Android-Sicherheitsbulletin – Juli 2016

Veröffentlicht am 06. Juli 2016 | Aktualisiert am 1. April 2019

Das Android Security Bulletin enthält Einzelheiten zu Sicherheitslücken, die Android-Geräte betreffen. Parallel zum Bulletin haben wir über ein Over-the-Air-Update (OTA) ein Sicherheitsupdate für Nexus-Geräte veröffentlicht. Die Nexus-Firmware-Images wurden auch auf der Google Developer-Website veröffentlicht. Sicherheitspatch-Stufen vom 5. Juli 2016 oder später beheben alle in diesem Bulletin relevanten Probleme. In der Dokumentation erfahren Sie, wie Sie den Sicherheitspatch-Level überprüfen.

Die Partner wurden am 6. Juni 2016 oder früher über die im Bulletin beschriebenen Probleme informiert. Gegebenenfalls wurden Quellcode-Patches für diese Probleme im Android Open Source Project (AOSP)-Repository veröffentlicht. Dieses Bulletin enthält auch Links zu Patches außerhalb von AOSP.

Das schwerwiegendste dieser Probleme ist eine kritische Sicherheitslücke, die bei der Verarbeitung von Mediendateien die Remote-Codeausführung auf einem betroffenen Gerät über verschiedene Methoden wie E-Mail, Webbrowsing und MMS ermöglichen könnte. Die Bewertung des Schweregrads basiert auf den Auswirkungen, die das Ausnutzen der Schwachstelle möglicherweise auf ein betroffenes Gerät hätte, vorausgesetzt, dass die Plattform- und Service-Abhilfemaßnahmen für Entwicklungszwecke deaktiviert oder erfolgreich umgangen werden.

Uns liegen keine Berichte über eine aktive Ausbeutung oder einen Missbrauch dieser neu gemeldeten Probleme durch Kunden vor. Weitere Informationen zu den Android-Sicherheitsplattformschutzmaßnahmen und Dienstschutzmaßnahmen wie SafetyNet, die die Sicherheit der Android-Plattform verbessern, finden Sie im Abschnitt „Abhilfemaßnahmen für Android- und Google-Dienste“.

Wir empfehlen allen Kunden, diese Updates für ihre Geräte zu akzeptieren.

Ankündigungen

  • In diesem Bulletin werden zwei Sicherheitspatch-Level-Strings definiert, um Android-Partnern die Flexibilität zu geben, schneller vorzugehen und eine Teilmenge von Schwachstellen zu beheben, die auf allen Android-Geräten ähnlich sind. Weitere Informationen finden Sie unter Häufige Fragen und Antworten :
    • 01.07.2016 : Teilweise Sicherheitspatch-Level-Zeichenfolge. Diese Sicherheitspatch-Level-Zeichenfolge gibt an, dass alle Probleme im Zusammenhang mit dem 01.07.2016 behoben sind.
    • 05.07.2016 : Vollständige Sicherheitspatch-Level-Zeichenfolge. Diese Sicherheitspatch-Level-Zeichenfolge gibt an, dass alle Probleme im Zusammenhang mit 2016-07-01 und 2016-07-05 behoben sind.
  • Unterstützte Nexus-Geräte erhalten ein einziges OTA-Update mit dem Sicherheitspatch-Level vom 5. Juli 2016.

Abhilfemaßnahmen für Android- und Google-Dienste

Dies ist eine Zusammenfassung der Abhilfemaßnahmen, die die Android-Sicherheitsplattform und Dienstschutzmaßnahmen wie SafetyNet bieten. Diese Funktionen verringern die Wahrscheinlichkeit, dass Sicherheitslücken auf Android erfolgreich ausgenutzt werden können.

  • Die Ausnutzung vieler Probleme auf Android wird durch Verbesserungen in neueren Versionen der Android-Plattform erschwert. Wir empfehlen allen Benutzern, nach Möglichkeit auf die neueste Android-Version zu aktualisieren.
  • Das Android-Sicherheitsteam überwacht aktiv Missbrauch mit Verify Apps und SafetyNet , die Benutzer vor potenziell schädlichen Anwendungen warnen sollen. „Apps überprüfen“ ist auf Geräten mit Google Mobile Services standardmäßig aktiviert und besonders wichtig für Benutzer, die Anwendungen von außerhalb von Google Play installieren. Geräte-Rooting-Tools sind bei Google Play verboten, aber Verify Apps warnt Benutzer, wenn sie versuchen, eine erkannte Rooting-Anwendung zu installieren – unabhängig davon, woher sie stammt. Darüber hinaus versucht Verify Apps, die Installation bekannter Schadanwendungen zu identifizieren und zu blockieren, die eine Sicherheitslücke bei der Rechteausweitung ausnutzen. Wenn eine solche Anwendung bereits installiert wurde, benachrichtigt Verify Apps den Benutzer und versucht, die erkannte Anwendung zu entfernen.
  • Gegebenenfalls leiten Google Hangouts- und Messenger-Anwendungen Medien nicht automatisch an Prozesse wie Mediaserver weiter.

