กระดานข่าวความปลอดภัยของ Android—กุมภาพันธ์ 2017

เผยแพร่เมื่อ 06 กุมภาพันธ์ 2017 | อัปเดตเมื่อวันที่ 8 กุมภาพันธ์ 2017

กระดานข่าวความปลอดภัยของ Android มีรายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่ส่งผลต่ออุปกรณ์ Android นอกจากกระดานข่าวแล้ว เรายังได้เผยแพร่การอัปเดตความปลอดภัยให้กับอุปกรณ์ Google ผ่านการอัปเดตแบบ over-the-air (OTA) อิมเมจเฟิร์มแวร์อุปกรณ์ Google ได้รับการเผยแพร่ไปยัง ไซต์ Google Developer แล้ว ระดับแพตช์ความปลอดภัยในวันที่ 5 กุมภาพันธ์ 2017 หรือใหม่กว่าจะแก้ไขปัญหาเหล่านี้ทั้งหมด โปรดดู กำหนดการอัปเดต Pixel และ Nexus เพื่อเรียนรู้วิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์

พันธมิตรได้รับแจ้งถึงปัญหาที่อธิบายไว้ในกระดานข่าวเมื่อวันที่ 3 มกราคม 2017 หรือก่อนหน้านั้น แพทช์ซอร์สโค้ดสำหรับปัญหาเหล่านี้ได้รับการเผยแพร่ไปยังพื้นที่เก็บข้อมูล Android Open Source Project (AOSP) และเชื่อมโยงจากกระดานข่าวนี้ กระดานข่าวนี้ยังรวมลิงก์ไปยังแพตช์ภายนอก AOSP อีกด้วย

ปัญหาที่ร้ายแรงที่สุดคือช่องโหว่ด้านความปลอดภัยที่สำคัญ ซึ่งสามารถเปิดใช้งานการเรียกใช้โค้ดจากระยะไกลบนอุปกรณ์ที่ได้รับผลกระทบได้หลายวิธี เช่น อีเมล การเรียกดูเว็บ และ MMS เมื่อประมวลผลไฟล์สื่อ การประเมินความรุนแรงขึ้น อยู่กับผลกระทบที่การใช้ประโยชน์จากช่องโหว่ที่อาจเกิดขึ้นกับอุปกรณ์ที่ได้รับผลกระทบ โดยถือว่าแพลตฟอร์มและบริการบรรเทาผลกระทบถูกปิดใช้งานเพื่อวัตถุประสงค์ในการพัฒนาหรือหากข้ามได้สำเร็จ

เราไม่มีรายงานเกี่ยวกับการเอารัดเอาเปรียบลูกค้าหรือการละเมิดปัญหาที่รายงานใหม่เหล่านี้ โปรดดูส่วน การบรรเทาปัญหาบริการ Android และ Google สำหรับรายละเอียดเกี่ยวกับ การป้องกันแพลตฟอร์มความปลอดภัยของ Android และการป้องกันบริการ เช่น SafetyNet ซึ่งปรับปรุงความปลอดภัยของแพลตฟอร์ม Android

เราขอแนะนำให้ลูกค้าทุกคนยอมรับการอัปเดตเหล่านี้ไปยังอุปกรณ์ของตน

ประกาศ

• กระดานข่าวนี้มีสตริงระดับแพตช์ความปลอดภัยสองชุดเพื่อให้พันธมิตร Android มีความยืดหยุ่นในการแก้ไขชุดย่อยของช่องโหว่ที่คล้ายกันในอุปกรณ์ Android ทั้งหมดได้รวดเร็วยิ่งขึ้น ดู คำถามและคำตอบทั่วไป สำหรับข้อมูลเพิ่มเติม:
  • 01-02-2017 : สตริงระดับแพตช์ความปลอดภัยบางส่วน สตริงระดับแพตช์รักษาความปลอดภัยนี้บ่งชี้ว่าปัญหาทั้งหมดที่เกี่ยวข้องกับ 2017-02-01 (และสตริงระดับแพตช์ความปลอดภัยก่อนหน้าทั้งหมด) ได้รับการแก้ไขแล้ว
  • 05-02-2017 : กรอกระดับแพตช์รักษาความปลอดภัยให้สมบูรณ์ สตริงระดับแพตช์รักษาความปลอดภัยนี้บ่งชี้ว่าปัญหาทั้งหมดที่เกี่ยวข้องกับ 2017-02-01 และ 2017-02-05 (และสตริงระดับแพตช์ความปลอดภัยก่อนหน้าทั้งหมด) ได้รับการแก้ไขแล้ว
• อุปกรณ์ Google ที่รองรับจะได้รับการอัปเดต OTA เดียวพร้อมระดับแพตช์ความปลอดภัยในวันที่ 5 กุมภาพันธ์ 2017

การบรรเทาปัญหาบริการ Android และ Google

นี่คือบทสรุปของการบรรเทาผลกระทบที่ได้รับจาก แพลตฟอร์มความปลอดภัยของ Android และการปกป้องบริการ เช่น SafetyNet ความสามารถเหล่านี้ลดโอกาสที่ช่องโหว่ด้านความปลอดภัยจะถูกโจมตีบน Android ได้สำเร็จ

