פורסם ב-06 בספטמבר 2016 | עודכן ב-12 בספטמבר 2016
עלון האבטחה של אנדרואיד מכיל פרטים על פרצות אבטחה המשפיעות על מכשירי אנדרואיד. לצד העלון, פרסמנו עדכון אבטחה למכשירי Nexus באמצעות עדכון אוויר (OTA). תמונות הקושחה של Nexus שוחררו גם לאתר Google Developer . רמות תיקון האבטחה של 06 בספטמבר 2016 ואילך מטפלות בבעיות אלה. עיין בתיעוד כדי ללמוד כיצד לבדוק את רמת תיקון האבטחה. מכשירי Nexus נתמכים יקבלו עדכון OTA יחיד עם רמת תיקון האבטחה של 06 בספטמבר 2016.
שותפים קיבלו הודעה על הבעיות המתוארות בעלון ב-5 באוגוסט 2016 או קודם לכן. במידת האפשר, תיקוני קוד מקור עבור בעיות אלה שוחררו למאגר Android Open Source Project (AOSP). עלון זה כולל גם קישורים לתיקונים מחוץ ל-AOSP.
החמורה ביותר מבין הבעיות הללו היא פגיעות אבטחה קריטית שעלולה לאפשר ביצוע קוד מרחוק במכשיר מושפע באמצעות מספר שיטות כגון דואר אלקטרוני, גלישה באינטרנט ו-MMS בעת עיבוד קובצי מדיה. הערכת החומרה מבוססת על ההשפעה שאולי תהיה לניצול הפגיעות על מכשיר מושפע, בהנחה שהפלטפורמה וההפחתות השירות מושבתות למטרות פיתוח או אם יעקפו בהצלחה.
לא קיבלנו דיווחים על ניצול פעיל של לקוחות או שימוש לרעה בבעיות אלה שדווחו לאחרונה. עיין בסעיף ההפחתות בשירותי אנדרואיד וגוגל לפרטים על הגנות פלטפורמת האבטחה של אנדרואיד והגנות שירות כגון SafetyNet, המשפרות את האבטחה של פלטפורמת אנדרואיד.
אנו מעודדים את כל הלקוחות לקבל עדכונים אלה למכשירים שלהם.
הכרזות
- עלון זה כולל שלוש מחרוזות ברמת תיקון אבטחה כדי לספק לשותפים של אנדרואיד את הגמישות לנוע מהר יותר כדי לתקן קבוצת משנה של נקודות תורפה הדומות בכל מכשירי האנדרואיד. ראה שאלות ותשובות נפוצות למידע נוסף:
- 2016-09-01 : מחרוזת רמת תיקון אבטחה חלקית. מחרוזת רמת תיקון אבטחה זו מציינת שכל הבעיות הקשורות ל-2016-09-01 (וכל מחרוזות רמת תיקון האבטחה הקודמות) מטופלות.
- 2016-09-05 : מחרוזת רמת תיקון אבטחה חלקית. מחרוזת רמת תיקון אבטחה זו מציינת שכל הבעיות הקשורות ל-2016-09-01 ו-2016-09-05 (וכל מחרוזות רמת תיקון האבטחה הקודמות) מטופלות.
- 2016-09-06 : מחרוזת מלאה ברמת תיקון האבטחה, המטפלת בבעיות שהתגלו לאחר שהשותפים קיבלו הודעה על רוב הבעיות בעלון זה. מחרוזת רמת תיקון אבטחה זו מציינת שכל הבעיות הקשורות ל-2016-09-01, 2016-09-05 ו-2016-09-06 (וכל המחרוזות הקודמות ברמת תיקון האבטחה) מטופלות.
- מכשירי Nexus נתמכים יקבלו עדכון OTA יחיד עם רמת תיקון האבטחה של 06 בספטמבר 2016.
הפחתות שירותי אנדרואיד וגוגל
זהו סיכום של ההקלות שמספקות פלטפורמת האבטחה אנדרואיד והגנות שירות כגון SafetyNet. יכולות אלו מפחיתות את הסבירות שניתן יהיה לנצל בהצלחה פרצות אבטחה באנדרואיד.
- ניצול בעיות רבות באנדרואיד מקשה על ידי שיפורים בגרסאות חדשות יותר של פלטפורמת אנדרואיד. אנו ממליצים לכל המשתמשים לעדכן לגרסה העדכנית ביותר של אנדרואיד במידת האפשר.
- צוות אבטחת אנדרואיד עוקב באופן פעיל אחר שימוש לרעה באמצעות Verify Apps ו- SafetyNet , שנועדו להזהיר משתמשים מפני יישומים שעלולים להזיק . אימות אפליקציות מופעל כברירת מחדל במכשירים עם שירותי Google Mobile , והוא חשוב במיוחד למשתמשים המתקינים אפליקציות מחוץ ל-Google Play. כלי השתרשות מכשירים אסורים ב-Google Play, אך Verify Apps מזהיר משתמשים כאשר הם מנסים להתקין אפליקציית השתרשות שזוהתה - לא משנה מאיפה היא מגיעה. בנוסף, Verify Apps מנסה לזהות ולחסום התקנה של יישומים זדוניים ידועים המנצלים פגיעות של הסלמה של הרשאות. אם יישום כזה כבר הותקן, Verify Apps יודיע למשתמש וינסה להסיר את היישום שזוהה.
