Android Güvenlik Bülteni—Mart 2017

06 Mart 2017'de yayınlandı | Güncellenme tarihi: 07 Mart 2017

Android Güvenlik Bülteni, Android cihazları etkileyen güvenlik açıklarının ayrıntılarını içerir. Bültenin yanı sıra, kablosuz (OTA) güncelleme yoluyla Google cihazlarına yönelik bir güvenlik güncellemesi yayınladık. Google cihazının donanım yazılımı görüntüleri de Google Geliştirici sitesinde yayınlandı. 05 Mart 2017 veya sonraki güvenlik düzeltme eki düzeyleri bu sorunların tümüne yöneliktir. Bir cihazın güvenlik yaması düzeyinin nasıl kontrol edileceğini öğrenmek için Pixel ve Nexus güncelleme planına bakın.

Bültende açıklanan hususlar 06 Şubat 2017 veya öncesinde ortaklara bildirildi. Bu sorunlara ilişkin kaynak kodu yamaları Android Açık Kaynak Projesi (AOSP) deposunda yayımlandı ve bu bültenden bağlantı verildi. Bu bülten aynı zamanda AOSP dışındaki yamalara bağlantılar da içermektedir.

Bu sorunlardan en ciddi olanı, etkilenen bir cihazda medya dosyalarını işlerken e-posta, web'de gezinme ve MMS gibi birden fazla yöntemle uzaktan kod yürütülmesine olanak tanıyan Kritik bir güvenlik açığıdır. Önem derecesi değerlendirmesi, platform ve hizmet azaltımlarının geliştirme amacıyla devre dışı bırakıldığı veya başarılı bir şekilde atlandığı varsayılarak, güvenlik açığından yararlanmanın etkilenen cihaz üzerinde yaratabileceği etkiye dayanmaktadır.

Yeni bildirilen bu sorunların aktif müşteri istismarına veya kötüye kullanıldığına dair herhangi bir rapor almadık. Android platformunun güvenliğini artıran SafetyNet gibi Android güvenlik platformu korumaları ve hizmet korumaları hakkında ayrıntılar için Android ve Google hizmeti azaltımları bölümüne bakın.

Tüm müşterilerimizi cihazlarına yönelik bu güncellemeleri kabul etmeye teşvik ediyoruz.

Duyurular

  • Bu bültende, Android iş ortaklarına, tüm Android cihazlarda benzer olan bir dizi güvenlik açığını daha hızlı düzeltme esnekliği sağlamak amacıyla iki güvenlik yaması düzeyi dizesi bulunmaktadır. Ek bilgi için Yaygın sorular ve yanıtlara bakın:
    • 2017-03-01 : Kısmi güvenlik yaması düzeyi dizisi. Bu güvenlik yaması düzeyi dizesi, 2017-03-01 ile ilişkili tüm sorunların (ve önceki tüm güvenlik yaması düzeyi dizeleri) giderildiğini gösterir.
    • 2017-03-05 : Tam güvenlik yaması düzeyi dizisi. Bu güvenlik yaması düzeyi dizesi, 2017-03-01 ve 2017-03-05 (ve önceki tüm güvenlik yaması düzeyi dizeleri) ile ilişkili tüm sorunların giderildiğini gösterir.
  • Desteklenen Google cihazları, 05 Mart 2017 güvenlik yaması düzeyine sahip tek bir OTA güncellemesi alacaktır.

Android ve Google hizmet azaltımları

Bu , Android güvenlik platformu ve SafetyNet gibi hizmet korumaları tarafından sağlanan azaltıcı önlemlerin bir özetidir. Bu yetenekler, Android'de güvenlik açıklarından başarıyla yararlanma olasılığını azaltır.

  • Android platformunun daha yeni sürümlerindeki iyileştirmeler, Android'deki birçok sorundan yararlanmayı daha da zorlaştırıyor. Tüm kullanıcılarımızı mümkün olduğunca Android'in en son sürümüne güncelleme yapmaya teşvik ediyoruz.
  • Android Güvenlik ekibi, kullanıcıları Potansiyel Zararlı Uygulamalar konusunda uyarmak için tasarlanan Verify Apps ve SafetyNet ile kötüye kullanımı aktif olarak izliyor. Uygulamaları Doğrula, Google Mobil Hizmetlerine sahip cihazlarda varsayılan olarak etkindir ve özellikle Google Play dışından uygulama yükleyen kullanıcılar için önemlidir. Cihaz köklendirme araçları Google Play'de yasaktır, ancak Verify Apps, nereden gelirse gelsin algılanan bir köklendirme uygulamasını yüklemeye çalıştıklarında kullanıcıları uyarır. Ek olarak Verify Apps, ayrıcalık yükseltme güvenlik açığından yararlanan bilinen kötü amaçlı uygulamaları tanımlamaya ve bunların yüklenmesini engellemeye çalışır. Böyle bir uygulama zaten kuruluysa Verify Apps kullanıcıyı bilgilendirecek ve tespit edilen uygulamayı kaldırmaya çalışacaktır.
  • Uygun olduğu üzere Google Hangouts ve Messenger uygulamaları, medyayı Mediaserver gibi işlemlere otomatik olarak aktarmaz.

Teşekkür

Bu araştırmacılara katkılarından dolayı teşekkür ederiz:

