Boletim de segurança do Android – novembro de 2016

Publicado em 07 de novembro de 2016 | Atualizado em 21 de dezembro de 2016

O Boletim de Segurança do Android contém detalhes de vulnerabilidades de segurança que afetam dispositivos Android. Juntamente com o boletim, lançamos uma atualização de segurança para dispositivos Google por meio de uma atualização over-the-air (OTA). As imagens de firmware do dispositivo Google também foram divulgadas no site do desenvolvedor do Google . Os níveis de patch de segurança de 6 de novembro de 2016 ou posteriores abordam todos esses problemas. Consulte o cronograma de atualização do Pixel e do Nexus para saber como verificar o nível do patch de segurança de um dispositivo.

Os parceiros foram notificados dos problemas descritos no boletim em 20 de outubro de 2016 ou antes. Quando aplicável, os patches de código-fonte para esses problemas foram lançados no repositório Android Open Source Project (AOSP). Este boletim também inclui links para patches fora do AOSP.

O mais grave desses problemas é uma vulnerabilidade crítica de segurança que pode permitir a execução remota de código em um dispositivo afetado por meio de vários métodos, como e-mail, navegação na Web e MMS ao processar arquivos de mídia. A avaliação da gravidade baseia-se no efeito que a exploração da vulnerabilidade poderia ter num dispositivo afetado, assumindo que as mitigações da plataforma e do serviço estão desativadas para fins de desenvolvimento ou se forem contornadas com êxito.

Não tivemos relatos de exploração ativa de clientes ou abuso desses problemas recentemente relatados. Consulte a seção de mitigações de serviços do Android e do Google para obter detalhes sobre as proteções da plataforma de segurança Android e proteções de serviço, como SafetyNet , que melhoram a segurança da plataforma Android.

Incentivamos todos os clientes a aceitarem essas atualizações em seus dispositivos.

Anúncios

  • Com a introdução dos dispositivos Pixel e Pixel XL, o termo para todos os dispositivos suportados pelo Google é “dispositivos Google” em vez de “dispositivos Nexus”.
  • Este boletim tem três níveis de patch de segurança para fornecer aos parceiros Android a flexibilidade para corrigir mais rapidamente um subconjunto de vulnerabilidades semelhantes em todos os dispositivos Android. Consulte Perguntas e respostas comuns para obter informações adicionais:
    • 01/11/2016 : Nível de patch de segurança parcial. Este nível de patch de segurança indica que todos os problemas associados ao 01-11-2016 (e todos os níveis de patch de segurança anteriores) foram resolvidos.
    • 05/11/2016 : Nível de patch de segurança completo. Este nível de patch de segurança indica que todos os problemas associados a 01/11/2016 e 05/11/2016 (e todos os níveis de patch de segurança anteriores) foram resolvidos.
    • Níveis de patch de segurança suplementares

      Níveis de patch de segurança suplementares são fornecidos para identificar dispositivos que contêm correções para problemas que foram divulgados publicamente após a definição do nível de patch. A solução dessas vulnerabilidades divulgadas recentemente não é necessária até o nível do patch de segurança de 01/12/2016.

      • 06/11/2016 : Este nível de patch de segurança indica que o dispositivo resolveu todos os problemas associados a 05/11/2016 e CVE-2016-5195, que foi divulgado publicamente em 19 de outubro de 2016.
  • Os dispositivos Google compatíveis receberão uma única atualização OTA com o nível de patch de segurança de 5 de novembro de 2016.

Mitigações de serviços do Android e do Google

Este é um resumo das mitigações fornecidas pela plataforma de segurança Android e proteções de serviços, como SafetyNet. Esses recursos reduzem a probabilidade de vulnerabilidades de segurança serem exploradas com sucesso no Android.

  • A exploração de muitos problemas no Android é dificultada pelas melhorias nas versões mais recentes da plataforma Android. Encorajamos todos os usuários a atualizar para a versão mais recente do Android sempre que possível.
  • A equipe de segurança do Android monitora ativamente abusos com Verify Apps e SafetyNet , que são projetados para alertar os usuários sobre aplicativos potencialmente prejudiciais . A verificação de aplicativos está ativada por padrão em dispositivos com serviços móveis do Google e é especialmente importante para usuários que instalam aplicativos fora do Google Play. Ferramentas de root de dispositivos são proibidas no Google Play, mas o Verify Apps avisa os usuários quando eles tentam instalar um aplicativo de root detectado, não importa de onde ele venha. Além disso, o Verify Apps tenta identificar e bloquear a instalação de aplicativos maliciosos conhecidos que exploram uma vulnerabilidade de escalonamento de privilégios. Se tal aplicativo já tiver sido instalado, o Verify Apps notificará o usuário e tentará remover o aplicativo detectado.
  • Conforme apropriado, os aplicativos Google Hangouts e Messenger não passam mídia automaticamente para processos como o Mediaserver.

