Published มีนาคม 4, 2019 | อัปเดตเมื่อ 5 มีนาคม 2019
กระดานข่าวความปลอดภัยของ Android มีรายละเอียดของช่องโหว่ด้านความปลอดภัยที่ส่งผลต่ออุปกรณ์ Android ระดับแพตช์ความปลอดภัย 2019-03-05 หรือใหม่กว่า แก้ไขปัญหาเหล่านี้ทั้งหมด หากต้องการเรียนรู้วิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์ โปรดดูที่ ตรวจสอบและอัปเดตเวอร์ชัน Android ของคุณ
พันธมิตร Android จะได้รับแจ้งปัญหาทั้งหมดอย่างน้อยหนึ่งเดือนก่อนเผยแพร่ แพตช์ซอร์สโค้ดสำหรับปัญหาเหล่านี้จะเผยแพร่ไปยังที่เก็บ Android Open Source Project (AOSP) ใน 48 ชั่วโมงข้างหน้า เราจะแก้ไขกระดานข่าวนี้ด้วยลิงก์ AOSP เมื่อมี
ปัญหาที่ร้ายแรงที่สุดคือช่องโหว่ด้านความปลอดภัยที่สำคัญใน Media framework ที่อาจทำให้ผู้โจมตีจากระยะไกลใช้ไฟล์ที่ออกแบบมาเป็นพิเศษเพื่อรันโค้ดโดยอำเภอใจภายในบริบทของกระบวนการที่มีสิทธิพิเศษ การ ประเมินความรุนแรง ขึ้นอยู่กับผลกระทบจากการใช้ประโยชน์จากช่องโหว่ที่อาจจะเกิดขึ้นกับอุปกรณ์ที่ได้รับผลกระทบ โดยถือว่าปิดการบรรเทาแพลตฟอร์มและการบริการเพื่อวัตถุประสงค์ในการพัฒนาหรือหากเลี่ยงผ่านได้สำเร็จ
เราไม่มีรายงานเกี่ยวกับการแสวงประโยชน์จากลูกค้าที่ใช้งานอยู่หรือการละเมิดปัญหาที่รายงานใหม่เหล่านี้ อ้างถึงส่วนการ บรรเทาปัญหา Android และ Google Play Protect สำหรับรายละเอียดเกี่ยวกับการ ป้องกันแพลตฟอร์มความปลอดภัยของ Android และ Google Play Protect ซึ่งปรับปรุงความปลอดภัยของแพลตฟอร์ม Android
หมายเหตุ: ข้อมูลเกี่ยวกับการอัปเดตแบบ over-the-air ล่าสุด (OTA) และอิมเมจเฟิร์มแวร์สำหรับอุปกรณ์ Google มีอยู่ใน กระดานข่าวการอัปเดตพิกเซลในเดือนมีนาคม 2019
การลดการบริการของ Android และ Google
นี่คือบทสรุปของการบรรเทาผลกระทบจาก แพลตฟอร์มความปลอดภัยของ Android และการปกป้องบริการ เช่น Google Play Protect ความสามารถเหล่านี้ลดโอกาสที่ช่องโหว่ด้านความปลอดภัยจะถูกโจมตีบน Android ได้สำเร็จ
- การใช้ประโยชน์จากปัญหามากมายบน Android ทำได้ยากขึ้นด้วยการปรับปรุงในแพลตฟอร์ม Android เวอร์ชันใหม่กว่า เราสนับสนุนให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดหากเป็นไปได้
- ทีมรักษาความปลอดภัยของ Android ตรวจสอบการละเมิดผ่าน Google Play Protect และเตือนผู้ใช้เกี่ยวกับ แอปพลิเคชันที่อาจเป็นอันตราย Google Play Protect เปิดใช้งานโดยค่าเริ่มต้นในอุปกรณ์ที่มี Google Mobile Services และมีความสำคัญเป็นพิเศษสำหรับผู้ใช้ที่ติดตั้งแอปจากภายนอก Google Play
2019-03-01 รายละเอียดช่องโหว่ระดับแพตช์ความปลอดภัย
ในส่วนด้านล่าง เราได้ให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละจุดที่ใช้กับระดับแพตช์ 2019-03-01 ช่องโหว่จะถูกจัดกลุ่มตามองค์ประกอบที่ได้รับผลกระทบ มีคำอธิบายของปัญหาและตารางที่มี CVE ข้อมูลอ้างอิงที่เกี่ยวข้อง ประเภทของช่องโหว่ ความรุนแรง และเวอร์ชัน AOSP ที่อัปเดต (หากมี) หากมี เราจะเชื่อมโยงการเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสจุดบกพร่อง เช่น รายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับจุดบกพร่องเดียว การอ้างอิงเพิ่มเติมจะเชื่อมโยงกับหมายเลขตาม ID จุดบกพร่อง
กรอบ
ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจเปิดใช้งานแอปพลิเคชันที่เป็นอันตรายในพื้นที่เพื่อรันโค้ดโดยอำเภอใจภายในบริบทของกระบวนการที่มีสิทธิพิเศษ
| CVE | อ้างอิง | พิมพ์ | ความรุนแรง | อัปเดตเวอร์ชัน AOSP |
|---|---|---|---|---|
| CVE-2018-20346 | A-121156452 | EoP | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-1985 | A-118694079* | EoP | สูง | 7.0, 7.1.1, 7.1.2, 8.0 |
| CVE-2019-2003 | A-116321860 | EoP | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2004 | A-115739809 | ไอดี | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2005 | A-68777217 | EoP | ปานกลาง | 8.0, 8.1, 9 |