- בהתאם, יישומי Google Hangouts ו-Messenger אינם מעבירים מדיה אוטומטית לתהליכים כגון Mediaserver.
תודות
ברצוננו להודות לחוקרים אלו על תרומתם:
- קורי פרו מאוניברסיטת קרנגי מלון: CVE-2016-3897
- Gengjia Chen ( @chengjia4574 ) ו- pjf ממעבדת IceSword, Qihoo 360 Technology Co. Ltd.: CVE-2016-3869, CVE-2016-3865, CVE-2016-3866, CVE-2016-3867
- Hao Qin ממעבדת מחקר אבטחה, Cheetah Mobile : CVE-2016-3863
- Jann Horn מ-Google Project Zero: CVE-2016-3885
- Jianqiang Zhao ( @jianqiangzhao ) ו- pjf של IceSword Lab, Qihoo 360: CVE-2016-3858
- ג'ושוע דרייק ( @jduck ): CVE-2016-3861
- Madhu Priya Murugan מ-CISPA, אוניברסיטת סערלנד: CVE-2016-3896
- Makoto Onuki מגוגל: CVE-2016-3876
- Mark Brand של Google Project Zero: CVE-2016-3861
- Max Spector של אבטחת אנדרואיד: CVE-2016-3888
- Max Spector ו-Quan To של אבטחת אנדרואיד: CVE-2016-3889
- Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ), ו-Xuxian Jiang מצוות C0RE : CVE-2016-3895
- נתן קרנדל ( @natecray ) מצוות אבטחת המוצר של טסלה מוטורס: גילוי של בעיות נוספות הקשורות ל-CVE-2016-2446
- אולקסי ויאלוב מגוגל: CVE-2016-3890
- אוליבר צ'אנג מצוות האבטחה של Google Chrome: CVE-2016-3880
- שיר פנג שיאו, צ'נגמינג יאנג, נינג יו, צ'או יאנג ויאנג, של Alibaba Mobile Security Group: CVE-2016-3859
- Ronald L. Loor Vargas ( @loor_rlv ) מ-TEAM Lv51: CVE-2016-3886
- שגיא קדמי, חוקר X-Force Security של IBM: CVE-2016-3873
- סקוט באואר ( @ScottyBauer1 ): CVE-2016-3893, CVE-2016-3868, CVE-2016-3867
- Seven Shen ( @lingtongshen ) של TrendMicro: CVE-2016-3894
- Tim Strazzere ( @timstrazz ) מ-SentinelOne / RedNaga: CVE-2016-3862
- trotmaster ( @trotmaster99 ): CVE-2016-3883
- ויקטור צ'אנג מגוגל: CVE-2016-3887
- Vignesh Venkatasubramanian מגוגל: CVE-2016-3881
- Weichao Sun ( @sunblate ) מ-Alibaba Inc: CVE-2016-3878
- Wenke Dou , Mingjian Zhou ( @Mingjian_Zhou ), Chiachih Wu ( @chiachih_wu ), ו-Xuxian Jiang מצוות C0RE : CVE-2016-3870, CVE-2016-3871, CVE-2016-3872
- Wish Wu (吴潍浠) ( @wish_wu ) של Trend Micro Inc .: CVE-2016-3892
- Xingyu He (何星宇) ( @Spid3r_ ) של Alibaba Inc : CVE-2016-3879
- Yacong Gu ממעבדת TCA, המכון לתוכנה, האקדמיה הסינית למדעים: CVE-2016-3884
- יורו שאו מאוניברסיטת מישיגן אן ארבור: CVE-2016-3898
רמת תיקון אבטחה 2016-09-01—פרטי פגיעות אבטחה
בסעיפים שלהלן, אנו מספקים פרטים עבור כל אחת מפגיעות האבטחה החלות על רמת התיקון של 2016-09-01. יש תיאור של הבעיה, רציונל חומרה וטבלה עם ה-CVE, הפניות משויכות, חומרה, מכשירי Nexus מעודכנים, גרסאות AOSP מעודכנות (כאשר רלוונטי) ותאריך הדיווח. כאשר יהיה זמין, נקשר את השינוי הציבורי שטיפל בבעיה למזהה הבאג, כמו רשימת השינויים של AOSP. כאשר שינויים מרובים מתייחסים לבאג בודד, הפניות נוספות מקושרות למספרים בעקבות מזהה הבאג.
