2017 年 11 月 6 日公開 | 2017年11月8日更新
Android セキュリティ情報には、Android デバイスに影響を与えるセキュリティ脆弱性の詳細が含まれています。セキュリティ パッチ レベル 2017-11-06 以降では、これらすべての問題に対処します。デバイスのセキュリティ パッチ レベルを確認する方法については、 「 Android バージョンを確認して更新する 」を参照してください。
Android パートナーには、パッチ レベル 2017-11-01 および 2017-11-05 のすべての問題が公開の少なくとも 1 か月前に通知されました。 Android パートナーには、先月以内に 2017-11-06 パッチ レベルのすべての問題が通知されました。これらの問題に対するソース コード パッチは Android オープン ソース プロジェクト (AOSP) リポジトリにリリースされており、この公開情報からリンクされています。この公開情報には、AOSP 以外のパッチへのリンクも含まれています。
これらの問題のうち最も深刻なものは、メディア フレームワークの重大なセキュリティ脆弱性であり、特別に細工されたファイルを使用するリモート攻撃者が特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。重大度の評価は、プラットフォームとサービスの緩和策が開発目的で無効になっている場合、または回避に成功した場合を想定して、脆弱性の悪用が影響を受けるデバイスに与える可能性のある影響に基づいています。
新たに報告されたこれらの問題について、顧客による積極的な悪用や悪用の報告はありません。 Android プラットフォームのセキュリティを向上させるAndroid セキュリティ プラットフォーム保護と Google Play プロテクトの詳細については、 「Android および Google Play プロテクトの軽減策」セクションを参照してください。
注: Google デバイスの最新の無線アップデート (OTA) およびファームウェア イメージに関する情報は、2017 年 11 月の Pixel / Nexus セキュリティ情報で入手できます。
お知らせ
- 新しいPixel / Nexus セキュリティ情報 を公開しました。これには、サポートされている Pixel および Nexus デバイスで対処される追加のセキュリティ脆弱性と機能改善に関する情報が含まれています。 Android デバイスのメーカーは、デバイス上でこれらの問題に対処することを選択する場合があります。詳細については、「よくある質問と回答」を参照してください。
- KRACK 脆弱性に対するセキュリティ パッチは、2017-11-06 セキュリティ パッチ レベルで提供されます。
Android および Google サービスの軽減策
これは、Android セキュリティ プラットフォームとGoogle Play プロテクトなどのサービス保護によって提供される緩和策の概要です。これらの機能により、Android でセキュリティの脆弱性が悪用される可能性が低くなります。
- Android プラットフォームの新しいバージョンの機能強化により、Android 上の多くの問題の悪用はさらに困難になっています。すべてのユーザーに、可能な限り Android の最新バージョンに更新することをお勧めします。
- Android セキュリティ チームは、 Google Play プロテクトを通じて悪用を積極的に監視し、有害な可能性のあるアプリケーションについてユーザーに警告します。 Google Play プロテクトは、 Google モバイル サービスを備えたデバイスではデフォルトで有効になっており、Google Play 以外からアプリをインストールするユーザーにとって特に重要です。
2017-11-01 セキュリティ パッチ レベル - 脆弱性の詳細
以下のセクションでは、2017-11-01 パッチ レベルに適用される各セキュリティ脆弱性の詳細を説明します。脆弱性は、影響を受けるコンポーネントの下にグループ化されます。問題の説明と、CVE、関連参照、脆弱性の種類、重大度、更新された AOSP バージョン (該当する場合) の表が記載されています。利用可能な場合は、AOSP 変更リストなど、問題に対処した公開変更をバグ ID にリンクします。複数の変更が 1 つのバグに関連する場合、追加の参照はバグ ID に続く番号にリンクされます。
フレームワーク
このセクションの最も深刻な脆弱性により、悪意のあるローカル アプリケーションが追加の権限にアクセスするためにユーザーの操作要件を回避できる可能性があります。
| CVE | 参考文献 | タイプ | 重大度 | 更新された AOSP バージョン |
|---|---|---|---|---|
| CVE-2017-0830 | A-62623498 | EoP | 高い | 6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-0831 | A-37442941 [ 2 ] | EoP | 高い | 8.0 |
メディアフレームワーク
このセクションの最も深刻な脆弱性により、リモート攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。
| CVE | 参考文献 | タイプ | 重大度 | 更新された AOSP バージョン |
|---|---|---|---|---|
| CVE-2017-0832 | A-62887820 | RCE | 致命的 | 6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-0833 | A-62896384 | RCE | 致命的 | 6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-0834 | A-63125953 | RCE | 致命的 | 6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-0835 | A-63316832 | RCE | 致命的 | 6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-0836 | A-64893226 | RCE | 致命的 | 5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-0839 | A-64478003 | ID | 高い | 5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-0840 | A-62948670 | ID | 高い | 5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
システム
このセクションの最も深刻な脆弱性により、リモート攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。
| CVE | 参考文献 | タイプ | 重大度 | 更新された AOSP バージョン |
|---|---|---|---|---|