• การใช้ประโยชน์จากปัญหาต่างๆ บน Android ทำได้ยากขึ้นด้วยการปรับปรุงแพลตฟอร์ม Android เวอร์ชันใหม่ เราขอแนะนำให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดเมื่อเป็นไปได้
• ทีมรักษาความปลอดภัยของ Android จะคอยตรวจสอบการละเมิดด้วย Verify Apps และ SafetyNet ซึ่งออกแบบมาเพื่อเตือนผู้ใช้เกี่ยวกับ แอปพลิเคชันที่อาจเป็นอันตราย ตรวจสอบว่าแอปเปิดใช้งานโดยค่าเริ่มต้นในอุปกรณ์ที่มี บริการ Google Mobile และมีความสำคัญอย่างยิ่งสำหรับผู้ใช้ที่ติดตั้งแอปพลิเคชันจากภายนอก Google Play เครื่องมือการรูทอุปกรณ์เป็นสิ่งต้องห้ามใน Google Play แต่ Verify Apps จะเตือนผู้ใช้เมื่อพวกเขาพยายามติดตั้งแอปพลิเคชันการรูทที่ตรวจพบ ไม่ว่าจะมาจากที่ใดก็ตาม นอกจากนี้ Verify Apps ยังพยายามระบุและบล็อกการติดตั้งแอปพลิเคชันที่เป็นอันตรายที่ทราบซึ่งใช้ประโยชน์จากช่องโหว่ในการเพิ่มระดับสิทธิ์ หากมีการติดตั้งแอปพลิเคชันดังกล่าวแล้ว ยืนยันแอปจะแจ้งให้ผู้ใช้ทราบและพยายามลบแอปพลิเคชันที่ตรวจพบ
• ตามความเหมาะสม แอปพลิเคชัน Google Hangouts และ Messenger จะไม่ส่งสื่อไปยังกระบวนการต่างๆ เช่น Mediaserver โดยอัตโนมัติ

รับทราบ

เราขอขอบคุณนักวิจัยเหล่านี้สำหรับการมีส่วนร่วม:

• แดเนียล ดาคโน: CVE-2017-0420
• Daniel Micay จาก Copperhead Security: CVE-2017-0410
• ดซมิทรี ลุคยาเนนกา : CVE-2017-0414
• แฟรงค์ ลิเบราโตแห่ง Chrome: CVE-2017-0409
• Gal Beniamini จาก Project Zero: CVE-2017-0411, CVE-2017-0412
• Gengjia Chen ( @chengjia4574 ) และ pjf จาก IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2017-0434, CVE-2017-0446, CVE-2017-0447, CVE-2017-0432
• Guang Gong (龚广) ( @oldfresher ) ของทีม Alpha, Qihoo 360 Technology Co.Ltd : CVE-2017-0415
• Hanxiang Wen , Wenke Dou , Mingjian Zhou ( @Mingjian_Zhou ) และ Xuxian Jiang จาก ทีม C0RE : CVE-2017-0418
• Hao Chen และ Guang Gong จากทีม Alpha, Qihoo 360 Technology Co. Ltd.: CVE-2017-0437, CVE-2017-0438, CVE-2017-0439, CVE-2016-8419, CVE-2016-8420, CVE-2016 -8421, CVE-2017-0441, CVE-2017-0442, CVE-2016-8476, CVE-2017-0443
• เจฟฟ์ ชาร์กี้ แห่ง Google: CVE-2017-0421, CVE-2017-0423
• เจฟฟ์ ทริม: CVE-2017-0422
• Jianqiang Zhao ( @jianqiangzhao ) และ pjf จาก IceSword Lab, Qihoo 360: CVE-2017-0445
• ma.la และ Nikolay Elenkov จาก LINE Corporation: CVE-2016-5552
• สเปคเตอร์สูงสุดของ Google: CVE-2017-0416
• Mingjian Zhou ( @Mingjian_Zhou ), Yuqi Lu ( @nikos233 ) และ Xuxian Jiang จาก ทีม C0RE : CVE-2017-0425
• Qidan He (何淇丹) ( @flanker_hqd ) และ Di Shen (申迪) ( @returnsme ) แห่ง KeenLab, Tencent (腾讯科恩实验室): CVE-2017-0427
• Sagi Kedmi จาก IBM X-Force Research: CVE-2017-0433
• Scott Bauer ( @ScottyBauer1 ) และ Daniel Micay จาก Copperhead Security: CVE-2017-0405
• Seven Shen ( @lingtongshen ) จากทีมวิจัยภัยคุกคามบนมือถือของ Trend Micro: CVE-2017-0449, CVE-2016-8418
• Tong Lin , Yuan-Tsung Lo , Chiachih Wu ( @chiachih_wu ) และ Xuxian Jiang จาก ทีม C0RE : CVE-2017-0436, CVE-2016-8481, CVE-2017-0435
• VEO ( @VYSEa ) จาก Mobile Threat Response Team , Trend Micro : CVE-2017-0424
• Weichao Sun ( @sunblate ) จาก Alibaba Inc.: CVE-2017-0407
• Wenke Dou , Hongli Han , Mingjian Zhou ( @Mingjian_Zhou ) และ Xuxian Jiang จาก ทีม C0RE : CVE-2017-0450
• Wenke Dou , Yuqi Lu ( @nikos233 ), Mingjian Zhou ( @Mingjian_Zhou ) และ Xuxian Jiang จาก ทีม C0RE : CVE-2017-0417
• Wish Wu ( @wish_wu ) (吴潍浠此彼) แห่ง Ant-financial Light-Year Security Lab: CVE-2017-0408
• Yao Jun , Yuan-Tsung Lo , Chiachih Wu ( @chiachih_wu ) และ Xuxian Jiang จาก ทีม C0RE : CVE-2016-8480
• Yuan-Tsung Lo , Chiachih Wu ( @chiachih_wu ) และ Xuxian Jiang จาก ทีม C0RE : CVE-2017-0444
• Yuan-Tsung Lo , Tong Lin , Chiachih Wu ( @chiachih_wu ) และ Xuxian Jiang จาก ทีม C0RE : CVE-2017-0428
• Yuan-Tsung Lo , Xiaodong Wang , Chiachih Wu ( @chiachih_wu ) และ Xuxian Jiang จาก ทีม C0RE : CVE-2017-0448, CVE-2017-0429
• Zhen Zhou ( @henices ) และ Zhixin Li จาก NSFocus : CVE-2017-0406