Danksagungen

Wir möchten diesen Forschern für ihre Beiträge danken:

  • Abhishek Arya, Oliver Chang und Martin Barbella vom Google Chrome-Sicherheitsteam: CVE-2016-3756, CVE-2016-3741, CVE-2016-3743, CVE-2016-3742
  • Adam Donenfeld et al. von Check Point Software Technologies Ltd.: CVE-2016-2503
  • Adam Powell von Google: CVE-2016-3752
  • Alex Chapman und Paul Stone von Context Information Security: CVE-2016-3763
  • Andy Tyler ( @ticarpi ) von e2e-assure : CVE-2016-2457
  • Ben Hawkes von Google Project Zero: CVE-2016-3775
  • Chiachih Wu ( @chiachih_wu ), Yuan-Tsung Lo ( computernik@gmail.com ) und Xuxian Jiang vom C0RE-Team : CVE-2016-3770, CVE-2016-3771, CVE-2016-3772, CVE-2016-3773, CVE-2016-3774
  • Christopher Tate von Google: CVE-2016-3759
  • Di Shen ( @returnsme ) von KeenLab ( @keen_lab ), Tencent: CVE-2016-3762
  • Gengjia Chen ( @chengjia4574 ), pjf ( weibo.com/jfpan ) von IceSword Lab, Qihoo 360 Technology Co. Ltd .: CVE-2016-3806, CVE-2016-3816, CVE-2016-3805, CVE-2016-3804 , CVE-2016-3767, CVE-2016-3810, CVE-2016-3795, CVE-2016-3796
  • Greg Kaiser vom Google Android-Team: CVE-2016-3758
  • Guang Gong (龚广) ( @oldfresher ) vom Mobile Safe Team, Qihoo 360 Technology Co. Ltd .: CVE-2016-3764
  • Hao Chen und Guang Gong vom Alpha Team, Qihoo 360 Technology Co. Ltd .: CVE-2016-3792, CVE-2016-3768
  • Hao Qin vom Security Research Lab, Cheetah Mobile : CVE-2016-3754, CVE-2016-3766
  • Jianqiang Zhao ( @jianqiangzhao ) und pjf ( weibo.com/jfpan ) von IceSword Lab, Qihoo 360 Technology Co. Ltd : CVE-2016-3814, CVE-2016-3802, CVE-2016-3769, CVE-2016-3807, CVE-2016-3808
  • Marco Nelissen von Google: CVE-2016-3818
  • Markieren Sie die Marke von Google Project Zero: CVE-2016-3757
  • Michał Bednarski : CVE-2016-3750
  • Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ) und Xuxian Jiang vom C0RE-Team : CVE-2016-3747, CVE-2016-3746, CVE-2016-3765
  • Peng Xiao, Chengming Yang, Ning You, Chao Yang und Yang Ssong von Alibaba Mobile Security Group: CVE-2016-3800, CVE-2016-3799, CVE-2016-3801, CVE-2016-3812, CVE-2016-3798
  • Peter Pi ( @heisecode ) von Trend Micro: CVE-2016-3793
  • Ricky Wai von Google: CVE-2016-3749
  • Roeland Krak: CVE-2016-3753
  • Scott Bauer ( @ScottyBauer1 ): CVE-2016-3797, CVE-2016-3813, CVE-2016-3815, CVE-2016-2501, CVE-2016-2502
  • Wassili Wassilew: CVE-2016-2507
  • Weichao Sun ( @sunblate ) von Alibaba Inc.: CVE-2016-2508, CVE-2016-3755
  • Wen Niu ( @NWMonster ) von KeenLab ( @keen_lab ), Tencent: CVE-2016-3809
  • Xiling Gong von der Abteilung für Sicherheitsplattformen von Tencent: CVE-2016-3745
  • Yacong Gu vom TCA Lab, Institut für Software, Chinesische Akademie der Wissenschaften: CVE-2016-3761
  • Yongke Wang ( @Rudykewang ) von Xuanwu LAB, Tencent: CVE-2016-2505
  • Yongke Wang ( @Rudykewang ) und Wei Wei ( @Danny__Wei ) von Xuanwu LAB, Tencent: CVE-2016-2506
  • Yulong Zhang und Tao (Lenx) Wei von Baidu X-Lab: CVE-2016-3744

2016-07-01 Sicherheitspatch-Level – Details zur Sicherheitslücke

In den folgenden Abschnitten stellen wir Details zu den einzelnen Sicherheitslücken bereit, die für den Patch-Level 2016-07-01 gelten. Es gibt eine Beschreibung des Problems, eine Begründung für den Schweregrad und eine Tabelle mit CVE, zugehörigen Referenzen, Schweregrad, aktualisierten Nexus-Geräten, aktualisierten AOSP-Versionen (sofern zutreffend) und dem gemeldeten Datum. Sofern verfügbar, verknüpfen wir die öffentliche Änderung, die das Problem behoben hat, mit der Fehler-ID, z. B. die AOSP-Änderungsliste. Wenn sich mehrere Änderungen auf einen einzelnen Fehler beziehen, werden zusätzliche Verweise mit Nummern verknüpft, die der Fehler-ID folgen.

Sicherheitslücke zur Remotecodeausführung in Mediaserver

Eine Sicherheitslücke bei der Remotecodeausführung in Mediaserver könnte es einem Angreifer ermöglichen, mithilfe einer speziell gestalteten Datei eine Speicherbeschädigung während der Mediendatei- und Datenverarbeitung zu verursachen. Dieses Problem wird aufgrund der Möglichkeit einer Remote-Codeausführung im Kontext des Mediaserver-Prozesses als kritisch eingestuft. Der Mediaserver-Prozess hat Zugriff auf Audio- und Videostreams sowie Zugriff auf Berechtigungen, auf die Apps von Drittanbietern normalerweise nicht zugreifen können.