פגיעות של ביצוע קוד מרחוק ב-LibUtils
פגיעות של ביצוע קוד מרחוק ב-LibUtils עלולה לאפשר לתוקף המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר של תהליך מיוחס. בעיה זו מדורגת כקריטית בשל האפשרות של ביצוע קוד מרחוק ביישומים המשתמשים בספרייה זו.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3861 | A-29250543 [ 2 ] [ 3 ] [ 4 ] | קריטי | הכל Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 9 ביוני 2016 |
פגיעות של ביצוע קוד מרחוק ב-Mediaserver
פגיעות של ביצוע קוד מרחוק ב-Mediaserver עלולה לאפשר לתוקף המשתמש בקובץ בעל מבנה מיוחד לגרום לפגיעה בזיכרון במהלך עיבוד קבצי מדיה ונתונים. בעיה זו מדורגת כקריטית בשל האפשרות של ביצוע קוד מרחוק בהקשר של תהליך Mediaserver.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3862 | A-29270469 | קריטי | הכל Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 10 ביוני 2016 |
פגיעות של ביצוע קוד מרחוק ב-MediaMuxer
פגיעות של ביצוע קוד מרחוק ב-MediaMuxer עלולה לאפשר לתוקף המשתמש בקובץ בעל מבנה מיוחד לבצע קוד שרירותי בהקשר של תהליך חסר הרשאות. בעיה זו מדורגת כגבוהה בשל האפשרות של ביצוע קוד מרחוק באפליקציה המשתמשת ב-MediaMuxer.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3863 | A-29161888 | גָבוֹהַ | הכל Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 6 ביוני 2016 |
הפגיעות של העלאת הרשאות ב-Mediaserver
הפגיעות של העלאת הרשאות ב-Mediaserver עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של תהליך מיוחס. בעיה זו מדורגת כגבוהה מכיוון שניתן להשתמש בה כדי לקבל גישה מקומית ליכולות מוגברות, שבדרך כלל אינן נגישות לאפליקציה של צד שלישי.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3870 | A-29421804 | גָבוֹהַ | הכל Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 15 ביוני 2016 |
| CVE-2016-3871 | A-29422022 [ 2 ] [ 3 ] | גָבוֹהַ | הכל Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 15 ביוני 2016 |
| CVE-2016-3872 | A-29421675 [ 2 ] | גָבוֹהַ | הכל Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 15 ביוני 2016 |
הפגיעות של העלאת הרשאות באתחול המכשיר
העלאת הרשאות במהלך רצף האתחול עלולה לאפשר לתוקף זדוני מקומי לאתחל למצב בטוח למרות שהוא מושבת. בעיה זו מדורגת כגבוהה מכיוון שהיא עקיפת מקומית של דרישות אינטראקציה של משתמשים עבור כל שינוי של מפתח או הגדרות אבטחה.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3875 | A-26251884 | גָבוֹהַ | אף אחד* | 6.0, 6.0.1 | Google פנימי |
* מכשירי Nexus נתמכים ב-Android 7.0 שהתקינו את כל העדכונים הזמינים אינם מושפעים מפגיעות זו.
הפגיעות של העלאת הרשאות בהגדרות
העלאת הרשאות בהגדרות עלולה לאפשר לתוקף זדוני מקומי לאתחל למצב בטוח למרות שהוא מושבת. בעיה זו מדורגת כגבוהה מכיוון שהיא עקיפת מקומית של דרישות אינטראקציה של משתמשים עבור כל שינוי של מפתח או הגדרות אבטחה.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3876 | A-29900345 | גָבוֹהַ | הכל Nexus | 6.0, 6.0.1, 7.0 | Google פנימי |
פגיעות מניעת שירות ב-Mediaserver
פגיעות של מניעת שירות ב-Mediaserver עלולה לאפשר לתוקף להשתמש בקובץ בעל מבנה מיוחד כדי לגרום להתקן להיתקע או לאתחל מחדש. נושא זה מדורג כגבוה בשל האפשרות של מניעת שירות מרחוק.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3899 | A-29421811 | גָבוֹהַ | הכל Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 16 ביוני 2016 |
| CVE-2016-3878 | A-29493002 | גָבוֹהַ | כל Nexus* | 6.0, 6.0.1 | 17 ביוני 2016 |
| CVE-2016-3879 | A-29770686 | גָבוֹהַ | כל Nexus* | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 25 ביוני 2016 |
| CVE-2016-3880 | A-25747670 | גָבוֹהַ | הכל Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | Google פנימי |
| CVE-2016-3881 | A-30013856 | גָבוֹהַ | הכל Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | Google פנימי |
* מכשירי Nexus נתמכים ב-Android 7.0 שהתקינו את כל העדכונים הזמינים אינם מושפעים מפגיעות זו.
