Publicado em 6 de agosto de 2018
O Boletim de Segurança do Android contém detalhes das vulnerabilidades de segurança que afetam os dispositivos Android. Os níveis de patch de segurança de 2018-08-05 ou posterior abordam todos esses problemas. Para saber como verificar o nível de patch de segurança de um dispositivo, consulte Verificar e atualizar sua versão do Android .
Os parceiros Android são notificados de todos os problemas pelo menos um mês antes da publicação. Os patches de código-fonte para esses problemas foram lançados no repositório do Android Open Source Project (AOSP) e vinculados a este boletim. Este boletim também inclui links para patches fora do AOSP.
O mais grave desses problemas é uma vulnerabilidade crítica que pode permitir que um invasor remoto usando um arquivo especialmente criado execute código arbitrário no contexto de um processo privilegiado. A avaliação de gravidade é baseada no efeito que a exploração da vulnerabilidade possivelmente teria em um dispositivo afetado, supondo que as atenuações da plataforma e do serviço sejam desativadas para fins de desenvolvimento ou se forem ignoradas com êxito.
Não tivemos relatos de exploração ativa de clientes ou abuso desses problemas relatados recentemente. Consulte a seção de mitigações do Android e do Google Play Protect para obter detalhes sobre as proteções da plataforma de segurança Android e o Google Play Protect, que melhoram a segurança da plataforma Android.
Observação: as informações sobre a atualização sem fio (OTA) mais recente e as imagens de firmware para dispositivos do Google estão disponíveis no Boletim de segurança Pixel/Nexus de agosto de 2018 .
Mitigações de serviços Android e Google
Este é um resumo das mitigações fornecidas pela plataforma de segurança do Android e proteções de serviços, como o Google Play Protect . Esses recursos reduzem a probabilidade de vulnerabilidades de segurança serem exploradas com sucesso no Android.
- A exploração de muitos problemas no Android é dificultada pelos aprimoramentos nas versões mais recentes da plataforma Android. Incentivamos todos os usuários a atualizar para a versão mais recente do Android sempre que possível.
- A equipe de segurança do Android monitora ativamente o abuso por meio do Google Play Protect e avisa os usuários sobre aplicativos potencialmente prejudiciais . O Google Play Protect está ativado por padrão em dispositivos com Google Mobile Services e é especialmente importante para usuários que instalam aplicativos de fora do Google Play.
2018-08-01 detalhes da vulnerabilidade no nível do patch de segurança
Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança que se aplicam ao nível de patch 2018-08-01. As vulnerabilidades são agrupadas sob o componente que elas afetam. Há uma descrição do problema e uma tabela com o CVE, referências associadas, tipo de vulnerabilidade , gravidade e versões atualizadas do AOSP (quando aplicável). Quando disponível, vinculamos a alteração pública que abordou o problema ao ID do bug, como a lista de alterações do AOSP. Quando várias alterações estão relacionadas a um único bug, referências adicionais são vinculadas a números após o ID do bug.
Estrutura
A vulnerabilidade mais grave nesta seção pode permitir que um aplicativo mal-intencionado local ignore os requisitos de interação do usuário para obter acesso a permissões adicionais.
| CVE | Referências | Modelo | Gravidade | Versões AOSP atualizadas |
|---|---|---|---|---|
| CVE-2018-9445 | A-80436257 [ 2 ] | EoP | Alto | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2018-9438 | A-78644887 [ 2 ] [ 3 ] [ 4 ] | DoS | Alto | 8.1 |
| CVE-2018-9458 | A-71786287 | EoP | Alto | 8,0, 8,1 |
| CVE-2018-9451 | A-79488511 [ 2 ] | EU IRIA | Alto | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
Estrutura de mídia
A vulnerabilidade mais grave nesta seção pode permitir que um invasor remoto usando um arquivo especialmente criado execute código arbitrário no contexto de um processo privilegiado.