Reconhecimentos

Gostaríamos de agradecer a estes pesquisadores por suas contribuições:

  • Abhishek Arya, Oliver Chang e Martin Barbella da equipe de segurança do Google Chrome: CVE-2016-6722
  • Andrei Kapishnikov e Miriam Gershenson do Google: CVE-2016-6703
  • Ao Wang ( @ArayzSegment ) e Zinuo Han da PKAV , Silence Information Technology: CVE-2016-6700, CVE-2016-6702
  • Askyshang do Departamento de Plataforma de Segurança, Tencent: CVE-2016-6713
  • Billy Lau da segurança do Android: CVE-2016-6737
  • Constantinos Patsakis e Efthimios Alepis da Universidade do Pireu: CVE-2016-6715
  • dragonltx da equipe de segurança móvel do Alibaba: CVE-2016-6714
  • Gal Beniamini do Projeto Zero: CVE-2016-6707, CVE-2016-6717
  • Gengjia Chen ( @ chengjia4574 ) e pjf do IceSword Lab, Qihoo 360 Technology Co. CVE-2016-6744, CVE-2016-6745, CVE-2016-3906
  • Guang Gong (龚广) ( @oldfresher ) da Alpha Team, Qihoo 360 Technology Co. Ltd .: CVE-2016-6754
  • Jianqiang Zhao ( @jianqiangzhao ) e pjf do IceSword Lab, Qihoo 360 Technology Co. Ltd .: CVE-2016-6739, CVE-2016-3904, CVE-2016-3907, CVE-2016-6698
  • Marco Grassi ( @marcograss ) do Keen Lab da Tencent ( @keen_lab ): CVE-2016-6828
  • Marca Marca do Projeto Zero: CVE-2016-6706
  • Mark Renouf do Google: CVE-2016-6724
  • Michał Bednarski ( github.com/michalbednarski ): CVE-2016-6710
  • Min Chong da Segurança Android: CVE-2016-6743
  • Peter Pi ( @heisecode ) da Trend Micro: CVE-2016-6721
  • Qidan He (何淇丹) ( @flanker_hqd ) e Gengming Liu (刘耕铭) ( @dmxcsnsbh ) do KeenLab, Tencent: CVE-2016-6705
  • Robin Lee do Google: CVE-2016-6708
  • Scott Bauer ( @ ScottyBauer1 ): CVE-2016-6751
  • Sergey Bobrov ( @Black2Fan ) da Kaspersky Lab: CVE-2016-6716
  • Seven Shen ( @lingtongshen ) da equipe de pesquisa de ameaças móveis da Trend Micro: CVE-2016-6748, CVE-2016-6749, CVE-2016-6750, CVE-2016-6753
  • Victor van der Veen, Herbert Bos, Kaveh Razavi e Cristiano Giuffrida da Vrije Universiteit Amsterdam e Yanick Fratantonio, Martina Lindorfer e Giovanni Vigna da Universidade da Califórnia, Santa Bárbara: CVE-2016-6728
  • Weichao Sun ( @sunblate ) da Alibaba Inc: CVE-2016-6712, CVE-2016-6699, CVE-2016-6711
  • Wenke Dou ( vancouverdou@gmail.com ), Chiachih Wu ( @chiachih_wu ) e Xuxian Jiang da equipe C0RE : CVE-2016-6720
  • Wish Wu (吴潍浠) ( @wish_wu ) da Trend Micro Inc.: CVE-2016-6704
  • Yakov Shafranovich da Nightwatch Cibersegurança : CVE-2016-6723
  • Yuan-Tsung Lo , Yao Jun , Tong Lin , Chiachih Wu ( @chiachih_wu ) e Xuxian Jiang da equipe C0RE : CVE-2016-6730, CVE-2016-6732, CVE-2016-6734, CVE-2016-6736
  • Yuan-Tsung Lo , Yao Jun , Xiaodong Wang , Chiachih Wu ( @chiachih_wu ) e Xuxian Jiang da equipe C0RE : CVE-2016-6731, CVE-2016-6733, CVE-2016-6735, CVE-2016-6746

Agradecimentos adicionais a Zach Riggle, da Android Security, por suas contribuições em diversas questões deste boletim.

Nível do patch de segurança 01/11/2016 – detalhes da vulnerabilidade

Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 01/11/2016. Há uma descrição do problema, uma justificativa de gravidade e uma tabela com o CVE, referências associadas, gravidade, dispositivos Google atualizados, versões atualizadas do AOSP (quando aplicável) e data relatada. Quando disponível, vincularemos a alteração pública que abordou o problema ao ID do bug, como a lista de alterações do AOSP. Quando múltiplas alterações estão relacionadas a um único bug, referências adicionais são vinculadas a números após o ID do bug.