  • Google Dinamik Araçlar ekibinden Alexander Potapenko: CVE-2017-0537
  • Alibaba Mobil Güvenlik Grubundan Baozeng Ding, Chengming Yang, Peng Xiao ve Yang Song: CVE-2017-0506
  • Baozeng Ding, Ning You, Chengming Yang, Peng Xiao ve Alibaba Mobil Güvenlik Grubundan Yang Song: CVE-2017-0463
  • Android Güvenliği'nden Billy Lau: CVE-2017-0335, CVE-2017-0336, CVE-2017-0338, CVE-2017-0460
  • derrek ( @derrekr6 ): CVE-2016-8413, CVE-2016-8477, CVE-2017-0531
  • derrek ( @derrekr6 ) ve Scott Bauer ( @ScottyBauer1 ): CVE-2017-0521
  • KeenLab'dan Di Shen ( @returnsme ) ( @keen_lab ), Tencent: CVE-2017-0334, CVE-2017-0456, CVE-2017-0457, CVE-2017-0525
  • En He ( @heeeeen4x ) ve MS509Team'den Bo Liu: CVE-2017-0490
  • Gengjia Chen ( @chengjia4574 ) ve IceSword Lab'den pjf , Qihoo 360 Technology Co. Ltd.: CVE-2017-0500, CVE-2017-0501, CVE-2017-0502, CVE-2017-0503, CVE-2017-0509, CVE-2017-0524, CVE-2017-0529, CVE-2017-0536
  • Alpha Team'den Hao Chen ve Guang Gong, Qihoo 360 Technology Co. Ltd.: CVE-2017-0453, CVE-2017-0461, CVE-2017-0464
  • Sony Mobile Communications Inc.'den Hiroki Yamamoto ve Fang Chen: CVE-2017-0481
  • IBM Security X-Force Araştırmacıları Sagi Kedmi ve Roee Hay: CVE-2017-0510
  • Qihoo 360 Skyeye Laboratuvarlarından Jianjun Dai ( @Jioun_dai ) : CVE-2017-0478
  • Jianqiang Zhao ( @jianqiangzhao ) ve IceSword Lab'den pjf , Qihoo 360: CVE-2016-8416, CVE-2016-8478, CVE-2017-0458, CVE-2017-0459, CVE-2017-0518, CVE-2017-0519 , CVE-2017-0533, CVE-2017-0534
  • C0RE Ekibinden Lubo Zhang , Tong Lin , Yuan-Tsung Lo ve Xuxian Jiang: CVE-2016-8479
  • Google'dan Makoto Onuki: CVE-2017-0491
  • Mingjian Zhou ( @Mingjian_Zhou ), Hanxiang Wen ve C0RE Ekibinden Xuxian Jiang: CVE-2017-0479, CVE-2017-0480
  • Nathan Crandall ( @natecray ): CVE-2017-0535
  • Tesla Motors Ürün Güvenliği Ekibinden Nathan Crandall ( @natecray ): CVE-2017-0306
  • Baidu X-Lab'dan Pengfei Ding (丁鹏飞), Chenfu Bao (包沉浮), Lenx Wei (韦韬) (百度安全实验室): CVE-2016-8417
  • KeenLab'dan Qidan He (何淇丹) ( @flanker_hqd ), Tencent: CVE-2017-0337, CVE-2017-0476
  • Qihoo 360'tan Qing Zhang ve Singapur Teknoloji Enstitüsü'nden (SIT) Guangdong Bai: CVE-2017-0496
  • Ant-financial Işık Yılı Güvenlik Laboratuvarı'ndan Quhe ve wanchouchou (蚂蚁金服巴斯光年安全实验室): CVE-2017-0522
  • DarkMatter'da Güvenli İletişim Sahrası : CVE-2017-0528
  • Shellphish Grill Ekibi'nden salls ( @chris_salls ), UC Santa Barbara: CVE-2017-0505
  • Scott Bauer ( @ScottyBauer1 ): CVE-2017-0504, CVE-2017-0516
  • Sean Beaupre (güzeller): CVE-2017-0455
  • Trend Micro'dan Seven Shen ( @lingtongshen ): CVE-2017-0452
  • Fujitsu'dan Shinichi Matsumoto: CVE-2017-0498
  • ByteRev'den Stéphane Marques : CVE-2017-0489
  • Google'dan Svetoslav Ganov: CVE-2017-0492
  • C0RE Ekibinden Tong Lin , Yuan-Tsung Lo ve Xuxian Jiang: CVE-2017-0333
  • Mobil Tehdit Müdahale Ekibinin VEO'su ( @VYSEa ), Trend Micro : CVE-2017-0466, CVE-2017-0467, CVE-2017-0468, CVE-2017-0469, CVE-2017-0470, CVE-2017-0471, CVE-2017-0472, CVE-2017-0473, CVE-2017-0482, CVE-2017-0484, CVE-2017-0485, CVE-2017-0486, CVE-2017-0487, CVE-2017-0494, CVE- 2017-0495
  • Ant-financial Işık Yılı Güvenlik Laboratuvarı'ndan Wish Wu (吴潍浠 此彼) ( @wish_wu ) (蚂蚁金服巴斯光年安全实验室): CVE-2017-0477
  • Vulpecker Ekibinden Yu Pan, Qihoo 360 Technology Co. Ltd: CVE-2017-0517, CVE-2017-0532
  • Yuan-Tsung Lo ve C0RE Ekibinden Xuxian Jiang: CVE-2017-0526, CVE-2017-0527
  • Yuqi Lu ( @nikos233 ), Wenke Dou , Dacheng Shao , Mingjian Zhou ( @Mingjian_Zhou ) ve C0RE Ekibinden Xuxian Jiang: CVE-2017-0483
  • Chengdu Güvenlik Müdahale Merkezi'nden Zinuo Han ( weibo.com/ele7enxxh ), Qihoo 360 Technology Co. Ltd.: CVE-2017-0475, CVE-2017-0497

2017-03-01 güvenlik yaması düzeyi—Güvenlik açığı ayrıntıları

Aşağıdaki bölümlerde, 2017-03-01 yama düzeyi için geçerli olan güvenlik açıklarının her birine ilişkin ayrıntılar sağlıyoruz. Sorunun bir açıklaması, önem derecesi gerekçesi ve CVE'yi, ilgili referansları, önem derecesini, güncellenmiş Google cihazlarını, güncellenmiş AOSP sürümlerini (varsa) ve raporlanma tarihini içeren bir tablo bulunmaktadır. Mümkün olduğunda, sorunu gideren genel değişikliği, AOSP değişiklik listesi gibi hata kimliğine bağlayacağız. Birden fazla değişiklik tek bir hatayla ilgili olduğunda, ek referanslar hata kimliğini takip eden numaralara bağlanır.