| CVE | Referências | Modelo | Gravidade | Versões AOSP atualizadas |
|---|---|---|---|---|
| CVE-2018-9427 | A-77486542 [ 2 ] | RCE | Crítico | 8,0, 8,1 |
| CVE-2018-9444 | A-63521984 * | DoS | Alto | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2 |
| CVE-2018-9437 | A-78656554 | DoS | Alto | 6.0, 6.0.1 |
Sistema
A vulnerabilidade mais grave nesta seção pode permitir que um invasor remoto usando um arquivo especialmente criado execute código arbitrário no contexto de um processo privilegiado.
| CVE | Referências | Modelo | Gravidade | Versões AOSP atualizadas |
|---|---|---|---|---|
| CVE-2018-9446 | A-80145946 | RCE | Crítico | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2018-9450 | A-79541338 | RCE | Crítico | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2018-9459 | A-66230183 | EoP | Alto | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2018-9455 | A-78136677 | DoS | Alto | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2018-9436 | A-79164722 | EU IRIA | Alto | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2018-9454 | A-78286118 | EU IRIA | Alto | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
| CVE-2018-9448 | A-79944113 [ 2 ] | EU IRIA | Alto | 8,0, 8,1 |
| CVE-2018-9453 | A-78288378 | EU IRIA | Alto | 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0, 8.1 |
2018-08-05 detalhes da vulnerabilidade no nível do patch de segurança
Nas seções abaixo, fornecemos detalhes para cada uma das vulnerabilidades de segurança que se aplicam ao nível de patch 2018-08-05. As vulnerabilidades são agrupadas no componente que afetam e incluem detalhes como o CVE, referências associadas, tipo de vulnerabilidade , gravidade , componente (quando aplicável) e versões atualizadas do AOSP (quando aplicável). Quando disponível, vinculamos a alteração pública que abordou o problema ao ID do bug, como a lista de alterações do AOSP. Quando várias alterações estão relacionadas a um único bug, referências adicionais são vinculadas a números após o ID do bug.
Componentes do kernel
A vulnerabilidade mais grave nesta seção pode permitir que um aplicativo mal-intencionado local execute código arbitrário no contexto de um processo privilegiado.
| CVE | Referências | Modelo | Gravidade | Componente |
|---|---|---|---|---|
| CVE-2017-18249 | A-78283212 Kernel upstream | EoP | Alto | F2FS |
| CVE-2018-9465 | A-69164715 Kernel upstream | EoP | Alto | encadernador |
Componentes da Qualcomm
A vulnerabilidade mais grave nesta seção pode levar à divulgação remota de informações sem a necessidade de privilégios de execução adicionais.
| CVE | Referências | Modelo | Gravidade | Componente |
|---|---|---|---|---|
| CVE-2018-5383 | A-79421580 * QC-CR#2209635 | EU IRIA | Alto | Bluetooth |
| CVE-2017-13077 | A-78284758 QC-CR#2133033 | EU IRIA | Alto | WLAN |
| CVE-2017-18281 | A-78242172 QC-CR#856388 | EU IRIA | Alto | Vídeo |
| CVE-2018-11260 | A-72997254 QC-CR#2204872 | EoP | Alto | WLAN |
Componentes de código fechado da Qualcomm
Essas vulnerabilidades afetam os componentes da Qualcomm e são descritas com mais detalhes no boletim de segurança ou alerta de segurança do Qualcomm AMSS apropriado. A avaliação da gravidade desses problemas é fornecida diretamente pela Qualcomm.
| CVE | Referências | Modelo | Gravidade | Componente |
|---|---|---|---|---|
| CVE-2017-18296 | A-78240731 * | N / D | Crítico | Componente de código fechado |
| CVE-2017-18305 | A-78239838 * | N / D | Crítico | Componente de código fechado |
| CVE-2017-18310 | A-62211308 * | N / D | Crítico | Componente de código fechado |
| CVE-2017-18295 | A-78240386 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18283 | A-78240411 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18294 | A-78240247 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18293 | A-78240316 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18292 | A-78241027 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18298 | A-78239976 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18299 | A-78240418 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18304 | A-78239975 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18303 | A-78240396 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18301 | A-78238455 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18302 | A-78239233 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18300 | A-78239508 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18297 | A-78240275 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18280 | A-78285512 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18282 | A-78241591 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18309 | A-73539064 * | N / D | Alto | Componente de código fechado |
| CVE-2017-18308 | A-73539310 * | N / D | Alto | Componente de código fechado |
| CVE-2018-11305 | A-72951032 * | N / D | Alto | Componente de código fechado |
| CVE-2018-11258 | A-72951054 * | N / D | Alto | Componente de código fechado |
Perguntas e respostas comuns
Esta seção responde a perguntas comuns que podem ocorrer após a leitura deste boletim.