Vulnerabilidade de execução remota de código no Mediaserver

Uma vulnerabilidade de execução remota de código no Mediaserver poderia permitir que um invasor usando um arquivo especialmente criado causasse corrupção de memória durante o processamento de arquivos de mídia e dados. Este problema é classificado como Crítico devido à possibilidade de execução remota de código no contexto do processo Mediaserver.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6699 A-31373622 Crítico Todos 7,0 27 de julho de 2016

Vulnerabilidade de elevação de privilégio em libzipfile

Uma vulnerabilidade de elevação de privilégio no libzipfile poderia permitir que um aplicativo malicioso local executasse código arbitrário no contexto de um processo privilegiado. Este problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6700 A-30916186 Crítico Nenhum* 4.4.4, 5.0.2, 5.1.1 17 de agosto de 2016

* Dispositivos Google compatíveis com Android 7.0 ou posterior que tenham instaladas todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de execução remota de código no Skia

Uma vulnerabilidade de execução remota de código em libskia poderia permitir que um invasor usando um arquivo especialmente criado causasse corrupção de memória durante o processamento de arquivos de mídia e dados. Este problema é classificado como Alto devido à possibilidade de execução remota de código no contexto do processo da galeria.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6701 A-30190637 Alto Todos 7,0 Interno do Google

Vulnerabilidade de execução remota de código em libjpeg

Uma vulnerabilidade de execução remota de código no libjpeg pode permitir que um invasor, usando um arquivo especialmente criado, execute código arbitrário no contexto de um processo sem privilégios. Este problema é classificado como Alto devido à possibilidade de execução remota de código em um aplicativo que utiliza libjpeg.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6702 A-30259087 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1 19 de julho de 2016

* Dispositivos Google compatíveis com Android 7.0 ou posterior que tenham instaladas todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de execução remota de código no tempo de execução do Android

Uma vulnerabilidade de execução remota de código em uma biblioteca de tempo de execução do Android pode permitir que um invasor, usando uma carga especialmente criada, execute código arbitrário no contexto de um processo sem privilégios. Este problema é classificado como Alto devido à possibilidade de execução remota de código em uma aplicação que utiliza o runtime Android.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6703 A-30765246 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Interno do Google

* Dispositivos Google compatíveis com Android 7.0 ou posterior que tenham instaladas todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de elevação de privilégio no Mediaserver

Uma vulnerabilidade de elevação de privilégio no Mediaserver poderia permitir que um aplicativo malicioso local executasse código arbitrário no contexto de um processo privilegiado. Este problema é classificado como Alto porque pode ser usado para obter acesso local a recursos elevados, que normalmente não são acessíveis a aplicativos de terceiros.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6704 A-30229821 [ 2 ] [ 3 ] Alto Todos 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 19 de julho de 2016
CVE-2016-6705 A-30907212 [ 2 ] Alto Todos 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 16 de agosto de 2016
CVE-2016-6706 A-31385713 Alto Todos 7,0 8 de setembro de 2016

Vulnerabilidade de elevação de privilégio no System Server

Uma vulnerabilidade de elevação de privilégio no System Server pode permitir que um aplicativo malicioso local execute código arbitrário no contexto de um processo privilegiado. Este problema é classificado como Alto porque pode ser usado para obter acesso local a recursos elevados, que normalmente não são acessíveis a aplicativos de terceiros.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6707 A-31350622 Alto Todos 6,0, 6,0,1, 7,0 7 de setembro de 2016

Vulnerabilidade de elevação de privilégio na UI do sistema

Uma elevação de privilégio na IU do sistema pode permitir que um usuário mal-intencionado local ignore o prompt de segurança de um perfil de trabalho no modo Multijanela. Esse problema é classificado como Alto porque é um desvio local dos requisitos de interação do usuário para qualquer desenvolvedor ou modificação nas configurações de segurança.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6708 A-30693465 Alto Todos 7,0 Interno do Google

Vulnerabilidade de divulgação de informações no Conscrypt

Uma vulnerabilidade de divulgação de informações no Conscrypt pode permitir que um invasor obtenha acesso a informações confidenciais se uma API de criptografia legada for usada por um aplicativo. Este problema é classificado como Alto porque pode ser usado para acessar dados sem permissão.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6709 A-31081987 Alto Todos 6,0, 6,0,1, 7,0 9 de outubro de 2015

Vulnerabilidade de divulgação de informações no gerenciador de downloads

Uma vulnerabilidade de divulgação de informações no gerenciador de downloads poderia permitir que um aplicativo malicioso local contornasse as proteções do sistema operacional que isolam os dados do aplicativo de outros aplicativos. Este problema é classificado como Alto porque pode ser usado para obter acesso a dados aos quais o aplicativo não tem acesso.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6710 A-30537115 [ 2 ] Alto Todos 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 30 de julho de 2016

Vulnerabilidade de negação de serviço no Bluetooth

Uma vulnerabilidade de negação de serviço no Bluetooth pode permitir que um invasor próximo bloqueie o acesso do Bluetooth a um dispositivo afetado. Este problema é classificado como Alto devido à possibilidade de negação remota de serviço.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2014-9908 A-28672558 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1 5 de maio de 2014

* Dispositivos Google compatíveis com Android 7.0 ou posterior que tenham instaladas todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de negação de serviço no OpenJDK