| CVE-2017-0841 | A-37723026 | RCE | 致命的 | 5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-0842 | A-37502513 | EoP | 高い | 6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
2017-11-05 セキュリティ パッチ レベル - 脆弱性の詳細
以下のセクションでは、2017-11-05 パッチ レベルに適用される各セキュリティ脆弱性の詳細を説明します。脆弱性は影響を受けるコンポーネントごとにグループ化され、CVE、関連参照、脆弱性の種類、重大度、コンポーネント (該当する場合)、更新された AOSP バージョン (該当する場合) などの詳細が含まれます。利用可能な場合は、AOSP 変更リストなど、問題に対処した公開変更をバグ ID にリンクします。複数の変更が 1 つのバグに関連する場合、追加の参照はバグ ID に続く番号にリンクされます。
カーネルコンポーネント
このセクションの最も深刻な脆弱性により、悪意のあるローカル アプリケーションが特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。
| CVE | 参考文献 | タイプ | 重大度 | 成分 |
|---|---|---|---|---|
| CVE-2017-9077 | A-62265013 上流カーネル | EoP | 高い | ネットワーキングサブシステム |
| CVE-2017-7541 | A-64258073 上流カーネル | EoP | 高い | 無線LAN |
MediaTek コンポーネント
このセクションの最も深刻な脆弱性により、悪意のあるローカル アプリケーションが特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。
| CVE | 参考文献 | タイプ | 重大度 | 成分 |
|---|---|---|---|---|
| CVE-2017-0843 | A-62670819 * M-ALPS03361488 | EoP | 高い | CCCI |
NVIDIA コンポーネント
このセクションの最も深刻な脆弱性により、悪意のあるローカル アプリケーションが特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。
| CVE | 参考文献 | タイプ | 重大度 | 成分 |
|---|---|---|---|---|
| CVE-2017-6264 | A-34705430 * N-CVE-2017-6264 | EoP | 高い | GPUドライバー |
クアルコムのコンポーネント
このセクションの最も深刻な脆弱性により、リモート攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。
| CVE | 参考文献 | タイプ | 重大度 | 成分 |
|---|---|---|---|---|
| CVE-2017-11013 | A-64453535 QC-CR#2058261 [ 2 ] | RCE | 致命的 | 無線LAN |
| CVE-2017-11015 | A-64438728 QC-CR#2060959 [ 2 ] | RCE | 致命的 | 無線LAN |
| CVE-2017-11014 | A-64438727 QC-CR#2060959 | RCE | 致命的 | 無線LAN |
| CVE-2017-11092 | A-62949902 * QC-CR#2077454 | EoP | 高い | GPUドライバー |
| CVE-2017-9690 | A-36575870 * QC-CR#2045285 | EoP | 高い | QBT1000ドライバー |
| CVE-2017-11017 | A-64453575 QC-CR#2055629 | EoP | 高い | Linuxブート |
| CVE-2017-11028 | A-64453533 QC-CR#2008683 [ 2 ] | ID | 高い | カメラ |
2017-11-06 セキュリティ パッチ レベル - 脆弱性の詳細
以下のセクションでは、2017-11-06 パッチ レベルに適用される各セキュリティ脆弱性の詳細を説明します。脆弱性は影響を受けるコンポーネントごとにグループ化され、CVE、関連参照、脆弱性の種類、重大度、コンポーネント (該当する場合)、更新された AOSP バージョン (該当する場合) などの詳細が含まれます。利用可能な場合は、AOSP 変更リストなど、問題に対処した公開変更をバグ ID にリンクします。複数の変更が 1 つのバグに関連する場合、追加の参照はバグ ID に続く番号にリンクされます。
システム
このセクションの最も深刻な脆弱性により、近接攻撃者がセキュリティで保護されていない Wi-Fi ネットワークに接続する前にユーザー操作要件を回避できる可能性があります。
| CVE | 参考文献 | タイプ | 重大度 | 更新された AOSP バージョン |
|---|---|---|---|---|
| CVE-2017-13077 | A-67737262 | EoP | 高い | 5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-13078 | A-67737262 | EoP | 高い | 5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-13079 | A-67737262 | EoP | 高い | 5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-13080 | A-67737262 | EoP | 高い | 5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-13081 | A-67737262 | EoP | 高い | 5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-13082 | A-67737262 | EoP | 高い | 7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-13086 | A-67737262 | EoP | 高い | 5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-13087 | A-67737262 | EoP | 高い | 5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
| CVE-2017-13088 | A-67737262 | EoP | 高い | 5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
注: Android パートナーは、該当する場合にはチップセット メーカーから修正プログラムを入手する必要がある場合もあります。
よくある質問と回答
このセクションでは、このセキュリティ情報を読んだ後に発生する可能性のある一般的な質問に答えます。
1. これらの問題に対処するためにデバイスが更新されているかどうかを確認するにはどうすればよいですか?
