Бюллетень по безопасности Android – февраль 2018 г.

Опубликован 5 февраля 2018 г. | Обновлен 2 апреля 2018 г.

В этом бюллетене содержится информация об уязвимостях в защите устройств Android. Все актуальные проблемы, перечисленные здесь, устранены в исправлении 2018-02-05 или более новом. Сведения о том, как проверить уровень исправления системы безопасности на устройстве, можно найти в статье о сроках обновления ПО.

Мы сообщаем партнерам обо всех проблемах не менее чем за месяц до выхода бюллетеня. Исправления уязвимостей доступны в хранилище Android Open Source Project (AOSP). Ссылки на них, а также на исправления вне AOSP есть в этом бюллетене.

Самая серьезная из проблем – критическая уязвимость в Media Framework, которая позволяет злоумышленнику удаленно выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла. Уровень серьезности зависит от того, какой ущерб будет нанесен устройству, если злоумышленник воспользуется уязвимостью и сможет обойти средства защиты или их отключит разработчик.

У нас нет информации об активном использовании обнаруженных уязвимостей. Сведения о том, как платформа безопасности Android и Google Play Защита помогают снизить вероятность успешного применения уязвимостей Android, можно найти в разделе Предотвращение атак.

Примечание. Информация о последних беспроводных обновлениях (OTA) и образах встроенного ПО для устройств Google содержится в бюллетене по безопасности Pixel  и Nexus за февраль 2018 года.

Предотвращение атак

Здесь описано, как платформа безопасности Android и средства защиты сервисов, например Google Play Защита, позволяют снизить вероятность атак на Android.

  • В новых версиях Android сложнее использовать многие уязвимости, поэтому мы рекомендуем всем пользователям своевременно обновлять систему.
  • С помощью Google Play Защиты команда, отвечающая за безопасность Android, активно отслеживает случаи злоупотребления и предупреждает пользователей об установке потенциально опасных приложений. Google Play Защита по умолчанию включена на телефонах и планшетах, использующих сервисы Google для мобильных устройств. Она особенно важна для тех, кто устанавливает приложения не из Google Play.

Описание уязвимостей (исправление системы безопасности 2018-02-01)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в исправлении системы безопасности 2018-02-01. Проблемы сгруппированы по компонентам, которые они затрагивают. Для каждого случая приведены описание и таблица, в которой указаны CVE, ссылки, тип уязвимости, уровень серьезности и, если применимо, версии AOSP. Где возможно, мы добавляем к идентификатору ошибки ссылку на опубликованное изменение (например, список AOSP). Если таких изменений несколько, дополнительные ссылки указываются в квадратных скобках.

Media Framework

Самая серьезная уязвимость позволяет злоумышленнику удаленно выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла.

CVE Ссылки Тип Уровень серьезности Обновленные версии AOSP
CVE-2017-13228 A-69478425 RCE Критический 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2017-13231 A-67962232 EoP Высокий 8.0, 8.1
CVE-2017-13232 A-68953950 ID Высокий 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2017-13230 A-65483665 DoS Высокий 7.0, 7.1.1, 7.1.2, 8.0, 8.1
RCE Критический 5.1.1, 6.0, 6.0.1
CVE-2017-13233 A-62851602 DoS Высокий 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1
CVE-2017-13234 A-68159767 DoS Высокий 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1

Система

Самая серьезная уязвимость позволяет локальному вредоносному ПО выполнять команды, обычно доступные только привилегированным процессам.

CVE Ссылки Тип Уровень серьезности Обновленные версии AOSP
CVE-2017-13236 A-68217699 [2] EoP Средний 8.0, 8.1

Описание уязвимостей (исправление системы безопасности 2018-02-05)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в исправлении системы безопасности 2018-02-05. Проблемы сгруппированы по компонентам, которые они затрагивают. Для каждого случая приведена таблица, в которой указаны CVE, ссылки, тип уязвимости, уровень серьезности, а также, если применимо, компонент и версии AOSP. Где возможно, мы добавляем к идентификатору ошибки ссылку на опубликованное изменение (например, список AOSP). Если таких изменений несколько, дополнительные ссылки указываются в квадратных скобках.

Компоненты HTC

Самая серьезная уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-13238 A-64610940* ID Высокий Загрузчик ОС
CVE-2017-13247 A-71486645* EoP Средний Загрузчик ОС

Компоненты ядра

Самая серьезная уязвимость позволяет локальному вредоносному приложению выполнять произвольный код в контексте привилегированного процесса.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-15265 A-67900971
Upstream kernel
EoP Высокий ALSA
CVE-2015-9016 A-63083046
Upstream kernel
EoP Высокий Механизм многопоточного доступа к блочным устройствам blk-mq
CVE-2017-13273 A-65853158* EoP Высокий Ядро

Компоненты NVIDIA

Самая серьезная уязвимость позволяет локальному вредоносному приложению выполнять произвольный код в контексте привилегированного процесса.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-6279 A-65023166*
N-CVE-2017-6279
EoP Высокий Media Framework
CVE-2017-6258 A-38027496*
N-CVE-2017-6258
EoP Высокий Media Framework