Die betroffene Funktionalität wird als Kernbestandteil des Betriebssystems bereitgestellt und es gibt mehrere Anwendungen, die den Zugriff auf Remote-Inhalte ermöglichen, insbesondere MMS und Browser-Wiedergabe von Medien.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-2506 A-28175045 Kritisch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11. April 2016
CVE-2016-2505 A-28333006 Kritisch Alles Nexus 6.0, 6.0.1 21. April 2016
CVE-2016-2507 A-28532266 Kritisch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 2. Mai 2016
CVE-2016-2508 A-28799341 [ 2 ] Kritisch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 16. Mai 2016
CVE-2016-3741 A-28165661 [ 2 ] Kritisch Alles Nexus 6.0, 6.0.1 Google-intern
CVE-2016-3742 A-28165659 Kritisch Alles Nexus 6.0, 6.0.1 Google-intern
CVE-2016-3743 A-27907656 Kritisch Alles Nexus 6.0, 6.0.1 Google-intern

Sicherheitslücke zur Remotecodeausführung in OpenSSL und BoringSSL

Eine Sicherheitslücke bei der Remotecodeausführung in OpenSSL und BoringSSL könnte es einem Angreifer ermöglichen, mithilfe einer speziell gestalteten Datei eine Speicherbeschädigung während der Datei- und Datenverarbeitung zu verursachen. Dieses Problem wird als kritisch eingestuft, da die Möglichkeit einer Remotecodeausführung im Kontext eines betroffenen Prozesses besteht.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-2108 A-28175332 Kritisch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 3. Mai 2016

Sicherheitslücke zur Remotecodeausführung in Bluetooth

Eine Sicherheitslücke bei der Remotecodeausführung in Bluetooth könnte es einem nahen Angreifer ermöglichen, während des Kopplungsvorgangs beliebigen Code auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da während der Initialisierung eines Bluetooth-Geräts die Möglichkeit einer Remotecodeausführung besteht.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3744 A-27930580 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 30. März 2016

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in libpng

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in libpng könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext einer Systemanwendung mit erhöhten Rechten auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da es verwendet werden könnte, um lokalen Zugriff auf erhöhte Funktionen zu erhalten, z. B. Signatur- oder SignatureOrSystem -Berechtigungen, auf die eine Drittanbieteranwendung nicht zugreifen kann.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3751 A-23265085 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 3. Dezember 2015

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in Mediaserver

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in Mediaserver könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext einer erhöhten Systemanwendung auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da es verwendet werden könnte, um lokalen Zugriff auf erhöhte Funktionen zu erhalten, z. B. Signatur- oder SignatureOrSystem -Berechtigungen, auf die eine Drittanbieteranwendung nicht zugreifen kann.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3745 A-28173666 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 10. April 2016
CVE-2016-3746 A-27890802 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 27. März 2016
CVE-2016-3747 A-27903498 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 28. März 2016

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in Sockets

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in Sockets könnte es einer lokalen Schadanwendung ermöglichen, auf Systemaufrufe außerhalb ihrer Berechtigungsstufe zuzugreifen. Dieses Problem wird als hoch eingestuft, da es eine Umgehung vorhandener Sicherheitsmaßnahmen ermöglichen könnte, um die Schwierigkeit für Angreifer zu erhöhen, die Plattform auszunutzen.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3748 A-28171804 Hoch Alles Nexus 6.0, 6.0.1 13. April 2016

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in LockSettingsService

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im LockSettingsService könnte es einer böswilligen Anwendung ermöglichen, das Kennwort für die Bildschirmsperre ohne Autorisierung durch den Benutzer zurückzusetzen. Dieses Problem wird als „Hoch“ eingestuft, da es sich um eine lokale Umgehung der Benutzerinteraktionsanforderungen für Änderungen an Entwickler- oder Sicherheitseinstellungen handelt.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3749 A-28163930 Hoch Alles Nexus 6.0, 6.0.1 Google-intern

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in Framework-APIs

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in den Parcels Framework-APIs könnte es einer lokalen Schadanwendung ermöglichen, Betriebssystemschutzmaßnahmen zu umgehen, die Anwendungsdaten von anderen Anwendungen isolieren. Dieses Problem wird als „Hoch“ eingestuft, da es dazu genutzt werden könnte, Zugriff auf Daten zu erhalten, auf die die Anwendung keinen Zugriff hat.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3750 A-28395952 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 16. Dezember 2015

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im ChooserTarget-Dienst

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im ChooserTarget-Dienst könnte es einer lokalen Schadanwendung ermöglichen, Code im Kontext einer anderen Anwendung auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da es dazu verwendet werden könnte, ohne Erlaubnis auf Aktivitäten zuzugreifen, die zu einer anderen Anwendung gehören.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3752 A-28384423 Hoch Alles Nexus 6.0, 6.0.1 Google-intern

Sicherheitslücke bei der Offenlegung von Informationen in Mediaserver

Eine Schwachstelle zur Offenlegung von Informationen in Mediaserver könnte es einem Remote-Angreifer ermöglichen, auf geschützte Daten zuzugreifen, die normalerweise nur lokal installierten Apps zugänglich sind, die eine Erlaubnis anfordern. Dieses Problem wird als „Hoch“ eingestuft, da es dazu verwendet werden könnte, ohne Erlaubnis auf Daten zuzugreifen.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3753 A-27210135 Hoch Keiner* 4.4.4 15. Februar 2016

* Unterstützte Nexus-Geräte, auf denen alle verfügbaren Updates installiert sind, sind von dieser Sicherheitslücke nicht betroffen.

Sicherheitslücke bei der Offenlegung von Informationen in OpenSSL

Eine Schwachstelle zur Offenlegung von Informationen in OpenSSL könnte es einem Remote-Angreifer ermöglichen, auf geschützte Daten zuzugreifen, die normalerweise nur lokal installierten Apps zugänglich sind, die eine Erlaubnis anfordern. Dieses Problem wird als „Hoch“ eingestuft, da es dazu verwendet werden könnte, ohne Erlaubnis auf Daten zuzugreifen.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-2107 A-28550804 Hoch Keiner* 4.4.4, 5.0.2, 5.1.1 13. April 2016

* Unterstützte Nexus-Geräte, auf denen alle verfügbaren Updates installiert sind, sind von dieser Sicherheitslücke nicht betroffen.