OpenSSL ve BoringSSL'de uzaktan kod yürütme güvenlik açığı

OpenSSL ve BoringSSL'deki bir uzaktan kod yürütme güvenlik açığı, özel hazırlanmış bir dosya kullanan bir saldırganın dosya ve veri işleme sırasında bellek bozulmasına neden olmasına olanak verebilir. Bu sorun, ayrıcalıklı bir işlem bağlamında uzaktan kod yürütme olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2016-2182 A-32096880 Kritik Tüm 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 5 Ağu 2016

Mediaserver'da uzaktan kod yürütme güvenlik açığı

Mediaserver'daki bir uzaktan kod yürütme güvenlik açığı, özel hazırlanmış bir dosya kullanan bir saldırganın medya dosyası ve veri işleme sırasında bellek bozulmasına neden olmasına olanak verebilir. Bu sorun, Mediaserver işlemi bağlamında uzaktan kod yürütme olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0466 A-33139050 [ 2 ] Kritik Tüm 6.0, 6.0.1, 7.0, 7.1.1 25 Kasım 2016
CVE-2017-0467 A-33250932 [ 2 ] Kritik Tüm 6.0, 6.0.1, 7.0, 7.1.1 30 Kasım 2016
CVE-2017-0468 A-33351708 [ 2 ] Kritik Tüm 6.0, 6.0.1, 7.0, 7.1.1 5 Aralık 2016
CVE-2017-0469 A-33450635 Kritik Tüm 6.0, 6.0.1, 7.0, 7.1.1 8 Aralık 2016
CVE-2017-0470 A-33818500 Kritik Tüm 6.0, 6.0.1, 7.0, 7.1.1 21 Aralık 2016
CVE-2017-0471 A-33816782 Kritik Tüm 6.0, 6.0.1, 7.0, 7.1.1 21 Aralık 2016
CVE-2017-0472 A-33862021 Kritik Tüm 6.0, 6.0.1, 7.0, 7.1.1 23 Aralık 2016
CVE-2017-0473 A-33982658 Kritik Tüm 6.0, 6.0.1, 7.0, 7.1.1 30 Aralık 2016
CVE-2017-0474 A-32589224 Kritik Tüm 7.0, 7.1.1 Google dahili

Kurtarma doğrulayıcıda ayrıcalık yükselmesi güvenlik açığı

Kurtarma doğrulayıcısındaki ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, aygıtın onarılması için işletim sisteminin yeniden başlatılmasını gerektirebilecek yerel kalıcı aygıt güvenliği ihlali olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0475 A-31914369 Kritik Tüm 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 2 Ekim 2016

AOSP Mesajlaşma'da uzaktan kod yürütme güvenlik açığı

AOSP Messaging'deki bir uzaktan kod yürütme güvenlik açığı, özel hazırlanmış bir dosya kullanan bir saldırganın medya dosyası ve veri işleme sırasında bellek bozulmasına neden olmasına olanak verebilir. Ayrıcalıksız bir işlem bağlamında uzaktan kod yürütme olasılığı nedeniyle bu sorun Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0476 A-33388925 Yüksek Tüm 6.0, 6.0.1, 7.0, 7.1.1 6 Aralık 2016

Libgdx'te uzaktan kod yürütme güvenlik açığı

Libgdx'teki bir uzaktan kod yürütme güvenlik açığı, özel hazırlanmış bir dosya kullanan bir saldırganın ayrıcalıklı olmayan bir işlem bağlamında rastgele kod yürütmesine olanak sağlayabilir. Bu kitaplığı kullanan bir uygulamada uzaktan kod yürütme olasılığı nedeniyle bu sorun Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0477 A-33621647 Yüksek Tüm 7.1.1 14 Aralık 2016

Framesequence kitaplığında uzaktan kod yürütme güvenlik açığı

Framesequence kitaplığındaki bir uzaktan kod yürütme güvenlik açığı, özel hazırlanmış bir dosya kullanan bir saldırganın ayrıcalıklı olmayan bir işlem bağlamında rastgele kod yürütmesine olanak verebilir. Bu sorun, Framesequence kitaplığını kullanan bir uygulamada uzaktan kod yürütme olasılığı nedeniyle Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0478 A-33718716 Yüksek Tüm 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 16 Aralık 2016

NFC'de ayrıcalık yükselmesi güvenlik açığı

NFC'deki bir ayrıcalık yükselmesi güvenlik açığı, yakındaki bir saldırganın ayrıcalıklı bir işlem bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, normalde üçüncü taraf bir uygulamanın erişemediği yükseltilmiş yeteneklere yerel erişim sağlamak için kullanılabileceğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0481 A-33434992 Yüksek Tüm 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 6 Kasım 2016

Audioserver'da ayrıcalık yükselmesi güvenlik açığı

Audioserver'daki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın ayrıcalıklı bir işlem bağlamında rastgele kod yürütmesine olanak verebilir. Bu sorun, normalde üçüncü taraf bir uygulamanın erişemediği yükseltilmiş yeteneklere yerel erişim sağlamak için kullanılabileceğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0479 A-32707507 [ 2 ] Yüksek Tüm 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 7 Kasım 2016
CVE-2017-0480 A-32705429 [ 2 ] Yüksek Tüm 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 7 Kasım 2016

Mediaserver'da hizmet reddi güvenlik açığı

Mediaserver'daki hizmet reddi güvenlik açığı, bir saldırganın özel hazırlanmış bir dosyayı kullanarak aygıtın kilitlenmesine veya yeniden başlatılmasına neden olmasına olanak verebilir. Bu sorun, uzaktan hizmet reddi olasılığı nedeniyle Yüksek önem derecesi olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0482 A-33090864 [ 2 ] [ 3 ] [ 4 ] [ 5 ] [ 6 ] Yüksek Tüm 6.0, 6.0.1, 7.0, 7.1.1 22 Kasım 2016
CVE-2017-0483 A-33137046 [ 2 ] Yüksek Tüm 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 24 Kasım 2016
CVE-2017-0484 A-33298089 [ 2 ] Yüksek Tüm 6.0, 6.0.1, 7.0, 7.1.1 1 Aralık 2016
CVE-2017-0485 A-33387820 Yüksek Tüm 6.0, 6.0.1, 7.0, 7.1.1 6 Aralık 2016
CVE-2017-0486 A-33621215 Yüksek Tüm 6.0, 6.0.1, 7.0, 7.1.1 14 Aralık 2016
CVE-2017-0487 A-33751193 Yüksek Tüm 6.0, 6.0.1, 7.0, 7.1.1 19 Aralık 2016
CVE-2017-0488 A-34097213 Yüksek Tüm 6.0, 6.0.1, 7.0, 7.1.1 Google dahili

