Opublikowano 2 stycznia 2018 r. | Zaktualizowano 29 stycznia 2018 r.
Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Wszystkie te problemy zostały rozwiązane w poziomach aktualizacji zabezpieczeń z 5 stycznia 2018 r. lub nowszych. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.
Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed publikacją. Poprawki do kodu źródłowego dotyczące tych problemów zostały opublikowane w repozytorium Projektu Android Open Source (AOSP) i połączone z tym biuletynem. Ten biuletyn zawiera też linki do poprawek spoza AOSP.
Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach w ramach frameworku Media, która umożliwia atakującemu zdalnie użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście procesu uprzywilejowanego. Ocena poziomu ważności jest oparta na potencjalnym wpływie wykorzystania luki w zabezpieczeniach na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby rozwoju lub zostały pomyślnie omijane.
Nie otrzymaliśmy żadnych zgłoszeń o aktywnej eksploatacji klientów ani o wykorzystaniu tych nowo zgłoszonych problemów. Szczegółowe informacje o zabezpieczeniach platformy Android i Google Play Protect, które zwiększają bezpieczeństwo platformy Android, znajdziesz w sekcji Zapobieganie atakom na Androida i Google Play Protect.
Uwaga: informacje o najnowszej aktualizacji bezprzewodowej (OTA) i obrazu pamięci ROM urządzeń Google znajdziesz w Biuletynie bezpieczeństwa z stycznia 2018 r. dotyczącym Pixela / Nexusa.
Ogłoszenia
Opublikowaliśmy nowy biuletyn o zabezpieczeniach urządzeń Pixel i Nexus, który zawiera informacje o dodatkowych lukach w zabezpieczeniach i ulepszeniach funkcjonalności, które dotyczą urządzeń Pixel i Nexus. Producenci urządzeń z Androidem mogą rozwiązać te problemy na swoich urządzeniach. Więcej informacji znajdziesz w artykule Najczęstsze pytania i ich odpowiedzi.
Środki zaradcze dotyczące usług Google i Androida
Oto podsumowanie środków zapobiegawczych oferowanych przez platformę bezpieczeństwa Androida oraz zabezpieczenia usług, takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach zostaną wykorzystane na Androidzie.
- Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, o ile to możliwe.
- Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą Google Play Protect i ostrzega użytkowników o potencjalnie szkodliwych aplikacjach. Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest to szczególnie ważne dla użytkowników, którzy instalują aplikacje spoza Google Play.
2018-01-01 poziom aktualizacji zabezpieczeń – informacje o lukach w zabezpieczeniach
W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 2018-01-01. Luki są grupowane według komponentu, którego dotyczą. Zawiera on opis problemu oraz tabelę z identyfikatorem CVE, powiązanymi odniesieniami, typem luki, poważnym oraz zaktualizowanymi wersjami AOSP (w stosownych przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.
Środowisko wykonawcze Androida
Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnie obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.
| CVE | Pliki referencyjne | Typ | Poziom | Zaktualizowane wersje AOSP |
|---|---|---|---|---|
| CVE-2017-13176 | A-68341964 | EoP | Wysoki | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
Platforma mediów
Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnie użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście uprzywilejowanego procesu.
| CVE | Pliki referencyjne | Typ | Poziom | Zaktualizowane wersje AOSP |
|---|---|---|---|---|
| CVE-2017-13177 | A-68320413 | RCE | Krytyczny | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13178 | A-66969281 | RCE | Krytyczny | 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13179 | A-66969193 | RCE | Krytyczny | 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13180 | A-66969349 | EoP | Wysoki | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13181 | A-67864232 | EoP | Wysoki | 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13182 | A-67737022 | EoP | Wysoki | 8.0, 8.1 |
| CVE-2017-13184 | A-65483324 | EoP | Wysoki | 8.0, 8.1 |
| CVE-2017-0855 | A-64452857 | DoS | Wysoki | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0 |
| CVE-2017-13191 | A-64380403 | DoS | Wysoki | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13192 | A-64380202 | DoS | Wysoki | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13193 | A-65718319 | DoS | Wysoki | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13195 | A-65398821 | DoS | Wysoki | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13196 | A-63522067 | DoS | Wysoki | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13197 | A-64784973 | DoS | Wysoki | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13199 | A-33846679 | DoS | Wysoki | 8.0, 8.1 |
System
Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnie użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście uprzywilejowanego procesu.