Denial-of-Service-Schwachstelle im Mediaserver

Eine Denial-of-Service-Schwachstelle in Mediaserver könnte es einem Angreifer ermöglichen, eine speziell gestaltete Datei zu verwenden, um einen Geräteabsturz oder einen Neustart zu verursachen. Dieses Problem wird als „Hoch“ eingestuft, da die Möglichkeit einer vorübergehenden Remote-Verweigerung des Dienstes besteht.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3754 A-28615448 [ 2 ] Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 5. Mai 2016
CVE-2016-3755 A-28470138 Hoch Alles Nexus 6.0, 6.0.1 29. April 2016
CVE-2016-3756 A-28556125 Hoch Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google-intern

Denial-of-Service-Schwachstelle in libc

Eine Denial-of-Service-Schwachstelle in libc könnte es einem Angreifer ermöglichen, eine speziell gestaltete Datei zu verwenden, um einen Geräteabsturz oder einen Neustart zu verursachen. Dieses Problem wird aufgrund der Möglichkeit eines Remote-Denial-of-Service als „Hoch“ eingestuft.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3818 A-28740702 [ 2 ] Hoch Keiner* 4.4.4 Google-intern

* Unterstützte Nexus-Geräte, auf denen alle verfügbaren Updates installiert sind, sind von dieser Sicherheitslücke nicht betroffen.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in lsof

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in lsof könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code auszuführen, der zu einer dauerhaften Kompromittierung des Geräts führen könnte. Dieses Problem wird als mittelschwer eingestuft, da es ungewöhnliche manuelle Schritte erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3757 A-28175237 Mäßig Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11. April 2016

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in DexClassLoader

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im DexClassLoader könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext eines privilegierten Prozesses auszuführen. Dieses Problem wird als mittelschwer eingestuft, da es ungewöhnliche manuelle Schritte erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3758 A-27840771 Mäßig Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google-intern

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in Framework-APIs

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in den Framework-APIs könnte es einer lokalen Schadanwendung ermöglichen, Sicherungsberechtigungen anzufordern und alle Sicherungsdaten abzufangen. Dieses Problem wird als mittelschwer eingestuft, da es bestimmte Berechtigungen erfordert, um Betriebssystemschutzmaßnahmen zu umgehen, die Anwendungsdaten von anderen Anwendungen isolieren.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3759 A-28406080 Mäßig Alles Nexus 5.0.2, 5.1.1, 6.0, 6.0.1 Google-intern

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in Bluetooth

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in der Bluetooth-Komponente könnte es einem lokalen Angreifer ermöglichen, ein authentifiziertes Bluetooth-Gerät hinzuzufügen, das für den primären Benutzer bestehen bleibt. Dieses Problem wird als mittelschwer eingestuft, da es dazu genutzt werden könnte, ohne ausdrückliche Benutzererlaubnis erweiterte Funktionen zu erlangen.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3760 A-27410683 [ 2 ] [ 3 ] Mäßig Alles Nexus 5.0.2, 5.1.1, 6.0, 6.0.1 29. Februar 2016

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in NFC

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in NFC könnte es einer lokalen böswilligen Hintergrundanwendung ermöglichen, auf Informationen einer Vordergrundanwendung zuzugreifen. Dieses Problem wird als mittelschwer eingestuft, da es dazu genutzt werden könnte, ohne ausdrückliche Benutzererlaubnis erweiterte Funktionen zu erlangen.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3761 A-28300969 Mäßig Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 20. April 2016

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in Sockets

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in Sockets könnte es einer lokalen Schadanwendung ermöglichen, Zugriff auf bestimmte ungewöhnliche Socket-Typen zu erhalten, was möglicherweise zur Ausführung willkürlichen Codes im Kontext des Kernels führen könnte. Dieses Problem wird als „Mittel“ eingestuft, da es eine Umgehung bestehender Sicherheitsmaßnahmen ermöglichen könnte, um die Schwierigkeit für Angreifer zu erhöhen, die Plattform auszunutzen.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3762 A-28612709 Mäßig Alles Nexus 5.0.2, 5.1.1, 6.0, 6.0.1 21. April 2016

Sicherheitslücke bei der Offenlegung von Informationen in Proxy Auto-Config

Eine Sicherheitslücke bei der Offenlegung von Informationen in der Komponente „Proxy Auto-Config“ könnte es einer Anwendung ermöglichen, auf vertrauliche Informationen zuzugreifen. Dieses Problem wird als „Mittel“ eingestuft, da es zum Zugriff auf Daten ohne Erlaubnis verwendet werden könnte.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3763 A-27593919 Mäßig Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 10. März 2016

Sicherheitslücke bei der Offenlegung von Informationen in Mediaserver

Eine Sicherheitslücke bei der Offenlegung von Informationen in Mediaserver könnte es einer lokalen Schadanwendung ermöglichen, auf vertrauliche Informationen zuzugreifen. Dieses Problem wird als „Mittel“ eingestuft, da es dazu genutzt werden könnte, ohne Erlaubnis auf Daten zuzugreifen.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3764 A-28377502 Mäßig Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 25. April 2016
CVE-2016-3765 A-28168413 Mäßig Alles Nexus 6.0, 6.0.1 8. April 2016

Denial-of-Service-Schwachstelle im Mediaserver

Eine Denial-of-Service-Schwachstelle in Mediaserver könnte es einem Angreifer ermöglichen, eine speziell gestaltete Datei zu verwenden, um einen Geräteabsturz oder einen Neustart zu verursachen. Dieses Problem wird aufgrund der Möglichkeit eines Remote-Denial-of-Service als mittelschwer eingestuft.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum gemeldet
CVE-2016-3766 A-28471206 [ 2 ] Mäßig Alles Nexus 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 29. April 2016