Konum Yöneticisi'nde ayrıcalık yükselmesi güvenlik açığı

Konum Yöneticisi'ndeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın konum verileri için işletim sistemi korumalarını atlamasına olanak tanıyabilir. Bu sorun, hatalı veriler oluşturmak için kullanılabildiğinden Orta olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0489 A-33091107 Ilıman Tüm 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 20 Kasım 2016

Wi-Fi'de ayrıcalık yükselmesi güvenlik açığı

Wi-Fi'deki ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın kullanıcı verilerini silmesine olanak tanıyabilir. Bu sorun, normalde kullanıcı girişimi veya kullanıcı izni gerektiren kullanıcı etkileşimi gereksinimlerinin yerel olarak atlanması nedeniyle Orta olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0490 A-33178389 [ 2 ] [ 3 ] Ilıman Tüm 6.0, 6.0.1, 7.0, 7.1.1 25 Kasım 2016

Paket Yöneticisi'nde ayrıcalık yükselmesi güvenlik açığı

Paket Yöneticisindeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın, kullanıcıların uygulamaları kaldırmasını veya uygulamalardaki izinleri kaldırmasını engellemesine olanak tanıyabilir. Bu sorun, kullanıcı etkileşimi gereksinimlerinin yerel olarak atlanması nedeniyle Orta olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0491 A-32553261 Ilıman Tüm 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Google dahili

Sistem kullanıcı arayüzünde ayrıcalık yükselmesi güvenlik açığı

Sistem Kullanıcı Arayüzündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın tüm ekranı kaplayan bir Kullanıcı Arayüzü katmanı oluşturmasına olanak sağlayabilir. Bu sorun, normalde kullanıcı girişimi veya kullanıcı izni gerektiren kullanıcı etkileşimi gereksinimlerinin yerel olarak atlanması nedeniyle Orta olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0492 A-30150688 Ilıman Tüm 7.1.1 Google dahili

AOSP Mesajlaşma'da bilginin açığa çıkması güvenlik açığı

AOSP Messaging'deki bilginin açığa çıkması güvenlik açığı, özel hazırlanmış bir dosya kullanan uzaktaki bir saldırganın izin düzeyleri dışındaki verilere erişmesine olanak sağlayabilir. Bu sorun, hassas verilere izinsiz erişmek için kullanılabildiğinden Orta olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0494 A-32764144 Ilıman Tüm 6.0, 6.0.1, 7.0, 7.1.1 9 Kasım 2016

Mediaserver'da bilgilerin açığa çıkması güvenlik açığı

Mediaserver'daki bir bilginin açığa çıkması güvenlik açığı, yerel kötü amaçlı bir uygulamanın kendi izin düzeyleri dışındaki verilere erişmesine olanak sağlayabilir. Bu sorun, hassas verilere izinsiz erişmek için kullanılabildiğinden Orta olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0495 A-33552073 Ilıman Tüm 6.0, 6.0.1, 7.0, 7.1.1 11 Aralık 2016

Kurulum Sihirbazı'ndaki hizmet reddi güvenlik açığı

Kurulum Sihirbazı'ndaki bir hizmet reddi güvenlik açığı, yerel kötü amaçlı bir uygulamanın etkilenen aygıta erişimi geçici olarak engellemesine olanak verebilir. Bu sorun, cihazın onarılması için fabrika ayarlarına sıfırlama gerektirebileceğinden Orta olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0496 A-31554152* Ilıman Hiçbiri** 5.0.2, 5.1.1, 6.0, 6.0.1 14 Eylül 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme , Google Developer sitesinden Google cihazlarına yönelik en son ikili program sürücülerinde bulunmaktadır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemelerin yüklü olduğu desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Mediaserver'da hizmet reddi güvenlik açığı

Mediaserver'daki hizmet reddi güvenlik açığı, bir saldırganın özel hazırlanmış bir dosyayı kullanarak aygıtın kilitlenmesine veya yeniden başlatılmasına neden olmasına olanak verebilir. Bu sorun, alışılmadık bir cihaz yapılandırması gerektirdiğinden Orta olarak derecelendirildi.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0497 A-33300701 Ilıman Tüm 7.0, 7.1.1 2 Aralık 2016

Kurulum Sihirbazı'ndaki hizmet reddi güvenlik açığı

Kurulum Sihirbazı'ndaki bir hizmet reddi güvenlik açığı, yerel bir saldırganın fabrika ayarlarına sıfırlama sonrasında Google hesabında oturum açılmasını gerektirmesine olanak verebilir. Bu sorun, cihazın onarılması için fabrika ayarlarına sıfırlama gerektirebileceğinden Orta olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0498 A-30352311 [ 2 ] Ilıman Tüm 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 Google dahili

Audioserver'da hizmet reddi güvenlik açığı

Audioserver'daki hizmet reddi güvenlik açığı, yerel kötü amaçlı bir uygulamanın cihazın kilitlenmesine veya yeniden başlatılmasına neden olmasına olanak verebilir. Bu sorun, geçici hizmet reddi olasılığı nedeniyle Düşük olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Güncellenmiş AOSP sürümleri Bildirilme tarihi
CVE-2017-0499 A-32095713 Düşük Tüm 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1 11 Ekim 2016

2017-03-05 güvenlik yaması düzeyi—Güvenlik açığı ayrıntıları

Aşağıdaki bölümlerde, 2017-03-05 yama düzeyi için geçerli olan güvenlik açıklarının her birine ilişkin ayrıntılar sağlıyoruz. Sorunun bir açıklaması, önem derecesi gerekçesi ve CVE'yi, ilgili referansları, önem derecesini, güncellenmiş Google cihazlarını, güncellenmiş AOSP sürümlerini (varsa) ve raporlanma tarihini içeren bir tablo bulunmaktadır. Mümkün olduğunda, sorunu gideren genel değişikliği, AOSP değişiklik listesi gibi hata kimliğine bağlayacağız. Birden fazla değişiklik tek bir hatayla ilgili olduğunda, ek referanslar hata kimliğini takip eden numaralara bağlanır.