Компоненты Qualcomm

Самая серьезная уязвимость позволяет злоумышленнику удаленно выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-15860 A-68992416
QC-CR#2082544 [2]
RCE Критический WLAN
CVE-2017-11041 A-35269676*
QC-CR#2053101
EoP Высокий Media Framework
CVE-2017-17767 A-64750179*
QC-CR#2115779
EoP Высокий Media Framework
CVE-2017-17765 A-68992445
QC-CR#2115112
EoP Высокий WLAN
CVE-2017-15862 A-68992439
QC-CR#2114426
EoP Высокий WLAN
CVE-2017-14884 A-68992429
QC-CR#2113052
EoP Высокий WLAN
CVE-2017-15829 A-68992397
QC-CR#2097917
EoP Высокий Graphics_Linux
CVE-2017-15820 A-68992396
QC-CR#2093377
EoP Высокий Graphics_Linux
CVE-2017-17764 A-68992443
QC-CR#2114789
EoP Высокий WLAN
CVE-2017-15861 A-68992434
QC-CR#2114187
EoP Высокий WLAN

Компоненты Qualcomm с закрытым исходным кодом

Эти уязвимости затрагивают компоненты Qualcomm. Они описаны в бюллетенях по безопасности Qualcomm AMSS или оповещениях системы безопасности. Уровень серьезности этих уязвимостей определяется непосредственно компанией Qualcomm.

CVE Ссылки Тип Уровень серьезности Компонент
CVE-2017-14910 A-62212114* Н/Д Высокий Компонент с закрытым исходным кодом

Часто задаваемые вопросы

В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.

1. Как определить, установлено ли на устройстве обновление, в котором устранены перечисленные проблемы?

Сведения о том, как проверить уровень исправления системы безопасности на устройстве, можно найти в статье о сроках обновления ПО.

  • В исправлении 2018-02-01 или более новых устранены все проблемы, связанные соответствующие исправлению системы безопасности 2018-02-01.
  • В исправлении 2018-02-05 или более новых устранены все проблемы, соответствующие исправлению системы безопасности 2018-02-05 и всем предыдущим исправлениям.

Производители устройств, позволяющие установить эти обновления, должны присвоить им один из следующих уровней:

  • [ro.build.version.security_patch]:[2018-02-01]
  • [ro.build.version.security_patch]:[2018-02-05]

2. Почему в этом бюллетене говорится о двух исправлениях системы безопасности?

Мы включили в этот бюллетень сведения о двух исправлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Рекомендуем партнерам Android исправить все вышеперечисленные проблемы и установить последнее исправление системы безопасности.

  • На устройствах с установленным исправлением 2018-02-01 должны быть устранены все охваченные им проблемы, а также уязвимости, упомянутые в предыдущих выпусках бюллетеня.
  • На устройствах с установленным исправлением 2018-02-05 или более новым должны быть решены все проблемы, описанные в этом бюллетене и предыдущих выпусках.

Рекомендуем партнерам собрать все исправления проблем в одно обновление.

3. Что означают сокращения в столбце Тип?

В этом столбце указан тип уязвимости по следующей классификации:

Сокращение Описание
RCE Удаленное выполнение кода
EoP Повышение привилегий
ID Раскрытие информации
DoS Отказ в обслуживании
Классификация недоступна

4. Что означает информация в столбце Ссылки?

В таблицах с описанием уязвимостей есть столбец Ссылки. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:

Префикс Значение
A- Идентификатор ошибки Android
QC- Ссылочный номер Qualcomm
M- Ссылочный номер MediaTek
N- Ссылочный номер NVIDIA
B- Ссылочный номер Broadcom

5. Что означает символ * рядом с идентификатором ошибки Android в столбце Ссылки?

Символ * означает, что исправление для уязвимости не опубликовано. Необходимое обновление обычно содержится в последних исполняемых файлах драйверов для устройств Nexus, которые можно скачать на сайте Google Developers.

6. Почему одни уязвимости описываются в этом бюллетене, а другие – в бюллетенях по безопасности устройств (например, Pixel и Nexus) и бюллетенях партнеров?

Здесь описаны уязвимости, которые необходимо устранить для соответствия последнему уровню исправления системы безопасности Android. Решать дополнительные проблемы, перечисленные в других бюллетенях по безопасности, для этого не требуется. Мы рекомендуем производителям чипсетов и устройств Android рассказывать об исправлениях для своих устройств в бюллетенях по безопасности на собственных сайтах. Примеры: бюллетени Samsung, LG, а также Pixel и Nexus.

Версии

Версия Дата Примечания
1.0 5 февраля 2018 г. Бюллетень опубликован.
1.1 7 февраля 2018 г. Добавлены ссылки на AOSP.
1.2 14 февраля 2018 г. Исправлены идентификаторы уязвимостей CVE-2017-13273, CVE-2017-15860, CVE-2017-15861 и CVE-2017-15862.
1.3 2 апреля 2018 г. Сведения об уязвимости CVE-2017-15817 перенесены в бюллетень по безопасности Pixel за февраль.