הפגיעות של העלאת הרשאות בטלפוניה
הפגיעות של העלאת הרשאות ברכיב הטלפוניה עלולה לאפשר לאפליקציה זדונית מקומית לשלוח הודעות SMS פרימיום לא מורשות. בעיה זו מדורגת כמתונה מכיוון שניתן להשתמש בה כדי להשיג יכולות מוגברות ללא הרשאת משתמש מפורשת.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3883 | A-28557603 | לְמַתֵן | הכל Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 3 במאי 2016 |
הפגיעות של העלאת הרשאות בשירות מנהל ההודעות
הפגיעות של העלאת הרשאות ב-Notification Manager Service עלולה לאפשר לאפליקציה זדונית מקומית לעקוף הגנות של מערכת הפעלה המבודדות נתוני יישומים מיישומים אחרים. בעיה זו מדורגת כמתונה מכיוון שהיא עקיפת מקומית של דרישות אינטראקציה של משתמשים, כגון גישה לפונקציונליות שבדרך כלל תצריך ייזום משתמש או הרשאת משתמש.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3884 | A-29421441 | לְמַתֵן | הכל Nexus | 6.0, 6.0.1, 7.0 | 15 ביוני 2016 |
הפגיעות של העלאת הרשאות ב-Debuggerd
הפגיעות של העלאת הרשאות במפרק הבאגים המשולב של אנדרואיד עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של מאתר הבאגים של אנדרואיד. בעיה זו מדורגת כחומרה בינונית בשל האפשרות של ביצוע קוד שרירותי מקומי בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3885 | A-29555636 | לְמַתֵן | הכל Nexus | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 21 ביוני 2016 |
הפגיעות של העלאת הרשאות ב-System UI Tuner
העלאת הרשאות במקלט ממשק המשתמש של המערכת עלולה לאפשר למשתמש זדוני מקומי לשנות הגדרות מוגנות כאשר מכשיר נעול. בעיה זו מדורגת כמתונה מכיוון שהיא עקיפת מקומית של הרשאות משתמש.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3886 | A-30107438 | לְמַתֵן | הכל Nexus | 7.0 | 23 ביוני 2016 |
הפגיעות של העלאת הרשאות בהגדרות
הפגיעות של העלאת הרשאות בהגדרות עלולה לאפשר לאפליקציה זדונית מקומית לעקוף הגנות של מערכת ההפעלה עבור הגדרות VPN. בעיה זו מדורגת כמתונה מכיוון שניתן להשתמש בה כדי לקבל גישה לנתונים מחוץ לרמות ההרשאה של האפליקציה.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3887 | A-29899712 | לְמַתֵן | הכל Nexus | 7.0 | Google פנימי |
הפגיעות של העלאת הרשאות ב-SMS
הפגיעות של העלאת הרשאות ב-SMS עלולה לאפשר לתוקף מקומי לשלוח הודעות SMS מובחרות לפני הקצאת המכשיר. זה מדורג כבינוני בשל האפשרות לעקוף את הגנת איפוס היצרן, שאמורה למנוע שימוש במכשיר לפני הגדרתו.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3888 | A-29420123 | לְמַתֵן | הכל Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | Google פנימי |
הפגיעות של העלאת הרשאות בהגדרות
הפגיעות של העלאת הרשאות בהגדרות עלולה לאפשר לתוקף מקומי לעקוף את הגנת איפוס היצרן ולקבל גישה למכשיר. זה מדורג כבינוני בשל האפשרות לעקוף את הגנת איפוס היצרן, מה שעלול להוביל לאיפוס מוצלח של המכשיר ולמחיקת כל הנתונים שלו.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3889 | A-29194585 [ 2 ] | לְמַתֵן | הכל Nexus | 6.0, 6.0.1, 7.0 | Google פנימי |
העלאת פגיעות הרשאות ב-Java Debug Wire Protocol
פגיעות העלאת הרשאות ב-Java Debug Wire Protocol עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של יישום מערכת מוגבה. בעיה זו מדורגת כמתונה מכיוון שהיא דורשת תצורת מכשיר לא שכיחה.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3890 | A-28347842 [ 2 ] | לְמַתֵן | אף אחד* | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | Google פנימי |
* מכשירי Nexus נתמכים ב-Android 7.0 שהתקינו את כל העדכונים הזמינים אינם מושפעים מפגיעות זו.
פגיעות של חשיפת מידע ב-Mediaserver
פגיעות של חשיפת מידע ב-Mediaserver עלולה לאפשר ליישום זדוני מקומי לגשת לנתונים מחוץ לרמות ההרשאה שלו. בעיה זו מדורגת כמתונה מכיוון שניתן להשתמש בה כדי לגשת לנתונים רגישים ללא רשות.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3895 | A-29983260 | לְמַתֵן | הכל Nexus | 6.0, 6.0.1, 7.0 | 4 ביולי 2016 |
פגיעות של חשיפת מידע ב-AOSP Mail
פגיעות של חשיפת מידע ב-AOSP Mail עלולה לאפשר לאפליקציה זדונית מקומית לקבל גישה למידע הפרטי של המשתמש. בעיה זו מדורגת כמתונה מכיוון שהיא עשויה לשמש לגישה לא נכונה לנתונים ללא רשות.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3896 | א-29767043 | לְמַתֵן | אף אחד* | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 24 ביולי 2016 |
* מכשירי Nexus נתמכים ב-Android 7.0 שהתקינו את כל העדכונים הזמינים אינם מושפעים מפגיעות זו.