Uma vulnerabilidade de negação de serviço remota no OpenJDK pode permitir que um invasor use um arquivo especialmente criado para travar ou reinicializar o dispositivo. Este problema é classificado como Alto devido à possibilidade de negação remota de serviço.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2015-0410 A-30703445 Alto Todos 7,0 16 de janeiro de 2015

Vulnerabilidade de negação de serviço no Mediaserver

Uma vulnerabilidade de negação de serviço remota no Mediaserver poderia permitir que um invasor usasse um arquivo especialmente criado para travar ou reinicializar o dispositivo. Este problema é classificado como Alto devido à possibilidade de negação remota de serviço.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6711 A-30593765 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 1º de agosto de 2016
CVE-2016-6712 A-30593752 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 1º de agosto de 2016
CVE-2016-6713 A-30822755 Alto Todos 6,0, 6,0,1, 7,0 11 de agosto de 2016
CVE-2016-6714 A-31092462 Alto Todos 6,0, 6,0,1, 7,0 22 de agosto de 2016

* Dispositivos Google compatíveis com Android 7.0 ou posterior que tenham instaladas todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de elevação de privilégio em APIs do Framework

Uma vulnerabilidade de elevação de privilégio nas APIs do Framework poderia permitir que um aplicativo malicioso local gravasse áudio sem a permissão do usuário. Este problema é classificado como Moderado porque é um desvio local dos requisitos de interação do usuário (acesso à funcionalidade que normalmente exigiria iniciação ou permissão do usuário).

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6715 A-29833954 Moderado Todos 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 28 de junho de 2016

Vulnerabilidade de elevação de privilégio no AOSP Launcher

Uma vulnerabilidade de elevação de privilégios no AOSP Launcher pode permitir que um aplicativo malicioso local crie atalhos com privilégios elevados sem o consentimento do usuário. Este problema é classificado como Moderado porque é um desvio local dos requisitos de interação do usuário (acesso à funcionalidade que normalmente exigiria iniciação ou permissão do usuário).

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6716 A-30778130 Moderado Todos 7,0 5 de agosto de 2016

Vulnerabilidade de elevação de privilégio no Mediaserver

Uma vulnerabilidade de elevação de privilégio no Mediaserver poderia permitir que um aplicativo malicioso local executasse código arbitrário no contexto de um processo privilegiado. Este problema é classificado como Moderado porque requer primeiro a exploração de uma vulnerabilidade separada.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6717 A-31350239 Moderado Todos 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 7 de setembro de 2016

Vulnerabilidade de elevação de privilégio no serviço Account Manager

Uma vulnerabilidade de elevação de privilégio no serviço Account Manager poderia permitir que um aplicativo malicioso local recuperasse informações confidenciais sem interação do usuário. Este problema é classificado como Moderado porque é um desvio local dos requisitos de interação do usuário (acesso à funcionalidade que normalmente exigiria iniciação ou permissão do usuário).

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6718 A-30455516 Moderado Todos 7,0 Interno do Google

Vulnerabilidade de elevação de privilégio no Bluetooth

Uma vulnerabilidade de elevação de privilégio no componente Bluetooth poderia permitir que um aplicativo malicioso local emparelhasse com qualquer dispositivo Bluetooth sem o consentimento do usuário. Este problema é classificado como Moderado porque é um desvio local dos requisitos de interação do usuário (acesso à funcionalidade que normalmente exigiria iniciação ou permissão do usuário).

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6719 A-29043989 [ 2 ] Moderado Todos 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Interno do Google

Vulnerabilidade de divulgação de informações no Mediaserver

Uma vulnerabilidade de divulgação de informações no Mediaserver poderia permitir que um aplicativo malicioso local acessasse dados fora de seus níveis de permissão. Este problema é classificado como Moderado porque pode ser usado para acessar dados confidenciais sem permissão.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6720 A-29422020 [ 2 ] [ 3 ] [ 4 ] Moderado Todos 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 15 de junho de 2016
CVE-2016-6721 A-30875060 Moderado Todos 6,0, 6,0,1, 7,0 13 de agosto de 2016
CVE-2016-6722 A-31091777 Moderado Todos 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 23 de agosto de 2016

Vulnerabilidade de negação de serviço no Proxy Auto Config

Uma vulnerabilidade de negação de serviço no Proxy Auto Config pode permitir que um invasor remoto use um arquivo especialmente criado para travar ou reinicializar o dispositivo. Este problema é classificado como Moderado porque requer uma configuração de dispositivo incomum.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6723 A-30100884 [ 2 ] Moderado Todos 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 11 de julho de 2016

Vulnerabilidade de negação de serviço no Input Manager Service

Uma vulnerabilidade de negação de serviço no Input Manager Service pode permitir que um aplicativo malicioso local faça com que o dispositivo seja reinicializado continuamente. Esse problema é classificado como Moderado porque é uma negação de serviço temporária que requer uma redefinição de fábrica para ser corrigida.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6724 A-30568284 Moderado Todos 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0 Interno do Google

Nível de patch de segurança de 05/11/2016 – detalhes da vulnerabilidade

Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 05/11/2016. Há uma descrição do problema, uma justificativa de gravidade e uma tabela com o CVE, referências associadas, gravidade, dispositivos Google atualizados, versões atualizadas do AOSP (quando aplicável) e data relatada. Quando disponível, vincularemos a alteração pública que abordou o problema ao ID do bug, como a lista de alterações do AOSP. Quando múltiplas alterações estão relacionadas a um único bug, referências adicionais são vinculadas a números após o ID do bug.