デバイスのセキュリティ パッチ レベルを確認する方法については、 「Android バージョンの確認と更新」を参照してください。
- セキュリティ パッチ レベル 2017-11-01 以降では、セキュリティ パッチ レベル 2017-11-01 に関連するすべての問題が解決されます。
- セキュリティ パッチ レベル 2017-11-05 以降では、2017-11-05 のセキュリティ パッチ レベルおよび以前のすべてのパッチ レベルに関連するすべての問題が解決されます。
- 2017-11-06 以降のセキュリティ パッチ レベルは、2017-11-06 のセキュリティ パッチ レベルおよび以前のすべてのパッチ レベルに関連するすべての問題に対処します。
これらのアップデートを組み込むデバイス メーカーは、パッチ文字列レベルを次のように設定する必要があります。
- [ro.build.version.security_patch]:[2017-11-01]
- [ro.build.version.security_patch]:[2017-11-05]
- [ro.build.version.security_patch]:[2017-11-06]
2. このセキュリティ情報には 3 つのセキュリティ パッチ レベルがあるのはなぜですか?
このセキュリティ情報には 3 つのセキュリティ パッチ レベルがあり、Android パートナーはすべての Android デバイスで同様の脆弱性のサブセットをより迅速に修正できる柔軟性を備えています。 Android パートナーは、このセキュリティ情報にあるすべての問題を修正し、最新のセキュリティ パッチ レベルを使用することをお勧めします。
- 2017-11-01 のセキュリティ パッチ レベルを使用するデバイスには、そのセキュリティ パッチ レベルに関連するすべての問題と、以前のセキュリティ情報で報告されたすべての問題の修正が含まれている必要があります。
- 2017-11-05 セキュリティ パッチ レベルを使用するデバイスには、そのセキュリティ パッチ レベル、2017-11-01 セキュリティ パッチ レベルに関連するすべての問題に加え、以前のセキュリティ情報で報告されたすべての問題の修正が含まれている必要があります。
- 2017-11-06 以降のセキュリティ パッチ レベルを使用するデバイスには、この (および以前の) セキュリティ情報に該当するすべてのパッチが含まれている必要があります。
パートナーは、対処しているすべての問題の修正を 1 つのアップデートにバンドルすることをお勧めします。
3. [タイプ] 列のエントリは何を意味しますか?
脆弱性の詳細テーブルの「タイプ」列のエントリは、セキュリティ脆弱性の分類を参照します。
| 略語 | 意味 |
|---|---|
| RCE | リモートコード実行 |
| EoP | 特権の昇格 |
| ID | 情報開示 |
| DoS | サービス拒否 |
| 該当なし | 分類は利用できません |
4. [参考文献] 列のエントリは何を意味しますか?
脆弱性の詳細表の「参照」列の下のエントリには、参照値が属する組織を識別するプレフィックスが含まれる場合があります。
| プレフィックス | 参照 |
|---|---|
| あ- | Android のバグ ID |
| 品質管理- | クアルコム参照番号 |
| M- | MediaTek 参照番号 |
| N- | NVIDIA 参照番号 |
| B- | Broadcom 参照番号 |
5. [参照]列の Android バグ ID の横にある * は何を意味しますか?
一般に公開されていない問題には、 [参考]列の Android バグ ID の横に * が付いています。この問題のアップデートは通常、 Google Developer サイトから入手できる Nexus デバイス用の最新バイナリ ドライバに含まれています。
6. セキュリティの脆弱性がこのセキュリティ情報と、Pixel/Nexus のセキュリティ情報などのデバイス/パートナーのセキュリティ情報に分かれているのはなぜですか?
Android デバイスで最新のセキュリティ パッチ レベルを宣言するには、このセキュリティ情報に記載されているセキュリティの脆弱性が必要です。デバイス/パートナーのセキュリティ情報に文書化されている追加のセキュリティ脆弱性は、セキュリティ パッチ レベルを宣言するために必要ありません。 Android デバイスおよびチップセットのメーカーは、 Samsung 、 LGE 、 Pixel / Nexus のセキュリティ情報など、独自のセキュリティ Web サイトを通じて、デバイス上の他の修正の存在を文書化することをお勧めします。
バージョン
| バージョン | 日付 | ノート |
|---|---|---|
| 1.0 | 2017 年 11 月 6 日 | 会報を発行しました。 |
| 1.1 | 2017 年 11 月 8 日 | AOSP リンクを含めるように速報が改訂されました。 |