Sicherheitspatch-Level 2016-07-05 – Details zur Sicherheitslücke

In den folgenden Abschnitten stellen wir Einzelheiten zu den einzelnen Sicherheitslücken bereit, die für den Patch-Level 2016-07-05 gelten. Es gibt eine Beschreibung des Problems, eine Begründung für den Schweregrad und eine Tabelle mit CVE, zugehörigen Referenzen, Schweregrad, aktualisierten Nexus-Geräten, aktualisierten AOSP-Versionen (sofern zutreffend) und dem gemeldeten Datum. Sofern verfügbar, verknüpfen wir die öffentliche Änderung, die das Problem behoben hat, mit der Fehler-ID, z. B. die AOSP-Änderungsliste. Wenn sich mehrere Änderungen auf einen einzelnen Fehler beziehen, werden zusätzliche Verweise mit Nummern verknüpft, die der Fehler-ID folgen.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-GPU-Treiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-GPU-Treiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da die Möglichkeit einer lokalen dauerhaften Gerätekompromittierung besteht, die möglicherweise ein erneutes Flashen des Betriebssystems zur Reparatur des Geräts erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2503 A-28084795* QC-CR1006067 Kritisch Nexus 5X, Nexus 6P 5. April 2016
CVE-2016-2067 A-28305757 QC-CR988993 Kritisch Nexus 5X, Nexus 6, Nexus 6P 20. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im MediaTek Wi-Fi-Treiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im MediaTek Wi-Fi-Treiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da die Möglichkeit einer lokalen dauerhaften Gerätekompromittierung besteht, die möglicherweise ein erneutes Flashen des Betriebssystems zur Reparatur des Geräts erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3767 A-28169363*
M-ALPS02689526		 Kritisch Android One 6. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in der Qualcomm-Leistungskomponente

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in der Qualcomm-Leistungskomponente könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Kritisch“ eingestuft, da die Möglichkeit einer lokalen dauerhaften Gerätekompromittierung besteht, die möglicherweise ein erneutes Flashen des Betriebssystems zur Reparatur des Geräts erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3768 A-28172137* QC-CR1010644 Kritisch Nexus 5, Nexus 6, Nexus 5X, Nexus 6P, Nexus 7 (2013) 9. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im NVIDIA-Grafiktreiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im NVIDIA-Grafiktreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da die Möglichkeit einer lokalen dauerhaften Gerätekompromittierung besteht, die möglicherweise ein erneutes Flashen des Betriebssystems zur Reparatur des Geräts erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3769 A-28376656*
N-CVE20163769		 Kritisch Nexus 9 18. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in MediaTek-Treibern (gerätespezifisch)

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in mehreren MediaTek-Treibern könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da die Möglichkeit einer lokalen dauerhaften Gerätekompromittierung besteht, die möglicherweise ein erneutes Flashen des Betriebssystems zur Reparatur des Geräts erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3770 A-28346752*
M-ALPS02703102		 Kritisch Android One 22. April 2016
CVE-2016-3771 A-29007611*
M-ALPS02703102		 Kritisch Android One 22. April 2016
CVE-2016-3772 A-29008188*
M-ALPS02703102		 Kritisch Android One 22. April 2016
CVE-2016-3773 A-29008363*
M-ALPS02703102		 Kritisch Android One 22. April 2016
CVE-2016-3774 A-29008609*
M-ALPS02703102		 Kritisch Android One 22. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Kernel-Dateisystem

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Kernel-Dateisystem könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da die Möglichkeit einer lokalen dauerhaften Gerätekompromittierung besteht, die möglicherweise ein erneutes Flashen des Betriebssystems zur Reparatur des Geräts erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3775 A-28588279* Kritisch Nexus 5X, Nexus 6, Nexus 6P und Nexus Player, Pixel C 4. Mai 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im USB-Treiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im USB-Treiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Kritisch“ eingestuft, da die Möglichkeit einer lokalen dauerhaften Gerätekompromittierung besteht, die möglicherweise ein erneutes Flashen des Betriebssystems zur Reparatur des Geräts erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2015-8816 A-28712303* Kritisch Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Nexus Player, Pixel C 4. Mai 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen in Qualcomm-Komponenten

Die folgende Tabelle enthält Sicherheitslücken, die Qualcomm-Komponenten betreffen, einschließlich Bootloader, Kameratreiber, Zeichentreiber, Netzwerk, Soundtreiber und Videotreiber.

Das schwerwiegendste dieser Probleme wird als kritisch eingestuft, da die Möglichkeit der Ausführung willkürlichen Codes zu einer lokalen dauerhaften Gerätekompromittierung führen kann, die möglicherweise ein erneutes Flashen des Betriebssystems zur Reparatur des Geräts erfordert.