Vulnerabilidade de execução remota de código no driver de criptografia Qualcomm

Uma vulnerabilidade de execução remota de código no driver de criptografia da Qualcomm pode permitir que um invasor remoto execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de execução remota de código no contexto do kernel.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6725 A-30515053
QC-CR#1050970		 Crítico Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 25 de julho de 2016

Vulnerabilidade de elevação de privilégio no sistema de arquivos do kernel

Uma vulnerabilidade de elevação de privilégio no sistema de arquivos do kernel poderia permitir que um aplicativo malicioso local executasse código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2015-8961 A-30952474
Kernel a montante		 Crítico Pixel, PixelXL 18 de outubro de 2015
CVE-2016-7911 A-30946378
Kernel a montante		 Crítico Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 01 de julho de 2016
CVE-2016-7910 A-30942273
Kernel a montante		 Crítico Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 29 de julho de 2016

Vulnerabilidade de elevação de privilégio no driver SCSI do kernel

Uma vulnerabilidade de elevação de privilégio no driver SCSI do kernel poderia permitir que um aplicativo malicioso local executasse código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2015-8962 A-30951599
Kernel a montante		 Crítico Pixel, PixelXL 30 de outubro de 2015

Vulnerabilidade de elevação de privilégio no driver de mídia do kernel

Uma vulnerabilidade de elevação de privilégio no driver de mídia do kernel poderia permitir que um aplicativo malicioso local executasse código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-7913 A-30946097
Kernel a montante		 Crítico Nexus 6P, Android One, Nexus Player, Pixel, Pixel XL 28 de janeiro de 2016

Vulnerabilidade de elevação de privilégio no driver USB do kernel

Uma vulnerabilidade de elevação de privilégio no driver USB do kernel pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-7912 A-30950866
Kernel a montante		 Crítico Pixel C, Pixel, Pixel XL 14 de abril de 2016

Vulnerabilidade de elevação de privilégio no subsistema ION do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema ION do kernel pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6728 A-30400942* Crítico Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Android One 25 de julho de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google, disponíveis no site do Google Developers .

Vulnerabilidade de elevação de privilégio no bootloader Qualcomm

Uma vulnerabilidade de elevação de privilégio no bootloader da Qualcomm pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6729 A-30977990*
QC-CR#977684		 Crítico Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 25 de julho de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google, disponíveis no site do Google Developers .

Vulnerabilidade de elevação de privilégio no driver GPU NVIDIA

Uma vulnerabilidade de elevação de privilégio no driver da GPU NVIDIA pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6730 A-30904789*
N-CVE-2016-6730		 Crítico Pixel C 16 de agosto de 2016
CVE-2016-6731 A-30906023*
N-CVE-2016-6731		 Crítico Pixel C 16 de agosto de 2016
CVE-2016-6732 A-30906599*
N-CVE-2016-6732		 Crítico Pixel C 16 de agosto de 2016
CVE-2016-6733 A-30906694*
N-CVE-2016-6733		 Crítico Pixel C 16 de agosto de 2016
CVE-2016-6734 A-30907120*
N-CVE-2016-6734		 Crítico Pixel C 16 de agosto de 2016
CVE-2016-6735 A-30907701*
N-CVE-2016-6735		 Crítico Pixel C 16 de agosto de 2016
CVE-2016-6736 A-30953284*
N-CVE-2016-6736		 Crítico Pixel C 18 de agosto de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google, disponíveis no site do Google Developers .

Vulnerabilidade de elevação de privilégio no subsistema de rede do kernel

Uma vulnerabilidade de elevação de privilégios no subsistema de rede do kernel poderia permitir que um aplicativo malicioso local executasse código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6828 A-31183296
Kernel a montante		 Crítico Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 18 de agosto de 2016

Vulnerabilidade de elevação de privilégio no subsistema de som do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema de som do kernel pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-2184 A-30952477
Kernel a montante		 Crítico Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 31 de março de 2016

Vulnerabilidade de elevação de privilégio no subsistema ION do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema ION do kernel pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6737 A-30928456* Crítico Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel C, Nexus Player, Pixel, Pixel XL Interno do Google

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google, disponíveis no site do Google Developers .

Vulnerabilidades em componentes Qualcomm

A tabela abaixo contém vulnerabilidades de segurança que afetam os componentes da Qualcomm e são descritas com mais detalhes no boletim de segurança Qualcomm AMSS de junho de 2016 e no Alerta de segurança 80-NV606-17.