MediaTek bileşenlerinde ayrıcalık yükselmesi güvenlik açığı

M4U sürücüsü, ses sürücüsü, dokunmatik ekran sürücüsü, GPU sürücüsü ve Komut Kuyruğu sürücüsü de dahil olmak üzere MediaTek bileşenlerinde ayrıcalık yükselmesi güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak sağlayabilir. Bu sorun, aygıtın onarılması için işletim sisteminin yeniden başlatılmasını gerektirebilecek yerel kalıcı aygıt güvenliği ihlali olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0500 A-28429685*
M-ALPS02710006
Kritik Hiçbiri** 27 Nisan 2016
CVE-2017-0501 A-28430015*
M-ALPS02708983
Kritik Hiçbiri** 27 Nisan 2016
CVE-2017-0502 A-28430164*
M-ALPS02710027
Kritik Hiçbiri** 27 Nisan 2016
CVE-2017-0503 A-28449045*
M-ALPS02710075
Kritik Hiçbiri** 28 Nis 2016
CVE-2017-0504 A-30074628*
M-ALPS02829371
Kritik Hiçbiri** 9 Temmuz 2016
CVE-2017-0505 A-31822282*
M-ALPS02992041
Kritik Hiçbiri** 28 Eylül 2016
CVE-2017-0506 A-32276718*
M-ALPS03006904
Kritik Hiçbiri** 18 Ekim 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemelerin yüklü olduğu desteklenen Google cihazları bu güvenlik açığından etkilenmez.

NVIDIA GPU sürücüsünde ayrıcalık yükselmesi güvenlik açığı

NVIDIA GPU sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, aygıtın onarılması için işletim sisteminin yeniden başlatılmasını gerektirebilecek yerel kalıcı aygıt güvenliği ihlali olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0337 A-31992762*
N-CVE-2017-0337
Kritik Piksel C 6 Ekim 2016
CVE-2017-0338 A-33057977*
N-CVE-2017-0338
Kritik Piksel C 21 Kasım 2016
CVE-2017-0333 A-33899363*
N-CVE-2017-0333
Kritik Piksel C 25 Aralık 2016
CVE-2017-0306 A-34132950*
N-CVE-2017-0306
Kritik Nexus 9 6 Ocak 2017
CVE-2017-0335 A-33043375*
N-CVE-2017-0335
Kritik Piksel C Google dahili

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Çekirdek ION alt sisteminde ayrıcalık yükselmesi güvenlik açığı

Çekirdek ION alt sistemindeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak sağlayabilir. Bu sorun, aygıtın onarılması için işletim sisteminin yeniden başlatılmasını gerektirebilecek yerel kalıcı aygıt güvenliği ihlali olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0507 A-31992382* Kritik Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Oynatıcı, Pixel C, Pixel, Pixel XL 6 Ekim 2016
CVE-2017-0508 A-33940449* Kritik Piksel C 28 Aralık 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Broadcom Wi-Fi sürücüsünde ayrıcalık yükselmesi güvenlik açığı

Broadcom Wi-Fi sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, aygıtın onarılması için işletim sisteminin yeniden başlatılmasını gerektirebilecek yerel kalıcı aygıt güvenliği ihlali olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0509 A-32124445*
B-RB#110688
Kritik Hiçbiri** 12 Ekim 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemelerin yüklü olduğu desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Çekirdek FIQ hata ayıklayıcısında ayrıcalık yükselmesi güvenlik açığı

Çekirdek FIQ hata ayıklayıcısındaki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak sağlayabilir. Bu sorun, aygıtın onarılması için işletim sisteminin yeniden başlatılmasını gerektirebilecek yerel kalıcı aygıt güvenliği ihlali olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0510 A-32402555* Kritik Nexus 9 25 Ekim 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Qualcomm GPU sürücüsünde ayrıcalık yükselmesi güvenlik açığı

Qualcomm GPU sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, aygıtın onarılması için işletim sisteminin yeniden başlatılmasını gerektirebilecek yerel kalıcı aygıt güvenliği ihlali olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2016-8479 A-31824853*
QC-CR#1093687
Kritik Android One, Nexus 5X, Nexus 6, Nexus 6P, Piksel, Piksel XL 29 Eylül 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Çekirdek ağ alt sisteminde ayrıcalık yükselmesi güvenlik açığı

Çekirdek ağı alt sistemindeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, aygıtın onarılması için işletim sisteminin yeniden başlatılmasını gerektirebilecek yerel kalıcı aygıt güvenliği ihlali olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2016-9806 A-33393474
Yukarı akış çekirdeği
Kritik Piksel C, Piksel, Piksel XL 4 Aralık 2016
CVE-2016-10200 A-33753815
Yukarı akış çekirdeği
Kritik Nexus 5X, Nexus 6P, Piksel, Piksel XL 19 Aralık 2016

Qualcomm bileşenlerindeki güvenlik açıkları

Aşağıdaki güvenlik açığı Qualcomm bileşenlerini etkilemektedir ve Qualcomm AMSS Eylül 2016 güvenlik bülteninde daha ayrıntılı olarak açıklanmaktadır.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2016-8484 A-28823575** Kritik Hiçbiri*** Qualcomm dahili
CVE-2016-8485 A-28823681** Kritik Hiçbiri*** Qualcomm dahili
CVE-2016-8486 A-28823691** Kritik Hiçbiri*** Qualcomm dahili
CVE-2016-8487 A-28823724** Kritik Hiçbiri*** Qualcomm dahili
CVE-2016-8488 A-31625756** Kritik Hiçbiri*** Qualcomm dahili

* Bu güvenlik açıklarının önem derecesi satıcı tarafından belirlendi.