CVE Verweise Schwere* Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2014-9795 A-28820720
QC-CR681957 [ 2 ]		 Kritisch Nexus 5 8. August 2014
CVE-2014-9794 A-28821172
QC-CR646385		 Kritisch Nexus 7 (2013) 8. August 2014
CVE-2015-8892 A-28822807
QC-CR902998		 Kritisch Nexus 5X, Nexus 6P 30. Dezember 2015
CVE-2014-9781 A-28410333
QC-CR556471		 Hoch Nexus 7 (2013) 6. Februar 2014
CVE-2014-9786 A-28557260
QC-CR545979		 Hoch Nexus 5, Nexus 7 (2013) 13. März 2014
CVE-2014-9788 A-28573112
QC-CR548872		 Hoch Nexus 5 13. März 2014
CVE-2014-9779 A-28598347
QC-CR548679		 Hoch Nexus 5 13. März 2014
CVE-2014-9780 A-28602014
QC-CR542222		 Hoch Nexus 5, Nexus 5X, Nexus 6P 13. März 2014
CVE-2014-9789 A-28749392
QC-CR556425		 Hoch Nexus 5 13. März 2014
CVE-2014-9793 A-28821253
QC-CR580567		 Hoch Nexus 7 (2013) 13. März 2014
CVE-2014-9782 A-28431531
QC-CR511349		 Hoch Nexus 5, Nexus 7 (2013) 31. März 2014
CVE-2014-9783 A-28441831
QC-CR511382 [ 2 ]		 Hoch Nexus 7 (2013) 31. März 2014
CVE-2014-9785 A-28469042
QC-CR545747		 Hoch Nexus 7 (2013) 31. März 2014
CVE-2014-9787 A-28571496
QC-CR545764		 Hoch Nexus 7 (2013) 31. März 2014
CVE-2014-9784 A-28442449
QC-CR585147		 Hoch Nexus 5, Nexus 7 (2013) 30. April 2014
CVE-2014-9777 A-28598501
QC-CR563654		 Hoch Nexus 5, Nexus 7 (2013) 30. April 2014
CVE-2014-9778 A-28598515
QC-CR563694		 Hoch Nexus 5, Nexus 7 (2013) 30. April 2014
CVE-2014-9790 A-28769136
QC-CR545716 [ 2 ]		 Hoch Nexus 5, Nexus 7 (2013) 30. April 2014
CVE-2014-9792 A-28769399
QC-CR550606		 Hoch Nexus 5 30. April 2014
CVE-2014-9797 A-28821090
QC-CR674071		 Hoch Nexus 5 3. Juli 2014
CVE-2014-9791 A-28803396
QC-CR659364		 Hoch Nexus 7 (2013) 29. August 2014
CVE-2014-9796 A-28820722
QC-CR684756		 Hoch Nexus 5, Nexus 7 (2013) 30. September 2014
CVE-2014-9800 A-28822150
QC-CR692478		 Hoch Nexus 5, Nexus 7 (2013) 31. Okt. 2014
CVE-2014-9799 A-28821731
QC-CR691916		 Hoch Nexus 5, Nexus 7 (2013) 31. Okt. 2014
CVE-2014-9801 A-28822060
QC-CR705078		 Hoch Nexus 5 28. November 2014
CVE-2014-9802 A-28821965
QC-CR705108		 Hoch Nexus 5, Nexus 7 (2013) 31. Dezember 2014
CVE-2015-8891 A-28842418
QC-CR813930		 Hoch Nexus 5, Nexus 7 (2013) 29. Mai 2015
CVE-2015-8888 A-28822465
QC-CR813933		 Hoch Nexus 5 30. Juni 2015
CVE-2015-8889 A-28822677
QC-CR804067		 Hoch Nexus 6P 30. Juni 2015
CVE-2015-8890 A-28822878
QC-CR823461		 Hoch Nexus 5, Nexus 7 (2013) 19. August 2015

* Die Schweregradbewertung dieser Probleme wird direkt von Qualcomm bereitgestellt.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm USB-Treiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-USB-Treiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2502 A-27657963 QC-CR997044 Hoch Nexus 5X, Nexus 6P 11. März 2016

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm Wi-Fi-Treiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm Wi-Fi-Treiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3792 A-27725204 QC-CR561022 Hoch Nexus 7 (2013) 17. März 2016

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-Kameratreiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-Kameratreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2501 A-27890772* QC-CR1001092 Hoch Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013) 27. März 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im NVIDIA-Kameratreiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im NVIDIA-Kameratreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3793 A-28026625*
N-CVE20163793		 Hoch Nexus 9 5. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im MediaTek-Power-Treiber

Eine Rechteerweiterung im MediaTek-Power-Treiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3795 A-28085222*
M-ALPS02677244		 Hoch Android One 7. April 2016
CVE-2016-3796 A-29008443*
M-ALPS02677244		 Hoch Android One 7. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm Wi-Fi-Treiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm Wi-Fi-Treiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3797 A-28085680* QC-CR1001450 Hoch Nexus 5X 7. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im MediaTek-Hardwaresensortreiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im MediaTek-Hardwaresensortreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3798 A-28174490*
M-ALPS02703105		 Hoch Android One 11. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im MediaTek-Grafiktreiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im MediaTek-Grafiktreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3799 A-28175025*
M-ALPS02693738		 Hoch Android One 11. April 2016
CVE-2016-3800 A-28175027*
M-ALPS02693739		 Hoch Android One 11. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im MediaTek-GPS-Treiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im MediaTek-GPS-Treiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3801 A-28174914*
M-ALPS02688853		 Hoch Android One 11. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Kernel-Dateisystem

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Kernel-Dateisystem könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3802 A-28271368* Hoch Nexus 9 19. April 2016
CVE-2016-3803 A-28588434* Hoch Nexus 5X, Nexus 6P 4. Mai 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im MediaTek-Energieverwaltungstreiber

Eine Rechteerweiterung im MediaTek-Energieverwaltungstreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3804 A-28332766*
M-ALPS02694410		 Hoch Android One 20. April 2016
CVE-2016-3805 A-28333002*
M-ALPS02694412		 Hoch Android One 21. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im MediaTek-Anzeigetreiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im MediaTek-Anzeigetreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3806 A-28402341*
M-ALPS02715341		 Hoch Android One 26. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im seriellen Peripherieschnittstellentreiber

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im seriellen Peripherieschnittstellentreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3807 A-28402196* Hoch Nexus 5X, Nexus 6P 26. April 2016
CVE-2016-3808 A-28430009* Hoch Pixel C 26. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Qualcomm-Soundtreiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Soundtreiber könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoher Schweregrad“ eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-2068 A-28470967 QC-CR1006609 Hoch Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 28. April 2016

Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Kernel

Eine Sicherheitslücke bezüglich der Erhöhung von Berechtigungen im Kernel könnte es einer lokalen Schadanwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als hoch eingestuft, da es zunächst die Kompromittierung eines privilegierten Prozesses erfordert.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2014-9803 A-28557020
Upstream-Kernel		 Hoch Nexus 5X, Nexus 6P Google-intern

Sicherheitslücke bei der Offenlegung von Informationen in der Netzwerkkomponente

Eine Sicherheitslücke bei der Offenlegung von Informationen in der Netzwerkkomponente könnte es einer lokalen Schadanwendung ermöglichen, auf Daten außerhalb ihrer Berechtigungsstufen zuzugreifen. Dieses Problem wird als „Hoch“ eingestuft, da es zum Zugriff auf vertrauliche Daten ohne ausdrückliche Benutzererlaubnis verwendet werden könnte.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3809 A-27532522* Hoch Alles Nexus 5. März 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke bei der Offenlegung von Informationen im MediaTek Wi-Fi-Treiber

Eine Sicherheitslücke zur Offenlegung von Informationen im MediaTek Wi-Fi-Treiber könnte es einer lokalen Schadanwendung ermöglichen, auf Daten außerhalb ihrer Berechtigungsstufen zuzugreifen. Dieses Problem wird als „Hoch“ eingestuft, da es zum Zugriff auf vertrauliche Daten ohne ausdrückliche Benutzererlaubnis verwendet werden könnte.

CVE Verweise Schwere Aktualisierte Nexus-Geräte Datum gemeldet
CVE-2016-3810 A-28175522*
M-ALPS02694389		 Hoch Android One 12. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Erhöhung der Privilegien -Sicherheitsanfälligkeit im Kernel -Videotreiber

Eine Erhöhung der Verletzlichkeit im Kernel -Video -Treiber könnte es einer bösartigen Anwendung lokaler Anwendung ermöglichen, willkürlichen Code im Kontext des Kernels auszuführen. Dieses Problem wird als moderat eingestuft, da es zunächst einen privilegierten Prozess beeinträchtigt.

CVE Verweise Schwere Aktualisierte Nexus -Geräte Datum gemeldet
CVE-2016-3811 A-28447556* Mäßig Nexus 9 Google intern

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Anfälligkeit für Informationen zur Offenlegung von Informationen im MediaTek Video Codec -Treiber

Eine Anfälligkeit für die Offenlegung von Informationen im MediaTek -Video -Codec -Treiber kann es einer lokalen böswilligen Anwendung ermöglichen, außerhalb der Berechtigungsstufen auf Daten zuzugreifen. Dieses Problem wird als moderat eingestuft, da es zunächst einen privilegierten Prozess beeinträchtigt.

CVE Verweise Schwere Aktualisierte Nexus -Geräte Datum gemeldet
CVE-2016-3812 A-28174833*
M-ALPS02688832		 Mäßig Android eins 11. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Anfälligkeit für Information Offenlegung im Qualcomm -USB -Treiber

Eine Anfälligkeit für die Offenlegung von Informationen im Qualcomm -USB -Treiber könnte es einer lokalen böswilligen Anwendung ermöglichen, außerhalb der Berechtigungsstufen auf Daten zuzugreifen. Dieses Problem wird als moderat eingestuft, da es zunächst einen privilegierten Prozess beeinträchtigt.

CVE Verweise Schwere Aktualisierte Nexus -Geräte Datum gemeldet
CVE-2016-3813 A-28172322* QC-CR1010222 Mäßig Nexus 5, Nexus 5x, Nexus 6, Nexus 6p 11. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Anfälligkeit für Informationen zur Offenlegung von Informationen im Nvidia -Kamera -Treiber

Eine Anfälligkeit für die Offenlegung von Informationen im NVIDIA -Kamera -Treiber könnte es einer bösartigen Anwendung lokaler Anwendung ermöglichen, auf Daten außerhalb der Berechtigungsstufen zuzugreifen. Dieses Problem wird als moderat eingestuft, da es zunächst einen privilegierten Prozess beeinträchtigt.

CVE Verweise Schwere Aktualisierte Nexus -Geräte Datum gemeldet
CVE-2016-3814 A-28193342*
N-CVE20163814		 Mäßig Nexus 9 14. April 2016
CVE-2016-3815 A-28522274*
N-CVE20163815		 Mäßig Nexus 9 1. Mai 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Anfälligkeit für Informationen zur Offenlegung von Informationen im MediaTek -Display -Treiber

Eine Anfälligkeit für die Offenlegung von Informationen im MediaTek -Display -Treiber könnte es einer bösartigen Anwendung lokaler Anwendung ermöglichen, auf Daten außerhalb der Berechtigungsstufen zuzugreifen. Dieses Problem wird als moderat eingestuft, da es zunächst einen privilegierten Prozess beeinträchtigt.

CVE Verweise Schwere Aktualisierte Nexus -Geräte Datum gemeldet
CVE-2016-3816 A-28402240* Mäßig Android eins 26. April 2016

* Der Patch für dieses Problem ist nicht öffentlich verfügbar. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Anfälligkeit für Information Offenlegung im Kernel -Teletyp -Treiber

Eine Anfälligkeit für die Offenlegung von Informationen im Teletyp -Treiber könnte es einer bösartigen Anwendung lokaler Anwendung ermöglichen, auf Daten außerhalb der Berechtigungsstufen zuzugreifen. Dieses Problem wird als moderat eingestuft, da es zunächst einen privilegierten Prozess beeinträchtigt.