เราขอขอบคุณบุคคลต่อไปนี้ที่มีส่วนร่วมในกระดานข่าวนี้:

• Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮) และ Lenx Wei (韦韬) จาก Baidu X-Lab (百度安全实验室)

ระดับแพตช์ความปลอดภัย 02-02-2017—รายละเอียดช่องโหว่

ในส่วนด้านล่าง เราจะให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละจุดที่ใช้กับระดับแพตช์ 2017-02-01 มีคำอธิบายของปัญหา เหตุผลของความรุนแรง และตารางพร้อม CVE ข้อมูลอ้างอิงที่เกี่ยวข้อง ความรุนแรง อุปกรณ์ Google ที่อัปเดต เวอร์ชัน AOSP ที่อัปเดต (หากมี) และวันที่รายงาน เมื่อพร้อมใช้งาน เราจะเชื่อมโยงการเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสข้อบกพร่อง เช่น รายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายอย่างเกี่ยวข้องกับจุดบกพร่องจุดเดียว การอ้างอิงเพิ่มเติมจะเชื่อมโยงกับหมายเลขที่ตามหลังรหัสจุดบกพร่อง

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน Surfaceflinger

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน Surfaceflinger อาจทำให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อทำให้หน่วยความจำเสียหายระหว่างการประมวลผลไฟล์สื่อและข้อมูลได้ ปัญหานี้ได้รับการจัดอันดับว่าสำคัญเนื่องจากความเป็นไปได้ของการเรียกใช้โค้ดจากระยะไกลภายในบริบทของกระบวนการ Surfaceflinger

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0405	A-31960359	วิกฤต	ทั้งหมด	7.0, 7.1.1	4 ต.ค. 2559

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน Mediaserver

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน Mediaserver อาจทำให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อทำให้หน่วยความจำเสียหายระหว่างการประมวลผลไฟล์สื่อและข้อมูล ปัญหานี้ได้รับการจัดอันดับว่าสำคัญเนื่องจากความเป็นไปได้ของการเรียกใช้โค้ดจากระยะไกลภายในบริบทของกระบวนการ Mediaserver

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0406	A-32915871 [ 2 ]	วิกฤต	ทั้งหมด	6.0, 6.0.1, 7.0, 7.1.1	14 พ.ย. 2559
CVE-2017-0407	A-32873375	วิกฤต	ทั้งหมด	6.0, 6.0.1, 7.0, 7.1.1	12 พ.ย. 2559

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน libgdx

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน libgdx อาจทำให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อรันโค้ดที่กำหนดเองในบริบทของกระบวนการที่ไม่มีสิทธิ์ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากความเป็นไปได้ของการเรียกใช้โค้ดจากระยะไกลในแอปพลิเคชันที่ใช้ไลบรารีนี้

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0408	A-32769670	สูง	ทั้งหมด	7.1.1	9 พ.ย. 2559

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน libstagefright

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน libstagefright อาจทำให้ผู้โจมตีใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อรันโค้ดที่กำหนดเองในบริบทของกระบวนการที่ไม่มีสิทธิ์ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากความเป็นไปได้ของการเรียกใช้โค้ดจากระยะไกลในแอปพลิเคชันที่ใช้ไลบรารีนี้

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0409	A-31999646	สูง	ทั้งหมด	6.0, 6.0.1, 7.0, 7.1.1	ภายในของ Google

การยกระดับช่องโหว่ของสิทธิพิเศษใน Java.Net

การยกระดับสิทธิ์ในไลบรารี Java.Net อาจทำให้เนื้อหาเว็บที่เป็นอันตรายเปลี่ยนเส้นทางผู้ใช้ไปยังเว็บไซต์อื่นโดยไม่ได้รับอนุญาตอย่างชัดเจน ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากเป็นการข้ามข้อกำหนดการโต้ตอบของผู้ใช้จากระยะไกล

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2016-5552	A-31858037	สูง	ทั้งหมด	7.0, 7.1.1	30 กันยายน 2559

การยกระดับช่องโหว่ของสิทธิ์ใน Framework API

การยกระดับช่องโหว่ของสิทธิ์ใน Framework API อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเรียกใช้โค้ดที่กำหนดเองภายในบริบทของกระบวนการที่ได้รับสิทธิ์ได้ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากสามารถใช้เพื่อเข้าถึงความสามารถระดับสูงในเครื่อง ซึ่งโดยปกติจะไม่สามารถเข้าถึงได้โดยแอปพลิเคชันบุคคลที่สาม

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0410	A-31929765	สูง	ทั้งหมด	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	2 ต.ค. 2559
CVE-2017-0411	A-33042690 [ 2 ]	สูง	ทั้งหมด	7.0, 7.1.1	21 พฤศจิกายน 2016
CVE-2017-0412	A-33039926 [ 2 ]	สูง	ทั้งหมด	7.0, 7.1.1	21 พฤศจิกายน 2016

การยกระดับช่องโหว่ของสิทธิพิเศษใน Mediaserver

การยกระดับช่องโหว่ของสิทธิ์ใน Mediaserver อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของกระบวนการที่ได้รับสิทธิ์ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากสามารถใช้เพื่อเข้าถึงความสามารถระดับสูงในเครื่อง ซึ่งโดยปกติจะไม่สามารถเข้าถึงได้โดยแอปพลิเคชันบุคคลที่สาม

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0415	A-32706020	สูง	ทั้งหมด	6.0, 6.0.1, 7.0, 7.1.1	4 พฤศจิกายน 2559

