android One	21 de abril de 2016

Vulnerabilidade de elevação de privilégio no driver de exibição do MediaTek

Uma elevação de vulnerabilidade de privilégio no driver de exibição do MediaTek pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como Alto porque primeiro exige comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3806	A-28402341* M-ALPS02715341	Alta	Android One	26 de abril de 2016

Vulnerabilidade de elevação de privilégio no driver da interface periférica serial

Uma elevação de vulnerabilidade de privilégio no driver de interface periférica serial pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro exige comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3807	A-28402196*	Alta	Nexus 5X, Nexus 6P	26 de abril de 2016
CVE-2016-3808	A-28430009*	Alta	Pixel C	26 de abril de 2016

Vulnerabilidade de elevação de privilégio no driver de som da Qualcomm

Uma elevação de vulnerabilidade de privilégio no driver de som da Qualcomm pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como de alta gravidade porque primeiro exige comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-2068	A-28470967 QC-CR1006609	Alta	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P	28 de abril de 2016

Vulnerabilidade de elevação de privilégio no kernel

Uma elevação de vulnerabilidade de privilégio no kernel pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como Alto porque primeiro ele precisa comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2014-9803	A-28557020 Kernel upstream	Alta	Nexus 5X, Nexus 6P	Uso interno do Google

Vulnerabilidade de divulgação de informações no componente de rede

Uma vulnerabilidade de divulgação de informações no componente de rede pode permitir que um aplicativo malicioso local acesse dados fora dos níveis de permissão. Esse problema foi classificado como Alto porque pode ser usado para acessar dados sensíveis sem a permissão explícita do usuário.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3809	A-27532522*	Alta	Todos os Nexus	5 de março de 2016

Vulnerabilidade de divulgação de informações no driver do MediaTek Wi-Fi

Uma vulnerabilidade de divulgação de informações no driver do Wi-Fi da MediaTek pode permitir que um aplicativo local malicioso acesse dados fora dos níveis de permissão. Esse problema foi classificado como Alto porque pode ser usado para acessar dados sensíveis sem a permissão explícita do usuário.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3810	A-28175522* M-ALPS02694389	Alta	Android One	12 de abril de 2016

Vulnerabilidade de elevação de privilégio no driver de vídeo do kernel

Uma elevação de vulnerabilidade de privilégio no driver de vídeo do kernel pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é considerado moderado porque primeiro exige comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3811	A-28447556*	Moderada	Nexus 9	Uso interno do Google

Vulnerabilidade de divulgação de informações no driver do codec de vídeo MediaTek

Uma vulnerabilidade de divulgação de informações no driver do codec de vídeo MediaTek pode permitir que um aplicativo local malicioso acesse dados fora dos níveis de permissão. Esse problema é classificado como moderado porque primeiro ele precisa comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3812	A-28174833* M-ALPS02688832	Moderada	Android One	11 de abril de 2016

Vulnerabilidade de divulgação de informações no driver USB da Qualcomm

Uma vulnerabilidade de divulgação de informações no driver USB da Qualcomm pode permitir que um aplicativo local malicioso acesse dados fora dos níveis de permissão. Esse problema é classificado como moderado porque primeiro ele precisa comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3813	A-28172322* QC-CR1010222	Moderada	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P	11 de abril de 2016

Vulnerabilidade de divulgação de informações no driver da câmera NVIDIA

Uma vulnerabilidade de divulgação de informações no driver de câmera da NVIDIA pode permitir que um aplicativo local malicioso acesse dados fora dos níveis de permissão. Esse problema é classificado como moderado porque primeiro ele precisa comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3814	A-28193342* N-CVE20163814	Moderada	Nexus 9	14 de abril de 2016
CVE-2016-3815	A-28522274* N-CVE20163815	Moderada	Nexus 9	1º de maio de 2016

Vulnerabilidade de divulgação de informações no driver de exibição do MediaTek

Uma vulnerabilidade de divulgação de informações no driver de exibição do MediaTek pode permitir que um aplicativo local malicioso acesse dados fora dos níveis de permissão. Esse problema é classificado como moderado porque primeiro ele precisa comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-3816	A-28402240*	Moderada	Android One	26 de abril de 2016

Vulnerabilidade de divulgação de informações no driver de teletipo do kernel

Uma vulnerabilidade de divulgação de informações no driver de teletipo pode permitir que um aplicativo malicioso local acesse dados fora dos níveis de permissão. Esse problema é classificado como moderado porque primeiro ele precisa comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2016-0723	A-28409131 Kernel upstream	Moderada	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Nexus Player, Pixel C	26 de abril de 2016

Vulnerabilidade de negação de serviço no carregador de inicialização da Qualcomm

Uma vulnerabilidade de negação de serviço no carregador de inicialização da Qualcomm pode permitir que um aplicativo malicioso local cause uma violação permanente do dispositivo, o que pode exigir a reinstalação do sistema operacional para reparar o dispositivo. Esse problema é classificado como moderado porque primeiro exige comprometer um processo privilegiado.