פגיעות של חשיפת מידע ב-Wi-Fi
פגיעות של חשיפת מידע בתצורת ה-Wi-Fi עלולה לאפשר לאפליקציה לגשת למידע רגיש. בעיה זו מדורגת כמתונה מכיוון שניתן להשתמש בה כדי לגשת לנתונים ללא רשות.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3897 | A-25624963 [ 2 ] | לְמַתֵן | אף אחד* | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 5 בנובמבר 2015 |
* מכשירי Nexus נתמכים ב-Android 7.0 שהתקינו את כל העדכונים הזמינים אינם מושפעים מפגיעות זו.
פגיעות מניעת שירות בטלפוניה
פגיעות של מניעת שירות ברכיב הטלפוניה עלולה לאפשר לאפליקציה זדונית מקומית למנוע שיחות 911 TTY ממסך נעול. נושא זה מדורג כבינוני בשל האפשרות של מניעת שירות בפונקציה קריטית.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | גרסאות AOSP מעודכנות | תאריך דיווח |
|---|---|---|---|---|---|
| CVE-2016-3898 | A-29832693 | לְמַתֵן | הכל Nexus | 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 | 28 ביוני 2016 |
רמת תיקון האבטחה של 2016-09-05—פרטי פגיעות
בסעיפים שלהלן, אנו מספקים פרטים עבור כל אחת מפגיעות האבטחה החלות על רמת התיקון של 2016-09-05. יש תיאור של הבעיה, רציונל חומרה וטבלה עם ה-CVE, הפניות משויכות, חומרה, מכשירי Nexus מעודכנים, גרסאות AOSP מעודכנות (כאשר רלוונטי) ותאריך הדיווח. כאשר יהיה זמין, נקשר את השינוי הציבורי שטיפל בבעיה למזהה הבאג, כמו רשימת השינויים של AOSP. כאשר שינויים מרובים מתייחסים לבאג בודד, הפניות נוספות מקושרות למספרים בעקבות מזהה הבאג.
העלאת פגיעות הרשאות בתת מערכת אבטחת הליבה
הפגיעות של העלאת הרשאות בתת-מערכת האבטחה של הליבה עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כקריטית בשל האפשרות של פגיעה מקומית קבועה במכשיר, אשר עשויה לדרוש חידוש מערכת ההפעלה כדי לתקן את המכשיר.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2014-9529 | A-29510361 | קריטי | Nexus 5, Nexus 6, Nexus 9, Nexus Player, Android One | 6 בינואר 2015 |
| CVE-2016-4470 | A-29823941 | קריטי | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player | 15 ביוני 2016 |
העלאת פגיעות הרשאות בתת-מערכת רשת ליבה
הפגיעות של העלאת הרשאות בתת-מערכת הרשת של הליבה עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כקריטית בשל האפשרות של פגיעה מקומית קבועה במכשיר, אשר עשויה לדרוש חידוש מערכת ההפעלה כדי לתקן את המכשיר.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2013-7446 | A-29119002 | קריטי | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 18 בנובמבר 2015 |
הפגיעות של העלאת הרשאות בתת-מערכת Netfilter של ליבה
הפגיעות של העלאת הרשאות בתת-מערכת הליבה Netfilter עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כקריטית בשל האפשרות של פגיעה מקומית קבועה במכשיר, אשר עשויה לדרוש חידוש מערכת ההפעלה כדי לתקן את המכשיר.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3134 | A-28940694 | קריטי | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 9 במרץ 2016 |
הפגיעות של העלאת הרשאות במנהל התקן USB ליבה
הפגיעות של העלאת הרשאות במנהל התקן ה-USB של הליבה עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כקריטית בשל האפשרות של פגיעה מקומית קבועה במכשיר, אשר עשויה לדרוש חידוש מערכת ההפעלה כדי לתקן את המכשיר.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3951 | A-28744625 גרעין במעלה הזרם [ 2 ] | קריטי | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 6 באפריל, 2016 |
העלאת פגיעות הרשאות בתת-מערכת סאונד ליבה
הפגיעות של העלאת הרשאות בתת-מערכת הקול של הליבה עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2014-4655 | A-29916012 | גָבוֹהַ | Nexus 5, Nexus 6, Nexus 9, Nexus Player | 26 ביוני 2014 |
הפגיעות של העלאת הרשאות במפענח ASN.1 של ליבה
הפגיעות של העלאת הרשאות במפענח הליבה ASN.1 עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-2053 | A-28751627 | גָבוֹהַ | Nexus 5X, Nexus 6P | 25 בינואר 2016 |
הפגיעות של העלאת הרשאות בשכבת ממשק הרדיו של קוואלקום
הפגיעות של העלאת הרשאות בשכבת ממשק הרדיו של Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3864 | A-28823714* QC-CR#913117 | גָבוֹהַ | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One | 29 באפריל, 2016 |
* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .
הפגיעות של העלאת הרשאות במנהל ההתקן של המשנה של Qualcomm
הפגיעות של העלאת הרשאות במנהל ההתקן של המשנה של Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3858 | A-28675151 QC-CR#1022641 | גָבוֹהַ | Nexus 5X, Nexus 6P | 9 במאי 2016 |
הפגיעות של העלאת הרשאות במנהל התקן רשת ליבה
הפגיעות של העלאת הרשאות במנהל ההתקן של רשת הליבה עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-4805 | A-28979703 | גָבוֹהַ | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9 | 15 במאי 2016 |
הפגיעות של העלאת הרשאות במנהל ההתקן של מסך המגע של Synaptics
הפגיעות של העלאת הרשאות במנהל ההתקן של מסך המגע של Synaptics עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3865 | A-28799389* | גָבוֹהַ | Nexus 5X, Nexus 9 | 16 במאי 2016 |
* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .
הפגיעות של העלאת הרשאות במנהל ההתקן של המצלמה של Qualcomm
הפגיעות של העלאת הרשאות במנהל ההתקן של מצלמת Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3859 | A-28815326* QC-CR#1034641 | גָבוֹהַ | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P | 17 במאי 2016 |
* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .
הפגיעות של העלאת הרשאות במנהל התקן הסאונד של Qualcomm
הפגיעות של העלאת הרשאות במנהל התקן הסאונד של Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3866 | A-28868303* QC-CR#1032820 | גָבוֹהַ | Nexus 5X, Nexus 6, Nexus 6P | 18 במאי 2016 |
* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .
הפגיעות של העלאת הרשאות במנהל התקן IPA של Qualcomm
הפגיעות של העלאת הרשאות במנהל ההתקן של Qualcomm IPA עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3867 | A-28919863* QC-CR#1037897 | גָבוֹהַ | Nexus 5X, Nexus 6P | 21 במאי 2016 |
* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .
הפגיעות של העלאת הרשאות ב-Qualcomm Power Driver
הפגיעות של העלאת הרשאות במנהל התקן הכוח של Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3868 | A-28967028* QC-CR#1032875 | גָבוֹהַ | Nexus 5X, Nexus 6P | 25 במאי 2016 |
* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .
הפגיעות של העלאת הרשאות במנהל התקן Wi-Fi של Broadcom
הפגיעות של העלאת הרשאות במנהל ההתקן של Broadcom Wi-Fi עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3869 | A-29009982* B-RB#96070 | גָבוֹהַ | Nexus 5, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C | 27 במאי 2016 |
* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .
העלאת פגיעות הרשאות במערכת הקבצים eCryptfs של ליבה
הפגיעות של העלאת הרשאות במערכת הקבצים eCryptfs של הליבה עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-1583 | A-29444228 גרעין במעלה הזרם | גָבוֹהַ | Pixel C | 1 ביוני 2016 |
העלאת פגיעות הרשאות בליבת NVIDIA
הפגיעות של העלאת הרשאות בליבת NVIDIA עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כחומרה גבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3873 | A-29518457* N-CVE-2016-3873 | גָבוֹהַ | Nexus 9 | 20 ביוני 2016 |
* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .
הפגיעות של העלאת הרשאות במנהל התקן Wi-Fi של Qualcomm
הפגיעות של העלאת הרשאות במנהל ההתקן של Qualcomm Wi-Fi עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3874 | A-29944562 QC-CR#997797 [ 2 ] | גָבוֹהַ | Nexus 5X | 1 ביולי 2016 |
פגיעות מניעת שירות בתת-מערכת רשת ליבה
פגיעות של מניעת שירות בתת-מערכת הרשת של הליבה עלולה לאפשר לתוקף לגרום להתקן להיתקע או לאתחל מחדש. בעיה זו מדורגת כגבוהה בשל האפשרות של מניעת שירות מרחוק זמנית.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-1465 | A-29506807 | גָבוֹהַ | Nexus 5, Nexus 6, Nexus 9, Nexus Player, Pixel C, Android One | 3 בפברואר 2015 |
| CVE-2015-5364 | A-29507402 | גָבוֹהַ | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 30 ביוני 2015 |
פגיעות מניעת שירות במערכת הקבצים ext4 של הקרנל
פגיעות של מניעת שירות במערכת הקבצים ext4 של הליבה עלולה לאפשר לתוקף לגרום למניעת שירות מקומית קבועה, מה שעלול לדרוש חידוש מערכת ההפעלה כדי לתקן את המכשיר. נושא זה מדורג כגבוה בשל האפשרות של מניעת שירות מקומית קבועה.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-8839 | A-28760453* | גָבוֹהַ | Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 4 באפריל, 2016 |
* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .
פגיעות של חשיפת מידע במנהל התקן SPMI של Qualcomm
פגיעות של חשיפת מידע במנהל ההתקן של Qualcomm SPMI עלולה לאפשר ליישום זדוני מקומי לגשת לנתונים מחוץ לרמות ההרשאה שלו. בעיה זו מדורגת כמתונה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3892 | A-28760543* QC-CR#1024197 | לְמַתֵן | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P | 13 במאי 2016 |
* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .
פגיעות של חשיפת מידע ב-Codec סאונד של Qualcomm
פגיעות של חשיפת מידע ב-Codec הקול של Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית לגשת לנתונים מחוץ לרמות ההרשאה שלו. בעיה זו מדורגת כמתונה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3893 | A-29512527 QC-CR#856400 | לְמַתֵן | Nexus 6P | 20 ביוני 2016 |
פגיעות של חשיפת מידע ברכיב DMA של קוואלקום
פגיעות של חשיפת מידע ברכיב ה-DMA של Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית לגשת לנתונים מחוץ לרמות ההרשאה שלו. בעיה זו מדורגת כמתונה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-3894 | A-29618014* QC-CR#1042033 | לְמַתֵן | Nexus 6 | 23 ביוני 2016 |
* התיקון לבעיה זו אינו זמין לציבור. העדכון כלול במנהלי ההתקן הבינאריים העדכניים ביותר עבור מכשירי Nexus הזמינים מאתר Google Developer .
פגיעות של חשיפת מידע בתת-מערכת רשת ליבה
פגיעות של חשיפת מידע בתת-מערכת הרשת של הליבה עלולה לאפשר ליישום זדוני מקומי לגשת לנתונים מחוץ לרמות ההרשאה שלו. בעיה זו מדורגת כמתונה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-4998 | A-29637687 גרעין במעלה הזרם [ 2 ] | לְמַתֵן | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 24 ביוני 2016 |
פגיעות מניעת שירות בתת-מערכת רשת ליבה
פגיעות של מניעת שירות בתת-מערכת רשת הליבה עלולה לאפשר לתוקף לחסום גישה ליכולות ה-Wi-Fi. בעיה זו מדורגת כמתונה בשל האפשרות של מניעת שירות זמנית מרחוק של יכולות ה-Wi-Fi.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-2922 | A-29409847 | לְמַתֵן | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One | 4 באפריל, 2015 |
פגיעויות ברכיבי קוואלקום
הטבלה שלהלן מכילה פרצות אבטחה המשפיעות על רכיבי קוואלקום, הכוללות פוטנציאל את טוען האתחול, מנהל ההתקן של המצלמה, מנהל ההתקן של התווים, הרשת, מנהל ההתקן הקול ומנהל ההתקן של הווידאו.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-2469 | QC-CR#997025 | גָבוֹהַ | אף אחד | יוני 2016 |
| CVE-2016-2469 | QC-CR#997015 | לְמַתֵן | אף אחד | יוני 2016 |
רמת תיקון האבטחה של 2016-09-06—פרטי פגיעות
בסעיפים שלהלן, אנו מספקים פרטים עבור כל אחת מפגיעות האבטחה החלות על רמת התיקון של 2016-09-06. יש תיאור של הבעיה, רציונל חומרה וטבלה עם ה-CVE, הפניות משויכות, חומרה, מכשירי Nexus מעודכנים, גרסאות AOSP מעודכנות (כאשר רלוונטי) ותאריך הדיווח. כאשר יהיה זמין, נקשר את השינוי הציבורי שטיפל בבעיה למזהה הבאג, כמו רשימת השינויים של AOSP. כאשר שינויים מרובים מתייחסים לבאג בודד, הפניות נוספות מקושרות למספרים בעקבות מזהה הבאג.
הפגיעות של העלאת הרשאות בתת-מערכת זיכרון משותף ליבה
הפגיעות של העלאת הרשאות בתת-מערכת הזיכרון המשותף של הליבה עלולה לאפשר ליישום זדוני מקומי להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כקריטית בשל האפשרות של פגיעה מקומית קבועה במכשיר, אשר עשויה לדרוש חידוש מערכת ההפעלה כדי לתקן את המכשיר.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-5340 | A-30652312 QC-CR#1008948 | קריטי | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One | 26 ביולי 2016 |
הפגיעות של העלאת הרשאות ברכיב הרשת של Qualcomm
הפגיעות של העלאת הרשאות ברכיב הרשת של Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קוד שרירותי בהקשר של הליבה. בעיה זו מדורגת כגבוהה מכיוון שהיא דורשת תחילה פגיעה בתהליך מיוחס.
| CVE | הפניות | חוּמרָה | מכשירי Nexus מעודכנים | תאריך דיווח |
|---|---|---|---|---|
| CVE-2016-2059 | A-27045580 QC-CR#974577 | גָבוֹהַ | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Android One | 4 בפברואר 2016 |
שאלות ותשובות נפוצות
סעיף זה עונה על שאלות נפוצות שעלולות להתרחש לאחר קריאת עלון זה.
1. כיצד אוכל לקבוע אם המכשיר שלי מעודכן כדי לטפל בבעיות אלו?