การยกระดับช่องโหว่ของสิทธิพิเศษใน Audioserver

การยกระดับช่องโหว่ของสิทธิ์ใน Audioserver อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของกระบวนการที่ได้รับสิทธิ์ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากสามารถใช้เพื่อเข้าถึงความสามารถระดับสูงในเครื่อง ซึ่งโดยปกติจะไม่สามารถเข้าถึงได้โดยแอปพลิเคชันบุคคลที่สาม

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0416	A-32886609 [ 2 ]	สูง	ทั้งหมด	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	ภายในของ Google
CVE-2017-0417	A-32705438	สูง	ทั้งหมด	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	7 พ.ย. 2559
CVE-2017-0418	A-32703959 [ 2 ]	สูง	ทั้งหมด	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	7 พ.ย. 2559
CVE-2017-0419	A-32220769	สูง	ทั้งหมด	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	15 ต.ค. 2559

ช่องโหว่การเปิดเผยข้อมูลใน AOSP Mail

ช่องโหว่การเปิดเผยข้อมูลใน AOSP Mail อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเลี่ยงการป้องกันระบบปฏิบัติการที่แยกข้อมูลแอปพลิเคชันจากแอปพลิเคชันอื่นได้ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากสามารถใช้เพื่อเข้าถึงข้อมูลที่แอปพลิเคชันไม่สามารถเข้าถึงได้

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0420	A-32615212	สูง	ทั้งหมด	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	12 กันยายน 2559

ช่องโหว่การเปิดเผยข้อมูลใน AOSP Messaging

ช่องโหว่การเปิดเผยข้อมูลใน AOSP Messaging อาจทำให้แอปพลิเคชันที่เป็นอันตรายภายในเครื่องสามารถเลี่ยงการป้องกันระบบปฏิบัติการที่แยกข้อมูลแอปพลิเคชันจากแอปพลิเคชันอื่นได้ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากสามารถใช้เพื่อเข้าถึงข้อมูลที่แอปพลิเคชันไม่สามารถเข้าถึงได้

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0413	A-32161610	สูง	ทั้งหมด	6.0, 6.0.1, 7.0, 7.1.1	13 ต.ค. 2559
CVE-2017-0414	A-32807795	สูง	ทั้งหมด	6.0, 6.0.1, 7.0, 7.1.1	10 พ.ย. 2559

ช่องโหว่การเปิดเผยข้อมูลใน Framework API

ช่องโหว่การเปิดเผยข้อมูลใน Framework API อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเลี่ยงการป้องกันระบบปฏิบัติการที่แยกข้อมูลแอปพลิเคชันออกจากแอปพลิเคชันอื่นได้ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากสามารถใช้เพื่อเข้าถึงข้อมูลที่แอปพลิเคชันไม่สามารถเข้าถึงได้

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0421	A-32555637	สูง	ทั้งหมด	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	ภายในของ Google

การปฏิเสธช่องโหว่การบริการใน Bionic DNS

การปฏิเสธช่องโหว่ในบริการใน Bionic DNS อาจทำให้ผู้โจมตีระยะไกลสามารถใช้แพ็กเก็ตเครือข่ายที่สร้างขึ้นมาเป็นพิเศษเพื่อทำให้อุปกรณ์หยุดทำงานหรือรีบูต ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากความเป็นไปได้ที่จะมีการปฏิเสธการให้บริการจากระยะไกล

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0422	A-32322088	สูง	ทั้งหมด	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	20 ต.ค. 2559

การยกระดับช่องโหว่ของสิทธิพิเศษใน Bluetooth

การยกระดับช่องโหว่ของสิทธิพิเศษใน Bluetooth อาจทำให้ผู้โจมตีใกล้เคียงสามารถจัดการการเข้าถึงเอกสารบนอุปกรณ์ได้ ปัญหานี้ได้รับการจัดอันดับเป็นปานกลางเนื่องจากต้องมีการใช้ประโยชน์จากช่องโหว่ที่แยกต่างหากในกลุ่ม Bluetooth ก่อน

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0423	A-32612586	ปานกลาง	ทั้งหมด	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	2 พฤศจิกายน 2559

ช่องโหว่การเปิดเผยข้อมูลใน AOSP Messaging

ช่องโหว่ในการเปิดเผยข้อมูลใน AOSP Messaging อาจทำให้ผู้โจมตีระยะไกลใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อเข้าถึงข้อมูลที่อยู่นอกระดับสิทธิ์ได้ ปัญหานี้ได้รับการจัดอันดับเป็นปานกลางเนื่องจากเป็นการเลี่ยงทั่วไปสำหรับการป้องกันระดับผู้ใช้ในเชิงลึกหรือใช้ประโยชน์จากเทคโนโลยีบรรเทาผลกระทบในกระบวนการที่ได้รับสิทธิพิเศษ

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0424	A-32322450	ปานกลาง	ทั้งหมด	6.0, 6.0.1, 7.0, 7.1.1	20 ต.ค. 2559

ช่องโหว่การเปิดเผยข้อมูลใน Audioserver

ช่องโหว่ในการเปิดเผยข้อมูลใน Audioserver อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเข้าถึงข้อมูลที่อยู่นอกระดับสิทธิ์ได้ ปัญหานี้ได้รับการจัดอันดับเป็นปานกลางเนื่องจากสามารถใช้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาต

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0425	A-32720785	ปานกลาง	ทั้งหมด	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	7 พ.ย. 2559

ช่องโหว่การเปิดเผยข้อมูลในระบบไฟล์

ช่องโหว่ในการเปิดเผยข้อมูลในระบบไฟล์อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเข้าถึงข้อมูลที่อยู่นอกระดับสิทธิ์ได้ ปัญหานี้ได้รับการจัดอันดับเป็นปานกลางเนื่องจากสามารถใช้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาต

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	อัปเดตเวอร์ชัน AOSP	วันที่รายงาน
CVE-2017-0426	A-32799236 [ 2 ]	ปานกลาง	ทั้งหมด	7.0, 7.1.1	ภายในของ Google

ระดับแพตช์ความปลอดภัย 05-02-2017—รายละเอียดช่องโหว่

ในส่วนด้านล่าง เราจะให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละจุดที่ใช้กับระดับแพตช์ 2017-02-05 มีคำอธิบายของปัญหา เหตุผลของความรุนแรง และตารางพร้อม CVE ข้อมูลอ้างอิงที่เกี่ยวข้อง ความรุนแรง อุปกรณ์ Google ที่อัปเดต เวอร์ชัน AOSP ที่อัปเดต (หากมี) และวันที่รายงาน เมื่อพร้อมใช้งาน เราจะเชื่อมโยงการเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสข้อบกพร่อง เช่น รายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายอย่างเกี่ยวข้องกับจุดบกพร่องจุดเดียว การอ้างอิงเพิ่มเติมจะเชื่อมโยงกับหมายเลขที่ตามหลังรหัสจุดบกพร่อง

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลในไดรเวอร์ Qualcomm crypto

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลในไดรเวอร์ Cryptocurrency ของ Qualcomm อาจทำให้ผู้โจมตีจากระยะไกลสามารถรันโค้ดโดยอำเภอใจภายในบริบทของเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับว่าสำคัญเนื่องจากความเป็นไปได้ของการเรียกใช้โค้ดจากระยะไกลในบริบทของเคอร์เนล

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2016-8418	A-32652894 QC-CR#1077457	วิกฤต	ไม่มี*	10 ต.ค. 2559

* อุปกรณ์ Google ที่รองรับบน Android 7.0 หรือใหม่กว่าที่ได้ติดตั้งการอัปเดตที่มีอยู่ทั้งหมดจะไม่ได้รับผลกระทบจากช่องโหว่นี้

การยกระดับช่องโหว่ของสิทธิ์ในระบบไฟล์เคอร์เนล

การยกระดับช่องโหว่ของสิทธิ์ในระบบไฟล์เคอร์เนลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับว่าสำคัญเนื่องจากความเป็นไปได้ที่อุปกรณ์จะเสียหายอย่างถาวร ซึ่งอาจจำเป็นต้องแฟลชระบบปฏิบัติการใหม่เพื่อซ่อมแซมอุปกรณ์

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2017-0427	A-31495866*	วิกฤต	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, พิกเซล, พิกเซล XL	13 กันยายน 2559

* แพตช์สำหรับปัญหานี้ไม่ได้เผยแพร่ต่อสาธารณะ การอัปเดตมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่พร้อมใช้งานจาก ไซต์ Google Developer

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์ NVIDIA GPU

การยกระดับช่องโหว่ของสิทธิ์ในไดรเวอร์ NVIDIA GPU อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับว่าสำคัญเนื่องจากความเป็นไปได้ที่อุปกรณ์จะเสียหายอย่างถาวร ซึ่งอาจจำเป็นต้องแฟลชระบบปฏิบัติการใหม่เพื่อซ่อมแซมอุปกรณ์

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2017-0428	A-32401526* N-CVE-2017-0428	วิกฤต	เน็กซัส 9	25 ต.ค. 2559
CVE-2017-0429	A-32636619* N-CVE-2017-0429	วิกฤต	เน็กซัส 9	3 พฤศจิกายน 2559

* แพตช์สำหรับปัญหานี้ไม่ได้เผยแพร่ต่อสาธารณะ การอัปเดตมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่พร้อมใช้งานจาก ไซต์ Google Developer

การยกระดับช่องโหว่ของสิทธิพิเศษในระบบย่อยเครือข่ายเคอร์เนล

การยกระดับช่องโหว่ของสิทธิ์ในระบบย่อยเครือข่ายเคอร์เนลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับว่าสำคัญเนื่องจากความเป็นไปได้ที่อุปกรณ์จะเสียหายอย่างถาวร ซึ่งอาจจำเป็นต้องแฟลชระบบปฏิบัติการใหม่เพื่อซ่อมแซมอุปกรณ์

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2014-9914	A-32882659 เคอร์เนลต้นน้ำ	วิกฤต	Nexus 6, ผู้เล่น Nexus	9 พ.ย. 2559

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์ Broadcom Wi-Fi

การยกระดับช่องโหว่ของสิทธิ์ในไดรเวอร์ Broadcom Wi-Fi อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับว่าสำคัญเนื่องจากความเป็นไปได้ที่อุปกรณ์จะเสียหายอย่างถาวร ซึ่งอาจจำเป็นต้องแฟลชระบบปฏิบัติการใหม่เพื่อซ่อมแซมอุปกรณ์

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2017-0430	A-32838767* B-RB#107459	วิกฤต	Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player	ภายในของ Google

* แพตช์สำหรับปัญหานี้ไม่ได้เผยแพร่ต่อสาธารณะ การอัปเดตมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่พร้อมใช้งานจาก ไซต์ Google Developer

ช่องโหว่ในส่วนประกอบของ Qualcomm

ช่องโหว่ต่อไปนี้ส่งผลกระทบต่อส่วนประกอบของ Qualcomm และมีอธิบายไว้ในรายละเอียดเพิ่มเติมในกระดานข่าวด้านความปลอดภัยของ Qualcomm AMSS เดือนกันยายน 2559

ซีวีอี	อ้างอิง	ความรุนแรง*	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2017-0431	A-32573899**	วิกฤต	ไม่มี***	วอลคอมม์ภายใน