CVE	Referências	Gravidade	Dispositivos Nexus atualizados	Data de denúncia
CVE-2014-9798	A-28821448 QC-CR681965	Moderada	Nexus 5	31 de outubro de 2014
CVE-2015-8893	A-28822690 QC-CR822275	Moderada	Nexus 5, Nexus 7 (2013)	19 de agosto de 2015

Perguntas e respostas comuns

Esta seção responde a perguntas comuns que podem surgir após a leitura deste boletim.

1. Como determino se meu dispositivo está atualizado para resolver esses problemas?

Os níveis de patch de segurança de 2016-07-01 ou mais recentes resolvem todos os problemas associados ao nível da string do patch de segurança 2016-7-01. Os níveis de patch de segurança de 2016-07-05 ou mais recentes resolvem todos os problemas associados ao nível da string do patch de segurança 2016-07-05. Consulte a Central de Ajuda para saber como verificar o nível do patch de segurança. Os fabricantes de dispositivos que incluem essas atualizações precisam definir o nível da string de patch como: [ro.build.version.security_patch]:[2016-07-01] ou [ro.build.version.security_patch]:[2016-07-05].

2. Por que este boletim tem duas strings de nível de patch de segurança?

Este boletim tem duas strings de nível de patch de segurança para dar flexibilidade aos parceiros do Android e corrigir mais rapidamente um subconjunto de vulnerabilidades semelhantes em todos os dispositivos Android. Recomendamos que os parceiros do Android corrijam todos os problemas deste boletim e usem a string de nível de correção de segurança mais recente.

Os dispositivos que usam o nível do patch de segurança de 5 de julho de 2016 ou mais recente precisam incluir todos os patches aplicáveis nestes e nos boletins de segurança anteriores.

Os dispositivos que usam o nível do patch de segurança de 1º de julho de 2016 precisam incluir todos os problemas associados a esse nível, além de correções para todos os problemas informados em boletins de segurança anteriores. Dispositivos que usam o nível do patch de segurança de 1º de julho de 2016 também podem incluir um subconjunto de correções associadas ao nível do patch de segurança de 5 de julho de 2016.

3. Como determinar quais dispositivos Nexus são afetados por cada problema?

Nas seções de detalhes da vulnerabilidade de segurança 2016-07-01 e 2016-07-05, cada tabela tem uma coluna "Dispositivos Nexus atualizados" que abrange o intervalo de dispositivos Nexus afetados atualizados para cada problema. Essa coluna tem algumas opções:

Todos os dispositivos Nexus: se um problema afetar todos os dispositivos Nexus, a tabela vai mostrar "Todos os Nexus" na coluna Dispositivos Nexus atualizados. "Todos os Nexus" inclui os seguintes dispositivos com suporte: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player e Pixel C.
Alguns dispositivos Nexus: se um problema não afetar todos os dispositivos Nexus, os dispositivos afetados serão listados na coluna Dispositivos Nexus atualizados.
Nenhum dispositivo Nexus: se nenhum dispositivo Nexus for afetado pelo problema, a tabela vai mostrar "Nenhum" na coluna Dispositivos Nexus atualizados.

4. Para que as entradas na coluna de referências são mapeadas?

As entradas na coluna References da tabela de detalhes da vulnerabilidade podem conter um prefixo que identifica a organização à qual o valor de referência pertence. Esses prefixos são mapeados da seguinte maneira:

Prefixo	Referência
A-	ID do bug do Android
QC-	Número de referência da Qualcomm
M-	Número de referência da MediaTek
N-	Número de referência da NVIDIA

Revisões

6 de julho de 2016: publicação do boletim.
7 de julho de 2016:
- Foram adicionados links do AOSP.
- A CVE-2016-3794 foi removida porque é uma cópia da CVE-2016-3814
- Atribuição adicionada para CVE-2016-2501 e CVE-2016-2502
11 de julho de 2016: atribuição atualizada para CVE-2016-3750
14 de julho de 2016: atribuição atualizada para CVE-2016-2503
1º de abril de 2019: atualização dos links de patch para CVE-2016-3818