רמות תיקון האבטחה של 2016-09-01 ואילך מטפלות בכל הבעיות הקשורות לרמת מחרוזת תיקון האבטחה של 2016-09-01. רמות תיקון האבטחה של 2016-09-05 ואילך מטפלות בכל הבעיות הקשורות לרמת מחרוזת תיקון האבטחה של 2016-09-05. רמות תיקון האבטחה של 2016-09-06 ואילך מטפלות בכל הבעיות הקשורות לרמת מחרוזת תיקון האבטחה של 2016-09-06. עיין במרכז העזרה לקבלת הוראות כיצד לבדוק את רמת תיקון האבטחה. יצרני מכשירים הכוללים עדכונים אלה צריכים להגדיר את רמת מחרוזת התיקון ל: [ro.build.version.security_patch]:[2016-09-01], [ro.build.version.security_patch]:[2016-09-05], או [ro.build.version.security_patch]:[2016-09-06].
2. מדוע בעלון זה כולל שלוש מחרוזות ברמת תיקון אבטחה?
עלון זה כולל שלוש מחרוזות ברמת תיקון אבטחה, כך שלשותפי אנדרואיד יש את הגמישות לתקן קבוצת משנה של נקודות תורפה הדומות בכל מכשירי האנדרואיד במהירות רבה יותר. שותפי Android מוזמנים לתקן את כל הבעיות בעלון זה ולהשתמש במחרוזת העדכנית ביותר של תיקון האבטחה.
מכשירים המשתמשים ברמת תיקון האבטחה של 6 בספטמבר 2016 ומעלה חייבים לכלול את כל התיקונים הרלוונטיים בעלוני אבטחה זה (וקודמים). רמת תיקון זו נוצרה כדי לטפל בבעיות שהתגלו לאחר שהשותפים קיבלו הודעה ראשונה על רוב הבעיות בעלון זה.
מכשירים המשתמשים ברמת תיקון האבטחה של 5 בספטמבר 2016 חייבים לכלול את כל הבעיות הקשורות לרמת תיקון האבטחה הזו, רמת תיקון האבטחה של 1 בספטמבר 2016 ותיקונים עבור כל הבעיות שדווחו בעלוני אבטחה קודמים. מכשירים המשתמשים ברמת תיקון האבטחה של 5 בספטמבר 2016 עשויים לכלול גם קבוצת משנה של תיקונים המשויכים לרמת תיקון האבטחה של 6 בספטמבר 2016.
מכשירים המשתמשים ברמת תיקון האבטחה של 1 בספטמבר 2016 חייבים לכלול את כל הבעיות הקשורות לרמת תיקון האבטחה הזו, כמו גם תיקונים עבור כל הבעיות שדווחו בעלוני אבטחה קודמים. מכשירים המשתמשים ברמת תיקון האבטחה של 1 בספטמבר 2016 עשויים לכלול גם קבוצת משנה של תיקונים המשויכים לרמות תיקון האבטחה של 5 בספטמבר 2016 ו-6 בספטמבר 2016.
3 . כיצד אוכל לקבוע אילו מכשירי Nexus מושפעים מכל בעיה?
בסעיפים של 2016-09-01 , 2016-09-05 ו -2016-09-06 פרטי פגיעות אבטחה, לכל טבלה יש עמודת מכשירי Nexus מעודכנים המכסה את מגוון מכשירי ה-Nexus המושפעים המעודכנים עבור כל בעיה. בעמודה זו יש כמה אפשרויות:
- כל מכשירי ה-Nexus : אם בעיה משפיעה על כל מכשירי ה-Nexus, הטבלה תכלול "כל מכשירי ה-Nexus" בעמודה מכשירי ה-Nexus המעודכנים . "כל הנקסוס" מכסה את המכשירים הנתמכים הבאים: Nexus 5, Nexus 5x, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player ו- Pixel C.
- כמה מכשירי Nexus : אם בעיה אינה משפיעה על כל התקני Nexus, התקני Nexus המושפעים מופיעים בעמודה המעודכנת של התקני Nexus .
- אין התקני NEXUS : אם אין התקני NEXUS המריצים אנדרואיד 7.0 מושפעים מהבעיה, לטבלה יש "אין" בעמודה המעודכנת של מכשירי NEXUS .
4. אלם מפת הערכים במפת העמודות ההפניות?
ערכים בעמודה הפניות של טבלת פרטי הפגיעות עשויים להכיל קידומת המזהה את הארגון שאליו שייך ערך ההפניה. קידומות אלה מפה כדלקמן:
| קידומת | התייחסות |
|---|---|
| א- | מזהה באג אנדרואיד |
| QC- | מספר סימוכין של קוואלקום |
| M- | מספר סימוכין של MediaTek |
| נ- | מספר סימוכין של NVIDIA |
| ב- | מספר סימוכין של Broadcom |
תיקונים
- 06 בספטמבר 2016: עלון פורסם.
- 07 בספטמבר 2016: עלון מתוקן לכלול קישורי AOSP.
- 12 בספטמבר 2016: עלון מתוקן כדי לעדכן את הייחוס עבור CVE-2016-3861 ולהסיר את CVE-2016-3877.