* ระดับความรุนแรงสำหรับช่องโหว่เหล่านี้ถูกกำหนดโดยผู้จำหน่าย

** แพตช์สำหรับปัญหานี้ไม่เปิดเผยต่อสาธารณะ การอัปเดตมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่พร้อมใช้งานจาก ไซต์ Google Developer

*** อุปกรณ์ Google ที่รองรับบน Android 7.0 หรือใหม่กว่าที่ได้ติดตั้งการอัปเดตที่มีอยู่ทั้งหมดจะไม่ได้รับผลกระทบจากช่องโหว่นี้

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์ MediaTek

การยกระดับช่องโหว่ของสิทธิ์ในไดรเวอร์ MediaTek อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากต้องประนีประนอมกระบวนการที่ได้รับสิทธิพิเศษก่อน

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2017-0432	A-28332719* M-ALPS02708925	สูง	ไม่มี**	21 เมษายน 2016

* แพตช์สำหรับปัญหานี้ไม่ได้เผยแพร่ต่อสาธารณะ การอัปเดตมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่พร้อมใช้งานจาก ไซต์ Google Developer

** อุปกรณ์ Google ที่รองรับบน Android 7.0 หรือใหม่กว่าที่ได้ติดตั้งการอัปเดตที่มีอยู่ทั้งหมดจะไม่ได้รับผลกระทบจากช่องโหว่นี้

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์หน้าจอสัมผัส Synaptics

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์หน้าจอสัมผัส Synaptics อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของชิปเซ็ตหน้าจอสัมผัสได้ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากต้องประนีประนอมกระบวนการที่ได้รับสิทธิพิเศษก่อน

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2017-0433	A-31913571*	สูง	Nexus 6P, Nexus 9, Android One, พิกเซล, พิกเซล XL	8 กันยายน 2559
CVE-2017-0434	A-33001936*	สูง	พิกเซล, พิกเซล XL	18 พ.ย. 2559

* แพตช์สำหรับปัญหานี้ไม่ได้เผยแพร่ต่อสาธารณะ การอัปเดตมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่พร้อมใช้งานจาก ไซต์ Google Developer

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์ Qualcomm Secure Execution Environment Communicator

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรฟ์ Qualcomm Secure Execution Environment Communicator อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากต้องประนีประนอมกระบวนการที่ได้รับสิทธิพิเศษก่อน

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2016-8480	A-31804432 QC-CR#1086186 [ 2 ]	สูง	Nexus 5X, Nexus 6, Nexus 6P, Android One, พิกเซล, พิกเซล XL	28 กันยายน 2016

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์เสียงของ Qualcomm

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์เสียงของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากต้องประนีประนอมกระบวนการที่ได้รับสิทธิพิเศษก่อน

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2016-8481	A-31906415* QC-CR#1078000	สูง	Nexus 5X, Nexus 6P, พิกเซล, พิกเซล XL	1 ต.ค. 2559
CVE-2017-0435	A-31906657* QC-CR#1078000	สูง	Nexus 5X, Nexus 6P, พิกเซล, พิกเซล XL	1 ต.ค. 2559
CVE-2017-0436	A-32624661* QC-CR#1078000	สูง	Nexus 5X, Nexus 6P, พิกเซล, พิกเซล XL	2 พฤศจิกายน 2559

* แพตช์สำหรับปัญหานี้ไม่ได้เผยแพร่ต่อสาธารณะ การอัปเดตมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่พร้อมใช้งานจาก ไซต์ Google Developer

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์ Qualcomm Wi-Fi

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์ Qualcomm Wi-Fi อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากต้องประนีประนอมกระบวนการที่ได้รับสิทธิพิเศษก่อน

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2017-0437	A-32402310 QC-CR#1092497	สูง	Nexus 5X, พิกเซล, พิกเซล XL	25 ต.ค. 2559
CVE-2017-0438	A-32402604 QC-CR#1092497	สูง	Nexus 5X, พิกเซล, พิกเซล XL	25 ต.ค. 2559
CVE-2017-0439	A-32450647 QC-CR#1092059	สูง	Nexus 5X, พิกเซล, พิกเซล XL	25 ต.ค. 2559
CVE-2016-8419	A-32454494 QC-CR#1087209	สูง	Nexus 5X, พิกเซล, พิกเซล XL	26 ต.ค. 2559
CVE-2016-8420	A-32451171 QC-CR#1087807	สูง	Nexus 5X, พิกเซล, พิกเซล XL	26 ต.ค. 2559
CVE-2016-8421	A-32451104 QC-CR#1087797	สูง	Nexus 5X, พิกเซล, พิกเซล XL	26 ต.ค. 2559
CVE-2017-0440	A-33252788 QC-CR#1095770	สูง	Nexus 5X, พิกเซล, พิกเซล XL	11 พ.ย. 2559
CVE-2017-0441	A-32872662 QC-CR#1095009	สูง	Nexus 5X, พิกเซล, พิกเซล XL	11 พ.ย. 2559
CVE-2017-0442	A-32871330 QC-CR#1092497	สูง	Nexus 5X, พิกเซล, พิกเซล XL	13 พ.ย. 2559
CVE-2017-0443	A-32877494 QC-CR#1092497	สูง	Nexus 5X, พิกเซล, พิกเซล XL	13 พ.ย. 2559
CVE-2016-8476	A-32879283 QC-CR#1091940	สูง	Nexus 5X, พิกเซล, พิกเซล XL	14 พ.ย. 2559

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์เสียง Realtek

การยกระดับช่องโหว่ของสิทธิ์ในไดรเวอร์เสียง Realtek อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากต้องประนีประนอมกระบวนการที่ได้รับสิทธิพิเศษก่อน

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2017-0444	A-32705232*	สูง	เน็กซัส 9	7 พ.ย. 2559