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

*** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemelerin yüklü olduğu desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Çekirdek ağ alt sisteminde ayrıcalık yükselmesi güvenlik açığı

Çekirdek ağı alt sistemindeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2016-8655 A-33358926
Yukarı akış çekirdeği
Yüksek Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Oynatıcı, Pixel C, Pixel, Pixel XL 12 Ekim 2016
CVE-2016-9793 A-33363517
Yukarı akış çekirdeği
Yüksek Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Oynatıcı, Pixel C, Pixel, Pixel XL 2 Aralık 2016

Qualcomm giriş donanımı sürücüsünde ayrıcalık yükselmesi güvenlik açığı

Qualcomm giriş donanımı sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0516 A-32341680*
QC-CR#1096301
Yüksek Android One, Piksel, Piksel XL 21 Ekim 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

MediaTek Donanım Sensör Sürücüsünde ayrıcalık yükselmesi güvenlik açığı

MediaTek donanım sensörü sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0517 A-32372051*
M-ALPS02973195
Yüksek Hiçbiri** 22 Ekim 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemelerin yüklü olduğu desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Qualcomm ADSPRPC sürücüsünde ayrıcalık yükselmesi güvenlik açığı

Qualcomm ADSPRPC sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0457 A-31695439*
QC-CR#1086123
QC-CR#1100695
Yüksek Nexus 5X, Nexus 6P, Piksel, Piksel XL 22 Eylül 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Qualcomm parmak izi sensörü sürücüsünde ayrıcalık yükselmesi güvenlik açığı

Qualcomm parmak izi sensörü sürücüsündeki ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0518 A-32370896*
QC-CR#1086530
Yüksek Piksel, Piksel XL 24 Ekim 2016
CVE-2017-0519 A-32372915*
QC-CR#1086530
Yüksek Piksel, Piksel XL 24 Ekim 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Qualcomm kripto motoru sürücüsünde ayrıcalık yükselmesi güvenlik açığı

Qualcomm kripto motoru sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0520 A-31750232
QC-CR#1082636
Yüksek Nexus 5X, Nexus 6, Nexus 6P, Android One, Piksel, Piksel XL 24 Eylül 2016

Qualcomm kamera sürücüsünde ayrıcalık yükselmesi güvenlik açığı

Qualcomm kamera sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0458 A-32588962
QC-CR#1089433
Yüksek Piksel, Piksel XL 31 Ekim 2016
CVE-2017-0521 A-32919951
QC-CR#1097709
Yüksek Nexus 5X, Nexus 6P, Android One, Piksel, Piksel XL 15 Kasım 2016

MediaTek APK'sında ayrıcalık yükselmesi güvenlik açığı

MediaTek APK'sındaki ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın ayrıcalıklı bir işlem bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, ayrıcalıklı bir süreçte yerel rastgele kod yürütme olasılığı nedeniyle Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0522 A-32916158*
M-ALPS03032516
Yüksek Hiçbiri** 15 Kasım 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemelerin yüklü olduğu desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Qualcomm Wi-Fi sürücüsünde ayrıcalık yükselmesi güvenlik açığı

Qualcomm Wi-Fi sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0464 A-32940193
QC-CR#1102593
Yüksek Nexus 5X, Piksel, Piksel XL 15 Kasım 2016
CVE-2017-0453 A-33979145
QC-CR#1105085
Yüksek Nexus 5X, Android One 30 Aralık 2016
CVE-2017-0523 A-32835279
QC-CR#1096945
Yüksek Hiçbiri* Google dahili

* Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemelerin yüklü olduğu desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Synaptics dokunmatik ekran sürücüsünde ayrıcalık yükselmesi güvenlik açığı

Synaptics dokunmatik ekran sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak verebilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0524 A-33002026 Yüksek Android One, Nexus 5X, Nexus 6P, Nexus 9, Piksel, Piksel XL 18 Kasım 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Qualcomm IPA sürücüsünde ayrıcalık yükselmesi güvenlik açığı

Qualcomm IPA sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0456 A-33106520*
QC-CR#1099598
Yüksek Nexus 5X, Nexus 6P, Android One, Piksel, Piksel XL 23 Kasım 2016
CVE-2017-0525 A-33139056*
QC-CR#1097714
Yüksek Nexus 5X, Nexus 6P, Android One, Piksel, Piksel XL 25 Kasım 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

HTC Sensor Hub Sürücüsünde ayrıcalık yükselmesi güvenlik açığı

HTC Sensor Hub Sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak sağlayabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0526 A-33897738* Yüksek Nexus 9 25 Aralık 2016
CVE-2017-0527 A-33899318* Yüksek Nexus 9, Piksel, Piksel XL 25 Aralık 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

NVIDIA GPU sürücüsünde ayrıcalık yükselmesi güvenlik açığı

NVIDIA GPU sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, aygıtın onarılması için işletim sisteminin yeniden başlatılmasını gerektirebilecek yerel kalıcı aygıt güvenliği ihlali olasılığı nedeniyle Kritik olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0307 A-33177895*
N-CVE-2017-0307
Yüksek Hiçbiri** 28 Kasım 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemelerin yüklü olduğu desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Qualcomm ağ sürücüsünde ayrıcalık yükselmesi güvenlik açığı

Qualcomm ağ sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0463 A-33277611
QC-CR#1101792
Yüksek Nexus 5X, Nexus 6, Nexus 6P, Android One, Piksel, Piksel XL 30 Kasım 2016
CVE-2017-0460 A-31252965*
QC-CR#1098801
Yüksek Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Piksel, Piksel XL Google dahili

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Çekirdek güvenlik alt sisteminde ayrıcalık yükselmesi güvenlik açığı

Çekirdek güvenlik alt sistemindeki ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı uygulamanın ayrıcalıklı bir işlem bağlamında kod yürütmesine olanak tanıyabilir. Bu sorun, derinlemesine çekirdek düzeyinde savunmaya yönelik genel bir bypass olduğundan veya azaltma teknolojisinden yararlanıldığından Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0528 A-33351919* Yüksek Piksel, Piksel XL 4 Aralık 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Qualcomm SPCom sürücüsünde ayrıcalık yükselmesi güvenlik açığı

Qualcomm SPCom sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2016-5856 A-32610665
QC-CR#1094078
Yüksek Hiçbiri* Google dahili
CVE-2016-5857 A-34386529
QC-CR#1094140
Yüksek Hiçbiri* Google dahili

* Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemelerin yüklü olduğu desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Çekirdek ağ alt sistemindeki bilgilerin açığa çıkması güvenlik açığı

Çekirdek ağı alt sistemindeki bir bilginin açığa çıkması güvenlik açığı, yerel bir saldırganın hassas bilgilere erişmesine olanak sağlayabilir. Bu sorun, verilere izinsiz erişmek için kullanılabildiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2014-8709 A-34077221
Yukarı akış çekirdeği
Yüksek Nexus Oynatıcı 9 Kasım 2014