CVE Verweise Schwere Aktualisierte Nexus -Geräte Datum gemeldet
CVE-2016-0723 A-28409131
Upstream-Kernel		 Mäßig Nexus 5, Nexus 5x, Nexus 6, Nexus 6p, Nexus 7 (2013), Nexus 9, Nexus -Spieler, Pixel C. 26. April 2016

Denial of Service -Sicherheitsanfälligkeit im Qualcomm -Bootloader

Eine Verweigerung der Serviceanfälligkeit im Qualcomm -Bootloader könnte es einer bösartigen Anwendung lokaler Anwendung ermöglichen, einen lokalen dauerhaften Gerätekompromiss zu verursachen, für das möglicherweise das Betriebssystem überflash ist, um das Gerät zu reparieren. Dieses Problem wird als moderat eingestuft, da es zunächst einen privilegierten Prozess beeinträchtigt.

CVE Verweise Schwere Aktualisierte Nexus -Geräte Datum gemeldet
CVE-2014-9798 A-28821448 QC-CR681965 Mäßig Nexus 5 31. Oktober 2014
CVE-2015-8893 A-28822690 QC-CR822275 Mäßig Nexus 5, Nexus 7 (2013) 19. August 2015

Häufige Fragen und Antworten

In diesem Abschnitt werden häufige Fragen beantwortet, die nach dem Lesen dieses Bulletins auftreten können.

1. Wie kann ich feststellen, ob mein Gerät aktualisiert wurde, um diese Probleme zu beheben?

Sicherheitspatchstufen des 2016-07-01 oder später alle Probleme, die mit der Stufe der Sicherheitspatch-Zeichenfolge 2016-7-01 verbunden sind. Sicherheitspatchstufen von 2016-07-05 oder später werden alle mit der Level 2016-07-05 Security Patch String verbundenen Probleme angesprochen. Anweisungen zur Überprüfung der Sicherheits -Patch -Ebene finden Sie in der Help Center . Gerätehersteller, die diese Updates enthalten, sollten die Patch-String-Ebene auf: [ro.build.version.security_patch] festlegen: [2016-07-01] oder [ro.build.version.security_patch]: [2016-07-05].

2. Warum hat dieses Bulletin zwei Saiten auf Sicherheitspatch -Level?

Dieses Bulletin verfügt über zwei Strings auf Sicherheitspatch -Ebene, um Android -Partnern die Flexibilität zu bieten, schneller zu bewegen, um eine Untergruppe von Schwachstellen zu beheben, die auf allen Android -Geräten ähnlich sind. Android -Partner werden ermutigt, alle Probleme in diesem Bulletin zu beheben und die neueste String für die Sicherheits -Patch -Ebene zu verwenden.

Geräte, die die Sicherheitspatchstufe vom 5. Juli 2016 oder neuer verwenden, müssen alle anwendbaren Patches in diese (und früheren) Sicherheitsbulletins enthalten.

Geräte, die die Sicherheits -Patch -Ebene vom 1. Juli 2016 nutzen, müssen alle Probleme mit dieser Sicherheitspatch -Ebene sowie Korrekturen für alle in früheren Sicherheitsbulletins gemeldeten Themen enthalten. Geräte, die den 1. Juli 2016 verwenden, können auch eine Untergruppe von Korrekturen enthalten, die mit der Sicherheits -Patch -Ebene vom 5. Juli 2016 verbunden sind.

3. Wie stelle ich fest, welche Nexus -Geräte von jedem Problem betroffen sind?

In den Abschnitten für Sicherheitsanfälligkeitsdetails der Sicherheitsanfälligkeit 2016-01 und 2016-07-05 verfügt jede Tabelle über eine aktualisierte NEXUS-Gerätespalte, in der die für jedes Problem aktualisierte betroffene Nexus-Geräte aktualisiert werden. Diese Spalte hat einige Optionen:

  • Alle Nexus -Geräte : Wenn ein Problem alle Nexus -Geräte betrifft, verfügt die Tabelle in der Spalte Nexus -Geräte "alle Nexus". "All Nexus" verkauft die folgenden unterstützten Geräte : Nexus 5, Nexus 5x, Nexus 6, Nexus 6p, Nexus 7 (2013), Nexus 9, Android One, Nexus Player und Pixel C.
  • Einige Nexus -Geräte : Wenn sich ein Problem nicht auf alle Nexus -Geräte auswirkt, sind die betroffenen Nexus -Geräte in der Spalte aktualisierter Nexus -Geräte aufgeführt.
  • Keine Nexus -Geräte : Wenn keine Nexus -Geräte von dem Problem betroffen sind, hat die Tabelle in der Spalte Nexus -Geräte "keine".

4. Was sind die Einträge in der Spaltenkarte der Referenzen?

Einträge in der Spalte „Referenzen“ der Tabelle mit den Schwachstellendetails können ein Präfix enthalten, das die Organisation identifiziert, zu der der Referenzwert gehört. Diese Präfixe karten wie folgt:

Präfix Referenz
A- Android-Fehler-ID
QC- Qualcomm-Referenznummer
M- MediaTek-Referenznummer
N- NVIDIA-Referenznummer

Überarbeitungen

  • 06. Juli 2016: Bulletin veröffentlicht.
  • 07. Juli 2016:
    • AOSP -Links hinzugefügt.
    • CVE-2016-3794 entfernt, weil es ein Duplikat von CVE-2016-3814 ist
    • Zuschreibung für CVE-2016-2501 und CVE-2016-2502 hinzugefügt
  • 11. Juli 2016: Aktualisierte Zuschreibung für CVE-2016-3750
  • 14. Juli 2016: Aktualisierte Zuschreibung für CVE-2016-2503
  • 1. April 2019: Aktualisierte Patch-Links für CVE-2016-3818