* แพตช์สำหรับปัญหานี้ไม่ได้เผยแพร่ต่อสาธารณะ การอัปเดตมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่พร้อมใช้งานจาก ไซต์ Google Developer

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์หน้าจอสัมผัสของ HTC

การยกระดับช่องโหว่ของสิทธิ์ในไดรเวอร์หน้าจอสัมผัสของ HTC อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากต้องประนีประนอมกระบวนการที่ได้รับสิทธิพิเศษก่อน

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2017-0445	A-32769717*	สูง	พิกเซล, พิกเซล XL	9 พ.ย. 2559
CVE-2017-0446	A-32917445*	สูง	พิกเซล, พิกเซล XL	15 พ.ย. 2559
CVE-2017-0447	A-32919560*	สูง	พิกเซล, พิกเซล XL	15 พ.ย. 2559

* แพตช์สำหรับปัญหานี้ไม่ได้เผยแพร่ต่อสาธารณะ การอัปเดตมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่พร้อมใช้งานจาก ไซต์ Google Developer

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์วิดีโอ NVIDIA

ช่องโหว่ในการเปิดเผยข้อมูลในไดรเวอร์วิดีโอ NVIDIA อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเข้าถึงข้อมูลที่อยู่นอกระดับสิทธิ์ได้ ปัญหานี้ได้รับการจัดอันดับเป็นสูงเนื่องจากสามารถใช้เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนโดยไม่ต้องได้รับอนุญาตจากผู้ใช้อย่างชัดแจ้ง

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2017-0448	A-32721029* N-CVE-2017-0448	สูง	เน็กซัส 9	7 พ.ย. 2559

* แพตช์สำหรับปัญหานี้ไม่ได้เผยแพร่ต่อสาธารณะ การอัปเดตมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่พร้อมใช้งานจาก ไซต์ Google Developer

การยกระดับช่องโหว่ของสิทธิพิเศษในไดรเวอร์ Broadcom Wi-Fi

การยกระดับช่องโหว่ของสิทธิ์ในไดรเวอร์ Broadcom Wi-Fi อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของเคอร์เนลได้ ปัญหานี้ได้รับการจัดอันดับเป็นปานกลางเนื่องจากต้องประนีประนอมกระบวนการสิทธิพิเศษก่อน และบรรเทาลงด้วยการกำหนดค่าแพลตฟอร์มปัจจุบัน

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2017-0449	A-31707909* B-RB#32094	ปานกลาง	เน็กซัส 6, เน็กซัส 6พี	23 กันยายน 2016

* แพตช์สำหรับปัญหานี้ไม่ได้เผยแพร่ต่อสาธารณะ การอัปเดตมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่พร้อมใช้งานจาก ไซต์ Google Developer

การยกระดับช่องโหว่ของสิทธิพิเศษใน Audioserver

การยกระดับช่องโหว่ของสิทธิ์ใน Audioserver อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถรันโค้ดที่กำหนดเองภายในบริบทของกระบวนการที่ได้รับสิทธิ์ ปัญหานี้ได้รับการจัดอันดับเป็นปานกลางเนื่องจากมีการบรรเทาโดยการกำหนดค่าแพลตฟอร์มปัจจุบัน

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2017-0450	A-32917432*	ปานกลาง	เน็กซัส 9	15 พ.ย. 2559

* แพตช์สำหรับปัญหานี้ไม่ได้เผยแพร่ต่อสาธารณะ การอัปเดตมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่พร้อมใช้งานจาก ไซต์ Google Developer

การยกระดับช่องโหว่ของสิทธิ์ในระบบไฟล์เคอร์เนล

การยกระดับช่องโหว่ของสิทธิ์ในระบบไฟล์เคอร์เนลอาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเลี่ยงการป้องกันที่ป้องกันการยกระดับสิทธิ์ได้ ปัญหานี้ได้รับการจัดอันดับเป็นปานกลาง เนื่องจากเป็นการบายพาสทั่วไปสำหรับการป้องกันระดับผู้ใช้ในเชิงลึกหรือใช้ประโยชน์จากเทคโนโลยีบรรเทาผลกระทบ

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2016-10044	A-31711619*	ปานกลาง	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel C, Nexus Player, พิกเซล, พิกเซล XL	ภายในของ Google

* แพตช์สำหรับปัญหานี้ไม่ได้เผยแพร่ต่อสาธารณะ การอัปเดตมีอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Nexus ที่พร้อมใช้งานจาก ไซต์ Google Developer

ช่องโหว่ในการเปิดเผยข้อมูลใน Qualcomm Secure Execution Environment Communicator

ช่องโหว่ในการเปิดเผยข้อมูลใน Qualcomm Secure Execution Environment Communicator อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเข้าถึงข้อมูลที่อยู่นอกระดับสิทธิ์ได้ ปัญหานี้ได้รับการจัดอันดับเป็นปานกลางเนื่องจากจำเป็นต้องประนีประนอมกระบวนการที่ได้รับสิทธิพิเศษก่อน

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2016-8414	A-31704078 QC-CR#1076407	ปานกลาง	Nexus 5X, Nexus 6P, Android One, พิกเซล, พิกเซล XL	23 กันยายน 2016

ช่องโหว่การเปิดเผยข้อมูลในไดรเวอร์เสียงของ Qualcomm

ช่องโหว่ในการเปิดเผยข้อมูลในไดรเวอร์เสียงของ Qualcomm อาจทำให้แอปพลิเคชันที่เป็นอันตรายในเครื่องสามารถเข้าถึงข้อมูลที่อยู่นอกระดับสิทธิ์ได้ ปัญหานี้ได้รับการจัดอันดับเป็นปานกลางเนื่องจากจำเป็นต้องประนีประนอมกระบวนการที่ได้รับสิทธิพิเศษก่อน