| CVE | Pliki referencyjne | Typ | Poziom | Zaktualizowane wersje AOSP |
|---|---|---|---|---|
| CVE-2017-13208 | A-67474440 | RCE | Krytyczny | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13209 | A-68217907 [2] [3] | EoP | Wysoki | 8.0, 8.1 |
| CVE-2017-13210 | A-67782345 | EoP | Wysoki | 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2017-13211 | A-65174158 | DoS | Wysoki | z Androidem 8.0 |
2018-01-05 poziom poprawki zabezpieczeń – szczegóły luki w zabezpieczeniach
W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 5 stycznia 2018 r. Informacje o lukach są pogrupowane według komponentu, którego dotyczą, i zawierają takie szczegóły jak CVE, powiązane odniesienia, typ luki, powagę, komponent (w stosownych przypadkach) oraz zaktualizowane wersje AOSP (w stosownych przypadkach). Jeśli to możliwe, łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, na przykład z listą zmian w AOSP. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są połączone z numerami po identyfikatorze błędu.
Komponenty HTC
Najpoważniejsza luka w tym dziale może umożliwić atakującemu zdalnemu wywołanie ataku typu DoS w kluczowym procesie systemowym.
| CVE | Pliki referencyjne | Typ | Poziom | Komponent |
|---|---|---|---|---|
| CVE-2017-13214 | A-38495900* | DoS | Wysoki | Sprzętowy dekoder HEVC |
Komponenty jądra
Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego.
| CVE | Pliki referencyjne | Typ | Poziom | Komponent |
|---|---|---|---|---|
| CVE-2017-14497 | A-66694921 Jednostka przetwarzania upstream |
EoP | Wysoki | Przetwarzanie pakietów TCP |
| CVE-2017-13215 | A-64386293 Jednostka jądrowa upstream |
EoP | Wysoki | Skcipher |
| CVE-2017-13216 | A-66954097* | EoP | Wysoki | Ashmem |
| CVE-2017-13218 | A-68266545* | ID | Wysoki | minutniki o wysokiej precyzji, |
Komponenty LG
Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego.
| CVE | Pliki referencyjne | Typ | Poziom | Komponent |
|---|---|---|---|---|
| CVE-2017-13217 | A-68269077* | EoP | Wysoki | Program rozruchowy |
Platforma mediów
Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego.
| CVE | Pliki referencyjne | Typ | Poziom | Zaktualizowane wersje AOSP |
|---|---|---|---|---|
| CVE-2017-13183 | A-38118127 | EoP | Wysoki | 8.1 |
Komponenty NVIDIA
Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu uprzywilejowanego.
| CVE | Pliki referencyjne | Typ | Poziom | Komponent |
|---|---|---|---|---|
| CVE-2017-0869 | A-37776156* N-CVE-2017-0869 |
EoP | Wysoki | Sterownik Nvidia |
Komponenty Qualcomm
Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnie użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście uprzywilejowanego procesu.
| CVE | Pliki referencyjne | Typ | Poziom | Komponent |
|---|---|---|---|---|
| CVE-2017-15849 | A-66937641 QC-CR#2046572 |
EoP | Wysoki | Wyświetlacz |
| CVE-2017-11069 | A-65468974 QC-CR#2060780 |
EoP | Wysoki | Program rozruchowy |
Komponenty Qualcomm o zamkniętym kodzie źródłowym
Te luki w zabezpieczeniach dotyczą komponentów Qualcomm i są opisane w szczegółach w odpowiednim biuletynie lub alertu dotyczącym zabezpieczeń AMSS firmy Qualcomm. Ocenę ważności tych problemów przeprowadza bezpośrednio firma Qualcomm.
| CVE | Pliki referencyjne | Typ | Poziom | Komponent |
|---|---|---|---|---|
| CVE-2017-14911 | A-62212946* | Nie dotyczy | Krytyczny | Komponent zamkniętego źródła |
| CVE-2017-14906 | A-32584150* | Nie dotyczy | Wysoki | Komponent zamkniętego źródła |
| CVE-2017-14912 | A-62212739* | Nie dotyczy | Wysoki | Komponent zamkniętego źródła |
| CVE-2017-14913 | A-62212298* | Nie dotyczy | Wysoki | Komponent zamkniętego źródła |
| CVE-2017-14915 | A-62212632* | Nie dotyczy | Wysoki | Komponent zamkniętego źródła |
| CVE-2013-4397 | A-65944893* | Nie dotyczy | Wysoki | Komponent zamkniętego źródła |
| CVE-2017-11010 | A-66913721* | Nie dotyczy | Wysoki | Komponent zamkniętego źródła |
Najczęstsze pytania i odpowiedzi
W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.