MediaTek sürücüsündeki bilgilerin açığa çıkması güvenlik açığı

MediaTek sürücüsündeki bilginin açığa çıkması güvenlik açığı, yerel kötü amaçlı bir uygulamanın kendi izin düzeyleri dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, açık kullanıcı izni olmadan hassas verilere erişmek için kullanılabildiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0529 A-28449427*
M-ALPS02710042
Yüksek Hiçbiri** 27 Nisan 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemelerin yüklü olduğu desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Qualcomm önyükleyicisinde bilgilerin açığa çıkması güvenlik açığı

Qualcomm önyükleyicisindeki bir bilginin açığa çıkması güvenlik açığı, yerel kötü amaçlı bir uygulamanın, önyükleyici bağlamında rastgele kod yürütmesine olanak sağlamaya yardımcı olabilir. Bu sorun Yüksek olarak derecelendirilmiştir çünkü bu, önyükleyici düzeyinde derinlemesine savunmaya yönelik genel bir bypasstır veya azaltma teknolojisinden yararlanmayı sağlar.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0455 A-32370952
QC-CR#1082755
Yüksek Piksel, Piksel XL 21 Ekim 2016

Qualcomm güç sürücüsündeki bilgilerin açığa çıkması güvenlik açığı

Qualcomm güç sürücüsündeki bir bilginin açığa çıkması güvenlik açığı, yerel kötü amaçlı bir uygulamanın kendi izin düzeyleri dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, açık kullanıcı izni olmadan hassas verilere erişmek için kullanılabildiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2016-8483 A-33745862
QC-CR#1035099
Yüksek Nexus 5X, Nexus 6P 19 Aralık 2016

NVIDIA GPU sürücüsündeki bilgilerin açığa çıkması güvenlik açığı

NVIDIA GPU sürücüsündeki bilgilerin açığa çıkması güvenlik açığı, yerel kötü amaçlı bir uygulamanın kendi izin düzeyleri dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, açık kullanıcı izni olmadan hassas verilere erişmek için kullanılabildiğinden Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0334 A-33245849*
N-CVE-2017-0334
Yüksek Piksel C 30 Kasım 2016
CVE-2017-0336 A-33042679*
N-CVE-2017-0336
Yüksek Piksel C Google dahili

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Çekirdek şifreleme alt sisteminde hizmet reddi güvenlik açığı

Çekirdek şifreleme alt sistemindeki bir hizmet reddi güvenlik açığı, uzaktaki bir saldırganın özel hazırlanmış bir ağ paketini kullanarak aygıtın kilitlenmesine veya yeniden başlatılmasına neden olmasına olanak verebilir. Uzaktan hizmet reddi olasılığı nedeniyle bu sorun Yüksek olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2016-8650 A-33401771
Yukarı akış çekirdeği
Yüksek Nexus 5X, Nexus 6P, Piksel, Piksel XL 12 Ekim 2016

Qualcomm kamera sürücüsünde ayrıcalık yükselmesi güvenlik açığı (cihaza özel)

Qualcomm kamera sürücüsündeki bir ayrıcalık yükselmesi güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden ve mevcut platform yapılandırmaları tarafından hafifletildiğinden Orta olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2016-8417 A-32342399
QC-CR#1088824
Ilıman Nexus 5X, Nexus 6, Nexus 6P, Android One, Piksel, Piksel XL 21 Ekim 2016

Qualcomm Wi-Fi sürücüsündeki bilgilerin açığa çıkması güvenlik açığı

Qualcomm Wi-Fi sürücüsündeki bir bilginin açığa çıkması güvenlik açığı, yerel kötü amaçlı bir uygulamanın izin düzeyleri dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Orta olarak derecelendirildi.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0461 A-32073794
QC-CR#1100132
Ilıman Android One, Nexus 5X, Piksel, Piksel XL 9 Ekim 2016
CVE-2017-0459 A-32644895
QC-CR#1091939
Ilıman Piksel, Piksel XL 3 Kasım 2016
CVE-2017-0531 A-32877245
QC-CR#1087469
Ilıman Android One, Nexus 5X, Nexus 6P, Piksel, Piksel XL 13 Kasım 2016

MediaTek video codec sürücüsündeki bilgilerin açığa çıkması güvenlik açığı

MediaTek video codec sürücüsündeki bilginin açığa çıkması güvenlik açığı, yerel kötü amaçlı bir uygulamanın izin düzeyleri dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Orta olarak derecelendirildi.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0532 A-32370398*
M-ALPS03069985
Ilıman Hiçbiri** 22 Ekim 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

** Android 7.0 veya sonraki sürümleri çalıştıran ve mevcut tüm güncellemelerin yüklü olduğu desteklenen Google cihazları bu güvenlik açığından etkilenmez.

Qualcomm video sürücüsündeki bilgilerin açığa çıkması güvenlik açığı

Qualcomm video sürücüsündeki bir bilginin açığa çıkması güvenlik açığı, yerel kötü amaçlı bir uygulamanın kendi izin düzeyleri dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Orta olarak derecelendirildi.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0533 A-32509422
QC-CR#1088206
Ilıman Piksel, Piksel XL 27 Ekim 2016
CVE-2017-0534 A-32508732
QC-CR#1088206
Ilıman Piksel, Piksel XL 28 Ekim 2016
CVE-2016-8416 A-32510746
QC-CR#1088206
Ilıman Piksel, Piksel XL 28 Ekim 2016
CVE-2016-8478 A-32511270
QC-CR#1088206
Ilıman Piksel, Piksel XL 28 Ekim 2016

Qualcomm kamera sürücüsündeki bilgilerin açığa çıkması güvenlik açığı

Qualcomm kamera sürücüsündeki bir bilginin açığa çıkması güvenlik açığı, yerel kötü amaçlı bir uygulamanın izin düzeyleri dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Orta olarak derecelendirildi.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2016-8413 A-32709702
QC-CR#518731
Ilıman Nexus 5X, Nexus 6, Nexus 6P, Android One, Piksel, Piksel XL 4 Kasım 2016
CVE-2016-8477 A-32720522
QC-CR#1090007 [ 2 ]
Ilıman Nexus 5X, Nexus 6, Nexus 6P, Android One, Piksel, Piksel XL 7 Kasım 2016