1. Como determino se meu dispositivo está atualizado para resolver esses problemas?
Para saber como verificar o nível de patch de segurança de um dispositivo, consulte Verificar e atualizar sua versão do Android .
- Os níveis de patch de segurança de 2018-08-01 ou posterior abordam todos os problemas associados ao nível de patch de segurança de 2018-08-01.
- Os níveis de patch de segurança de 2018-08-05 ou posterior abordam todos os problemas associados ao nível de patch de segurança 2018-08-05 e todos os níveis de patch anteriores.
Os fabricantes de dispositivos que incluem essas atualizações devem definir o nível da string de patch para:
- [ro.build.version.security_patch]:[2018-08-01]
- [ro.build.version.security_patch]:[2018-08-05]
2. Por que este boletim tem dois níveis de patch de segurança?
Este boletim tem dois níveis de patch de segurança para que os parceiros Android tenham a flexibilidade de corrigir um subconjunto de vulnerabilidades semelhantes em todos os dispositivos Android mais rapidamente. Os parceiros Android são incentivados a corrigir todos os problemas neste boletim e usar o nível de patch de segurança mais recente.
- Os dispositivos que usam o nível de patch de segurança 2018-08-01 devem incluir todos os problemas associados a esse nível de patch de segurança, bem como correções para todos os problemas relatados em boletins de segurança anteriores.
- Os dispositivos que usam o nível de patch de segurança de 2018-08-05 ou mais recente devem incluir todos os patches aplicáveis neste (e nos anteriores) boletins de segurança.
Os parceiros são incentivados a agrupar as correções para todos os problemas que estão abordando em uma única atualização.
3. O que significam as entradas na coluna Tipo ?
As entradas na coluna Tipo da tabela de detalhes da vulnerabilidade fazem referência à classificação da vulnerabilidade de segurança.
| Abreviação | Definição |
|---|---|
| RCE | Execução remota de código |
| EoP | Elevação de privilégio |
| EU IRIA | Divulgação de informação |
| DoS | Negação de serviço |
| N / D | Classificação não disponível |
4. O que significam as entradas na coluna Referências ?
As entradas na coluna Referências da tabela de detalhes da vulnerabilidade podem conter um prefixo que identifica a organização à qual o valor de referência pertence.
| Prefixo | Referência |
|---|---|
| UMA- | ID do bug do Android |
| CQ- | Número de referência da Qualcomm |
| M- | Número de referência da MediaTek |
| N- | Número de referência da NVIDIA |
| B- | Número de referência da Broadcom |
5. O que significa um * ao lado do ID do bug do Android na coluna Referências ?
Os problemas que não estão disponíveis publicamente têm um * ao lado do ID do bug do Android na coluna Referências . A atualização para esse problema geralmente está contida nos drivers binários mais recentes para dispositivos Pixel/Nexus disponíveis no site do Google Developer .
6. Por que as vulnerabilidades de segurança são divididas entre este boletim e os boletins de segurança do dispositivo/parceiro, como o boletim Pixel/Nexus?
As vulnerabilidades de segurança documentadas neste boletim de segurança são necessárias para declarar o nível de patch de segurança mais recente em dispositivos Android. Vulnerabilidades de segurança adicionais documentadas nos boletins de segurança do dispositivo/parceiro não são necessárias para declarar um nível de patch de segurança. Os fabricantes de dispositivos e chipsets Android são incentivados a documentar a presença de outras correções em seus dispositivos por meio de seus próprios sites de segurança, como os boletins de segurança Samsung , LGE ou Pixel/Nexus .
Versões
| Versão | Encontro | Notas |
|---|---|---|
| 1,0 | 6 de agosto de 2018 | Boletim publicado. |