1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy rozwiązuje te problemy?
Aby dowiedzieć się, jak sprawdzić poziom zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.
- Poziomy aktualizacji zabezpieczeń z 2018-01-01 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2018-01-01.
- Poziomy aktualizacji zabezpieczeń z 2018-01-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2018-01-05 i wszystkimi poprzednimi poziomami.
Producenci urządzeń, którzy udostępniają te aktualizacje, powinni ustawić poziom ciągu poprawek na:
- [ro.build.version.security_patch]:[2018-01-01]
- [ro.build.version.security_patch]:[2018-01-05]
2. Dlaczego w tym komunikacie są 2 poziomy aktualizacji zabezpieczeń?
W tym komunikacie znajdują się 2 poziomy poprawek zabezpieczeń, dzięki którym partnerzy Androida mają możliwość szybszego naprawiania podzbioru podobnych luk we wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do rozwiązania wszystkich problemów opisanych w tym biuletynie i do stosowania najnowszej poprawki zabezpieczeń.
- Urządzenia korzystające z poziomu poprawki zabezpieczeń z 2018-01-01 muszą zawierać wszystkie problemy związane z tym poziomem, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
- Urządzenia, które korzystają z poziomu poprawki zabezpieczeń z 2018-01-05 lub nowszego, muszą zawierać wszystkie poprawki z tych (i wcześniejszych) biuletynów bezpieczeństwa.
Zachęcamy partnerów do łączenia poprawek dla wszystkich problemów, które rozwiązują, w jednym pakiecie aktualizacji.
3. Co oznaczają wpisy w kolumnie Typ?
Wpisy w kolumnie Typ w tabeli szczegółów luki w zabezpieczeniach odnoszą się do klasyfikacji luki w zabezpieczeniach.
| Skrót | Definicja |
|---|---|
| RCE | Zdalne wykonywanie kodu |
| EoP | Podniesienie uprawnień |
| ID | Ujawnianie informacji |
| DoS | Atak typu DoS |
| Nie dotyczy | Klasyfikacja niedostępna |
4. Co oznaczają wpisy w kolumnie Odniesienia?
Wpisy w kolumnie Odniesienia w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odniesienia.
| Prefiks | Źródła wiedzy |
|---|---|
| A- | Identyfikator błędu na Androidzie |
| QC- | Numer referencyjny Qualcomm |
| M- | Numer referencyjny MediaTek |
| N- | Numer referencyjny NVIDIA |
| B- | Numer referencyjny Broadcom |
5. Co oznacza znak * obok identyfikatora błędu Androida w kolumnie Odniesienia?
Problemy, które nie są dostępne publicznie, mają * obok identyfikatora błędu Androida w kolumnie Odniesienia. Aktualizacja dotycząca tego problemu jest zwykle zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie Google Developer.
6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny dotyczące zabezpieczeń urządzeń i partnerów, np. biuletyn dotyczący Pixela/Nexusa?
Aby zadeklarować najnowszy stan aktualizacji zabezpieczeń na urządzeniach z Androidem, należy uwzględnić luki w zabezpieczeniach opisane w tym biuletynie. Dodatkowe luki w zabezpieczeniach udokumentowane w biuletynach dotyczących zabezpieczeń urządzenia lub partnera nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producentów urządzeń i układów scalonych z Androidem zachęcamy do dokumentowania obecności innych poprawek na swoich urządzeniach na własnych stronach internetowych poświęconych bezpieczeństwu, takich jak biuletyny bezpieczeństwa Samsung, LGE lub Pixel / Nexus.
Wersje
| Wersja | Data | Uwagi |
|---|---|---|
| 1,0 | 2 stycznia 2018 r. | Biuletyn został opublikowany. |
| 1,1 | 3 stycznia 2018 r. | Aktualizacja biuletynu z ogłoszeniem na temat CVE-2017-13218. |
| 1,2 | 5 stycznia 2018 r. | Biuletyn został zaktualizowany o linki do AOSP. |
| 1.3 | 29 stycznia 2018 r. | CVE-2017-13225 został przeniesiony do komunikatu bezpieczeństwa dotyczącego Pixela i Nexusa. |