HTC ses codec sürücüsündeki bilgilerin açığa çıkması güvenlik açığı

HTC ses codec sürücüsündeki bir bilginin açığa çıkması güvenlik açığı, yerel kötü amaçlı bir uygulamanın kendi izin düzeyleri dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Orta olarak derecelendirildi.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0535 A-33547247* Ilıman Nexus 9 11 Aralık 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Synaptics dokunmatik ekran sürücüsündeki bilgilerin açığa çıkması güvenlik açığı

Synaptics dokunmatik ekran sürücüsündeki bir bilginin açığa çıkması güvenlik açığı, yerel kötü amaçlı bir uygulamanın izin düzeyleri dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Orta olarak derecelendirildi.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0536 A-33555878* Ilıman Android One, Nexus 5X, Nexus 6P, Nexus 9, Piksel, Piksel XL 12 Aralık 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Çekirdek USB aygıtı sürücüsündeki bilgilerin açığa çıkması güvenlik açığı

Çekirdek USB aygıtı sürücüsündeki bilginin açığa çıkması güvenlik açığı, yerel kötü amaçlı bir uygulamanın kendi izin düzeyleri dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Orta olarak derecelendirildi.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0537 A-31614969* Ilıman Piksel C Google dahili

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Qualcomm kamera sürücüsündeki bilgilerin açığa çıkması güvenlik açığı

Qualcomm kamera sürücüsündeki bir bilginin açığa çıkması güvenlik açığı, yerel kötü amaçlı bir uygulamanın izin düzeyleri dışındaki verilere erişmesine olanak tanıyabilir. Bu sorun, öncelikle ayrıcalıklı bir süreçten ödün verilmesini gerektirdiğinden Düşük olarak derecelendirilmiştir.

CVE Referanslar Şiddet Google cihazları güncellendi Bildirilme tarihi
CVE-2017-0452 A-32873615*
QC-CR#1093693
Düşük Nexus 5X, Nexus 6P, Android One 10 Kasım 2016

* Bu soruna ilişkin yama genel kullanıma açık değildir. Güncelleme, Nexus cihazları için Google Geliştirici sitesinden edinilebilen en son ikili program sürücülerinde yer almaktadır.

Sık Sorulan Sorular ve Cevaplar

Bu bölüm, bu bülteni okuduktan sonra ortaya çıkabilecek genel soruları yanıtlar.

1. Cihazımın bu sorunları çözecek şekilde güncellenip güncellenmediğini nasıl belirleyebilirim?

Bir cihazın güvenlik yaması düzeyinin nasıl kontrol edileceğini öğrenmek için Pixel ve Nexus güncelleme planındaki talimatları okuyun.

  • 2017-03-01 veya sonraki güvenlik yaması düzeyleri, 2017-03-01 güvenlik yaması düzeyiyle ilişkili tüm sorunları giderir.
  • 2017-03-05 veya sonraki güvenlik düzeltme eki düzeyleri, 2017-03-05 güvenlik düzeltme eki düzeyi ve önceki tüm düzeltme eki düzeyleriyle ilişkili tüm sorunları giderir.

Bu güncellemeleri içeren cihaz üreticileri yama dizesi düzeyini şu şekilde ayarlamalıdır:

  • [ro.build.version.security_patch]:[2017-03-01]
  • [ro.build.version.security_patch]:[2017-03-05]

2. Bu bültende neden iki güvenlik yaması düzeyi var?

Bu bültenin iki güvenlik düzeltme eki düzeyi vardır; böylece Android iş ortakları, tüm Android cihazlarda benzer olan bir dizi güvenlik açığını daha hızlı düzeltme esnekliğine sahip olur. Android iş ortaklarının bu bültendeki tüm sorunları düzeltmeleri ve en son güvenlik yaması düzeyini kullanmaları önerilir.

  • 1 Mart 2017 güvenlik yaması düzeyini kullanan cihazların, önceki güvenlik bültenlerinde bildirilen tüm sorunlara yönelik düzeltmelerin yanı sıra, söz konusu güvenlik yaması düzeyiyle ilişkili tüm sorunları içermesi gerekir.
  • 5 Mart 2017 veya daha yeni bir güvenlik düzeltme eki düzeyini kullanan cihazlar, bu (ve önceki) güvenlik bültenlerinde geçerli tüm düzeltme eklerini içermelidir.

İş ortaklarının, ele aldıkları tüm sorunlara yönelik düzeltmeleri tek bir güncellemede toplamaları önerilir.

3. Her sorundan hangi Google cihazlarının etkilendiğini nasıl belirlerim?

01.03.2017 ve 03.05.2017 güvenlik açığı ayrıntıları bölümlerinde, her tabloda, her sorun için güncellenen, etkilenen Google cihazlarının aralığını kapsayan bir Güncellenmiş Google cihazları sütunu bulunur. Bu sütunun birkaç seçeneği vardır:

  • Tüm Google cihazları : Bir sorun Tümü ve Pixel cihazları etkiliyorsa tablonun Güncellenen Google cihazları sütununda "Tümü" ifadesi görünür. "Tümü" şu desteklenen cihazları kapsar: Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Nexus Player, Pixel C, Pixel ve Pixel XL.
  • Bazı Google cihazları : Bir sorun tüm Google cihazlarını etkilemiyorsa etkilenen Google cihazları Güncellenen Google cihazları sütununda listelenir.
  • Google cihazı yok : Android 7.0 çalıştıran hiçbir Google cihazı bu sorundan etkilenmezse, tablonun Güncellenen Google cihazları sütununda "Yok" ifadesi görünür.

4. Referanslar sütunundaki girişler neyle eşleşiyor?

Güvenlik açığı ayrıntıları tablosunun Referanslar sütunu altındaki girişler, referans değerinin ait olduğu kuruluşu tanımlayan bir önek içerebilir. Bu önekler aşağıdaki gibi eşlenir:

Önek Referans
A- Android hata kimliği
Kalite kontrol- Qualcomm referans numarası
M- MediaTek referans numarası
N- NVIDIA referans numarası
B- Broadcom referans numarası

Revizyonlar

  • 06 Mart 2017: Bülten yayınlandı.
  • 07 Mart 2017: Bülten, AOSP bağlantılarını içerecek şekilde revize edildi.