CVE Referências Gravidade* Dispositivos Google atualizados Data relatada
CVE-2016-6727 A-31092400** Crítico Android Um Interno da Qualcomm
CVE-2016-6726 A-30775830** Alto Nexus 6, Android One Interno da Qualcomm

* A classificação de gravidade dessas vulnerabilidades foi determinada pelo fornecedor.

** O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google, disponíveis no site do Google Developers .

Vulnerabilidade de execução remota de código no Expat

A tabela abaixo contém vulnerabilidades de segurança que afetam a biblioteca Expat. O mais grave desses problemas é uma vulnerabilidade de elevação de privilégios no analisador XML Expat, que poderia permitir que um invasor, usando um arquivo especialmente criado, executasse código arbitrário em um processo sem privilégios. Este problema é classificado como Alto devido à possibilidade de execução arbitrária de código em um aplicativo que usa Expat.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-0718 A-28698301 Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 10 de maio de 2016
CVE-2012-6702 A-29149404 Moderado Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 06 de março de 2016
CVE-2016-5300 A-29149404 Moderado Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 04 de junho de 2016
CVE-2015-1283 A-27818751 Baixo Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 24 de julho de 2015

* Dispositivos Google compatíveis com Android 7.0 ou posterior que tenham instaladas todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de execução remota de código no Webview

Uma vulnerabilidade de execução remota de código no Webview pode permitir que um invasor remoto execute código arbitrário quando o usuário estiver navegando para um site. Este problema é classificado como Alto devido à possibilidade de execução remota de código em um processo sem privilégios.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2016-6754 A-31217937 Alto Nenhum* 5.0.2, 5.1.1, 6.0, 6.0.1 23 de agosto de 2016

* Dispositivos Google compatíveis com Android 7.0 ou posterior que tenham instaladas todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de execução remota de código no Freetype

Uma vulnerabilidade de execução remota de código no Freetype pode permitir que um aplicativo malicioso local carregue uma fonte especialmente criada para causar corrupção de memória em um processo sem privilégios. Este problema é classificado como Alto devido à possibilidade de execução remota de código em aplicações que utilizam Freetype.

CVE Referências Gravidade Dispositivos Google atualizados Versões AOSP atualizadas Data relatada
CVE-2014-9675 A-24296662 [ 2 ] Alto Nenhum* 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Interno do Google

* Dispositivos Google compatíveis com Android 7.0 ou posterior que tenham instaladas todas as atualizações disponíveis não são afetados por esta vulnerabilidade.

Vulnerabilidade de elevação de privilégio no subsistema de desempenho do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema de desempenho do kernel poderia permitir que um aplicativo malicioso local executasse código arbitrário dentro do contexto do kernel. Este problema é classificado como Alto porque requer primeiro o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2015-8963 A-30952077
Kernel a montante		 Alto Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 15 de dezembro de 2015

Vulnerabilidade de elevação de privilégio no subsistema de auditoria de chamada de sistema do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema de auditoria de chamadas de sistema do kernel poderia permitir que um aplicativo malicioso local interrompesse a auditoria de chamadas de sistema no kernel. Esse problema é classificado como Alto porque é um desvio geral para uma defesa profunda em nível de kernel ou tecnologia de mitigação de exploração.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6136 A-30956807
Kernel a montante		 Alto Android One, Pixel C, Nexus Player 1º de julho de 2016

Vulnerabilidade de elevação de privilégio no driver do mecanismo de criptografia Qualcomm

Uma vulnerabilidade de elevação de privilégio no driver do mecanismo de criptografia Qualcomm pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Alto porque requer primeiro o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6738 A-30034511
QC-CR#1050538		 Alto Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 7 de julho de 2016

Vulnerabilidade de elevação de privilégio no driver de câmera Qualcomm

Uma vulnerabilidade de elevação de privilégio no driver da câmera Qualcomm pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Alto porque requer primeiro o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6739 A-30074605*
QC-CR#1049826		 Alto Nexus 5X, Nexus 6P, Pixel, Pixel XL 11 de julho de 2016
CVE-2016-6740 A-30143904
QC-CR#1056307		 Alto Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 12 de julho de 2016
CVE-2016-6741 A-30559423
QC-CR#1060554		 Alto Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 28 de julho de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google, disponíveis no site do Google Developers .

Vulnerabilidade de elevação de privilégio no driver de barramento Qualcomm

Uma vulnerabilidade de elevação de privilégio no driver de barramento Qualcomm pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Alto porque requer primeiro o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-3904 A-30311977
QC-CR#1050455		 Alto Nexus 5X, Nexus 6P, Pixel, Pixel XL 22 de julho de 2016

Vulnerabilidade de elevação de privilégio no driver de tela sensível ao toque Synaptics

Uma vulnerabilidade de elevação de privilégio no driver da tela sensível ao toque Synaptics pode permitir que um aplicativo malicioso local execute código arbitrário dentro do contexto do kernel. Este problema é classificado como Alto porque requer primeiro o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6742 A-30799828* Alto Nexus 5X, Android One 9 de agosto de 2016
CVE-2016-6744 A-30970485* Alto Nexus 5X 19 de agosto de 2016
CVE-2016-6745 A-31252388* Alto Nexus 5X, Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL 1º de setembro de 2016
CVE-2016-6743 A-30937462* Alto Nexus 9, Android One Interno do Google

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google, disponíveis no site do Google Developers .