ซีวีอี	อ้างอิง	ความรุนแรง	อัปเดตอุปกรณ์ Google	วันที่รายงาน
CVE-2017-0451	A-31796345 QC-CR#1073129 [ 2 ]	ปานกลาง	Nexus 5X, Nexus 6P, Android One, พิกเซล, พิกเซล XL	27 กันยายน 2016

คำถามและคำตอบทั่วไป

ส่วนนี้จะตอบคำถามทั่วไปที่อาจเกิดขึ้นหลังจากอ่านกระดานข่าวนี้

1. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ของฉันได้รับการอัปเดตเพื่อแก้ไขปัญหาเหล่านี้หรือไม่

หากต้องการเรียนรู้วิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์ โปรดอ่านคำแนะนำใน กำหนดการอัปเดต Pixel และ Nexus

• ระดับแพตช์รักษาความปลอดภัยของ 2017-02-01 หรือใหม่กว่าจะแก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2017-02-01
• ระดับแพตช์รักษาความปลอดภัย 05-02-2560 หรือใหม่กว่า แก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2017-02-05 และระดับแพตช์ก่อนหน้าทั้งหมด

ผู้ผลิตอุปกรณ์ที่มีการอัปเดตเหล่านี้ควรตั้งค่าระดับสตริงโปรแกรมแก้ไขเป็น:

• [ro.build.version.security_patch]:[2017-02-01]
• [ro.build.version.security_patch]:[2017-02-05]

2. เหตุใดกระดานข่าวนี้จึงมีแพตช์รักษาความปลอดภัยสองระดับ

กระดานข่าวนี้มีแพตช์รักษาความปลอดภัยสองระดับ เพื่อให้พันธมิตร Android มีความยืดหยุ่นในการแก้ไขชุดย่อยของช่องโหว่ที่คล้ายกันในอุปกรณ์ Android ทั้งหมดได้รวดเร็วยิ่งขึ้น เราสนับสนุนให้พันธมิตร Android แก้ไขปัญหาทั้งหมดในกระดานข่าวนี้ และใช้ระดับแพตช์ความปลอดภัยล่าสุด

• อุปกรณ์ที่ใช้ระดับแพตช์รักษาความปลอดภัยในวันที่ 1 กุมภาพันธ์ 2017 จะต้องรวมปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัยนั้น ตลอดจนการแก้ไขสำหรับปัญหาทั้งหมดที่รายงานในกระดานข่าวความปลอดภัยก่อนหน้านี้
• อุปกรณ์ที่ใช้ระดับแพตช์รักษาความปลอดภัยวันที่ 5 กุมภาพันธ์ 2017 หรือใหม่กว่า จะต้องมีแพตช์ที่เกี่ยวข้องทั้งหมดอยู่ในกระดานข่าวความปลอดภัยนี้ (และก่อนหน้า)

พันธมิตรได้รับการสนับสนุนให้รวมกลุ่มการแก้ไขสำหรับปัญหาทั้งหมดที่พวกเขาแก้ไขไว้ในการอัปเดตครั้งเดียว

3. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ Google เครื่องใดที่ได้รับผลกระทบจากแต่ละปัญหา

ในส่วนรายละเอียดช่องโหว่ด้านความปลอดภัย ประจำปี 2017-02-01 และ 05-02-05 แต่ละตารางจะมีคอลัมน์ อุปกรณ์ Google ที่อัปเดต ซึ่งครอบคลุมอุปกรณ์ Google ที่ได้รับผลกระทบต่างๆ ที่อัปเดตสำหรับแต่ละปัญหา คอลัมน์นี้มีตัวเลือก 2-3 รายการ:

• อุปกรณ์ Google ทั้งหมด : หากปัญหาเกิดขึ้นกับอุปกรณ์ทั้งหมดและอุปกรณ์ Pixel ตารางจะมี "ทั้งหมด" ในคอลัมน์ อุปกรณ์ Google ที่อัปเดต "ทั้งหมด" สรุป อุปกรณ์ที่รองรับ ต่อไปนี้: Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel และ Pixel XL
• อุปกรณ์ Google บางรุ่น : หากปัญหาไม่ส่งผลกระทบต่ออุปกรณ์ Google ทั้งหมด อุปกรณ์ Google ที่ได้รับผลกระทบจะแสดงรายการในคอลัมน์ อุปกรณ์ Google ที่อัปเดต
• ไม่มีอุปกรณ์ Google : หากไม่มีอุปกรณ์ Google ที่ใช้ Android 7.0 ได้รับผลกระทบจากปัญหานี้ ตารางจะมี "ไม่มี" ในคอลัมน์ อุปกรณ์ Google ที่อัปเดต

4. รายการในคอลัมน์อ้างอิงจับคู่กับอะไร?

รายการภายใต้คอลัมน์ การอ้างอิง ของตารางรายละเอียดช่องโหว่อาจมีคำนำหน้าที่ระบุองค์กรที่เป็นเจ้าของค่าอ้างอิง คำนำหน้าแมปดังต่อไปนี้:

คำนำหน้า	อ้างอิง
เอ-	รหัสข้อบกพร่องของ Android
การควบคุมคุณภาพ-	หมายเลขอ้างอิงควอลคอมม์
เอ็ม-	หมายเลขอ้างอิง MediaTek
น-	หมายเลขอ้างอิง NVIDIA
ข-	หมายเลขอ้างอิงของ Broadcom

การแก้ไข

• 6 กุมภาพันธ์ 2017: เผยแพร่กระดานข่าว
• 8 กุมภาพันธ์ 2017: กระดานข่าวแก้ไขเพื่อรวมลิงก์ AOSP