Vulnerabilidade de divulgação de informações em componentes do kernel

Uma vulnerabilidade de divulgação de informações nos componentes do kernel, incluindo o driver do dispositivo de interface humana, o sistema de arquivos e o driver Teletype, poderia permitir que um aplicativo malicioso local acessasse dados fora de seus níveis de permissão. Este problema é classificado como Alto porque pode ser usado para acessar dados confidenciais sem permissão explícita do usuário.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2015-8964 A-30951112
Kernel a montante		 Alto Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 27 de novembro de 2015
CVE-2016-7915 A-30951261
Kernel a montante		 Alto Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 19 de janeiro de 2016
CVE-2016-7914 A-30513364
Kernel a montante		 Alto Pixel C, Pixel, Pixel XL 06 de abril de 2016
CVE-2016-7916 A-30951939
Kernel a montante		 Alto Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, Pixel, Pixel XL 05 de maio de 2016

Vulnerabilidade de divulgação de informações no driver NVIDIA GPU

Uma vulnerabilidade de divulgação de informações no driver da GPU NVIDIA pode permitir que um aplicativo malicioso local acesse dados fora de seus níveis de permissão. Este problema é classificado como Alto porque pode ser usado para acessar dados confidenciais sem permissão explícita do usuário.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6746 A-30955105*
N-CVE-2016-6746		 Alto Pixel C 18 de agosto de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google, disponíveis no site do Google Developers .

Vulnerabilidade de negação de serviço no Mediaserver

Uma vulnerabilidade de negação de serviço no Mediaserver pode permitir que um invasor use um arquivo especialmente criado para travar ou reinicializar o dispositivo. Este problema é classificado como Alto devido à possibilidade de negação remota de serviço.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6747 A-31244612*
N-CVE-2016-6747		 Alto Nexus 9 Interno do Google

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google, disponíveis no site do Google Developers .

Vulnerabilidade de divulgação de informações em componentes do kernel

Uma vulnerabilidade de divulgação de informações em componentes do kernel, incluindo o subsistema de agrupamento de processos e o subsistema de rede, poderia permitir que um aplicativo malicioso local acessasse dados fora de seus níveis de permissão. Este problema é classificado como Moderado porque primeiro requer o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-7917 A-30947055
Kernel a montante		 Moderado Pixel C, Pixel, Pixel XL 02 de fevereiro de 2016
CVE-2016-6753 A-30149174* Moderado Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player, Pixel, Pixel XL 13 de julho de 2016

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google, disponíveis no site do Google Developers .

Vulnerabilidade de divulgação de informações em componentes da Qualcomm

Uma vulnerabilidade de divulgação de informações em componentes da Qualcomm, incluindo driver de GPU, driver de energia, driver SMSM ponto a ponto e driver de som, pode permitir que um aplicativo malicioso local acesse dados fora de seus níveis de permissão. Este problema é classificado como Moderado porque primeiro requer o comprometimento de um processo privilegiado.

CVE Referências Gravidade Dispositivos Google atualizados Data relatada
CVE-2016-6748 A-30076504
QC-CR#987018		 Moderado Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 12 de julho de 2016
CVE-2016-6749 A-30228438
QC-CR#1052818		 Moderado Nexus 5X, Nexus 6P, Pixel, Pixel XL 12 de julho de 2016
CVE-2016-6750 A-30312054
QC-CR#1052825		 Moderado Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 21 de julho de 2016
CVE-2016-3906 A-30445973
QC-CR#1054344		 Moderado Nexus 5X, Nexus 6P 27 de julho de 2016
CVE-2016-3907 A-30593266
QC-CR#1054352		 Moderado Nexus 5X, Nexus 6P, Pixel, Pixel XL 2 de agosto de 2016
CVE-2016-6698 A-30741851
QC-CR#1058826		 Moderado Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL 2 de agosto de 2016
CVE-2016-6751 A-30902162*
QC-CR#1062271		 Moderado Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL 15 de agosto de 2016
CVE-2016-6752 A-31498159
QC-CR#987051		 Moderado Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL Interno do Google

* O patch para este problema não está disponível publicamente. A atualização está contida nos drivers binários mais recentes para dispositivos Google, disponíveis no site do Google Developers .

Nível do patch de segurança 06/11/2016 – detalhes da vulnerabilidade

Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança listadas no nível do patch de segurança 06/11/2016 — Resumo de vulnerabilidades acima. Há uma descrição do problema, uma justificativa de gravidade e uma tabela com o CVE, referências associadas, gravidade, dispositivos Google atualizados, versões atualizadas do AOSP (quando aplicável) e data relatada. Quando disponível, vincularemos a alteração pública que abordou o problema ao ID do bug, como a lista de alterações do AOSP. Quando múltiplas alterações estão relacionadas a um único bug, referências adicionais são vinculadas a números após o ID do bug.

Vulnerabilidade de elevação de privilégio no subsistema de memória do kernel

Uma vulnerabilidade de elevação de privilégio no subsistema de memória do kernel poderia permitir que um aplicativo malicioso local executasse código arbitrário dentro do contexto do kernel. Este problema é classificado como Crítico devido à possibilidade de comprometimento local permanente do dispositivo, o que pode exigir a atualização do sistema operacional para reparar o dispositivo.

Observação: um nível de patch de segurança de 06/11/2016 indica que esse problema, bem como todos os problemas associados a 01/11/2016 e 05/11/2016, foram resolvidos.

CVE Referências Gravidade Versões atualizadas do kernel Data relatada
CVE-2016-5195 A-32141528
Kernel upstream [ 2 ]		 Crítico 3.10, 3.18 12 de outubro de 2016

Perguntas e respostas comuns

Esta seção responde a perguntas comuns que podem surgir após a leitura deste boletim.

1. Como determino se meu dispositivo está atualizado para resolver esses problemas?

Para saber como verificar o nível do patch de segurança de um dispositivo, leia as instruções na programação de atualização do Pixel e do Nexus .

  • Os níveis de patch de segurança de 01/11/2016 ou posteriores abordam todos os problemas associados ao nível de patch de segurança 01/11/2016.
  • Os níveis de patch de segurança de 05/11/2016 ou posteriores abordam todos os problemas associados ao nível de patch de segurança de 05/11/2016 e todos os níveis de patch anteriores.
  • Os níveis de patch de segurança de 06/11/2016 ou posteriores abordam todos os problemas associados ao nível de patch de segurança de 06/11/2016 e todos os níveis de patch anteriores.

Os fabricantes de dispositivos que incluem essas atualizações devem definir a sequência de nível do patch como:

  • [ro.build.version.security_patch]:[2016-11-01]
  • [ro.build.version.security_patch]:[2016-11-05]
  • [ro.build.version.security_patch]:[2016-11-06].

2. Por que este boletim possui três níveis de patch de segurança?

Este boletim tem três níveis de patch de segurança para que os parceiros Android tenham flexibilidade para corrigir mais rapidamente um subconjunto de vulnerabilidades semelhantes em todos os dispositivos Android. Os parceiros Android são incentivados a corrigir todos os problemas deste boletim e usar o nível de patch de segurança mais recente.

  • Os dispositivos que usam o nível de patch de segurança de 1º de novembro de 2016 devem incluir todos os problemas associados a esse nível de patch de segurança, bem como correções para todos os problemas relatados em boletins de segurança anteriores.
  • Os dispositivos que usam o nível de patch de segurança de 5 de novembro de 2016 ou mais recente devem incluir todos os patches aplicáveis ​​neste (e nos anteriores) boletins de segurança.
  • Os dispositivos que usam o nível de patch de segurança de 6 de novembro de 2016 ou mais recente devem incluir todos os patches aplicáveis ​​neste (e nos anteriores) boletins de segurança.

Os parceiros são incentivados a agrupar as correções para todos os problemas que estão resolvendo em uma única atualização.

3. Como posso determinar quais dispositivos Google são afetados por cada problema?

Nas seções de detalhes de vulnerabilidade de segurança de 2016-11-01 , 2016-11-05 e 2016-11-06 , cada tabela tem uma coluna Dispositivos Google atualizados que cobre a variedade de dispositivos Google afetados atualizados para cada problema. Esta coluna tem algumas opções:

  • Todos os dispositivos Google : se um problema afetar todos os dispositivos Nexus e Pixel, a tabela terá "Todos" na coluna Dispositivos Google atualizados . "Todos" encapsula os seguintes dispositivos compatíveis : Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel e Pixel XL.
  • Alguns dispositivos Google : se um problema não afetar todos os dispositivos Google, os dispositivos Google afetados serão listados na coluna Dispositivos Google atualizados .
  • Nenhum dispositivo Google : se nenhum dispositivo Google com Android 7.0 for afetado pelo problema, a tabela terá "Nenhum" na coluna Dispositivos Google atualizados .

4. Para onde são mapeadas as entradas na coluna de referências?

As entradas na coluna Referências da tabela de detalhes da vulnerabilidade podem conter um prefixo que identifica a organização à qual pertence o valor de referência. Esses prefixos são mapeados da seguinte forma:

Prefixo Referência
A- ID do bug do Android
CQ- Número de referência da Qualcomm
M- Número de referência MediaTek
N- Número de referência NVIDIA
B- Número de referência da Broadcom

Revisões

  • 07 de novembro de 2016: Boletim publicado.
  • 08 de novembro: Boletim revisado para incluir links AOSP e descrição atualizada para CVE-2016-6709.
  • 17 de novembro: Boletim revisado para incluir atribuição para CVE-2016-6828.
  • 21 de dezembro: Crédito de pesquisador atualizado.