กรอบสื่อ
ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจเปิดใช้งานผู้โจมตีระยะไกลโดยใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อรันโค้ดโดยอำเภอใจภายในบริบทของกระบวนการที่มีสิทธิพิเศษ
| CVE | อ้างอิง | พิมพ์ | ความรุนแรง | อัปเดตเวอร์ชัน AOSP |
|---|---|---|---|---|
| CVE-2019-1989 | A-118399205 | RCE | วิกฤต | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-1990 | A-118453553 | RCE | วิกฤต | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2006 | A-116665972 | EoP | สูง | 9 |
| CVE-2019-2007 | A-120789744 [ 2 ] | EoP | สูง | 8.1, 9 |
| CVE-2019-2008 | A-122309228 | EoP | สูง | 8.0, 8.1, 9 |
ระบบ
ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจเปิดใช้งานผู้โจมตีระยะไกลโดยใช้การส่งสัญญาณที่สร้างขึ้นเป็นพิเศษเพื่อรันโค้ดโดยอำเภอใจภายในบริบทของกระบวนการที่มีสิทธิพิเศษ
| CVE | อ้างอิง | พิมพ์ | ความรุนแรง | อัปเดตเวอร์ชัน AOSP |
|---|---|---|---|---|
| CVE-2019-2009 | A-120665616 | RCE | วิกฤต | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2010 | A-118152591 | EoP | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2011 | A-120084106 [ 2 ] | EoP | สูง | 8.0, 8.1, 9 |
| CVE-2019-2012 | A-120497437 | EoP | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2013 | A-120497583 | EoP | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2014 | A-120499324 | EoP | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2015 | A-12503926 | EoP | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2016 | A-120664978 | EoP | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2017 | A-121035711 | EoP | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2018 | A-110172241 [ 2 ] | EoP | สูง | 8.1, 9 |
| CVE-2018-9561 | A-111660010 [ 2 ] | ไอดี | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2018-9563 | A-114237888 [ 2 ] | ไอดี | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2018-9564 | A-114238578 [ 2 ] | ไอดี | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2019 | A-11635871 | ไอดี | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2020 | A-116788646 | ไอดี | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2021 | A-120428041 | ไอดี | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
| CVE-2019-2022 | A-120506143 | ไอดี | สูง | 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 |
2019-03-05 รายละเอียดช่องโหว่ระดับแพตช์ความปลอดภัย
ในส่วนด้านล่าง เราได้ให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละจุดที่ใช้กับระดับแพตช์ 2019-03-05 ช่องโหว่ต่างๆ จะถูกจัดกลุ่มตามองค์ประกอบที่ได้รับผลกระทบ และรวมถึงรายละเอียดต่างๆ เช่น CVE ข้อมูลอ้างอิงที่เกี่ยวข้อง ประเภทของช่องโหว่ ความรุนแรง ส่วนประกอบ (หากมี) และเวอร์ชัน AOSP ที่อัปเดต (หากมี) หากมี เราจะเชื่อมโยงการเปลี่ยนแปลงสาธารณะที่แก้ไขปัญหากับรหัสจุดบกพร่อง เช่น รายการการเปลี่ยนแปลง AOSP เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับจุดบกพร่องเดียว การอ้างอิงเพิ่มเติมจะเชื่อมโยงกับหมายเลขตาม ID จุดบกพร่อง
ระบบ
ช่องโหว่ในส่วนนี้อาจเปิดใช้งานแอปพลิเคชันที่เป็นอันตรายในพื้นที่เพื่อรันโค้ดโดยอำเภอใจภายในบริบทของกระบวนการที่มีสิทธิพิเศษ
| CVE | อ้างอิง | พิมพ์ | ความรุนแรง | อัปเดตเวอร์ชัน AOSP |
|---|---|---|---|---|
| CVE-2019-2023 | A-121035042 [ 2 ] [ 3 ] [ 4 ] [ 5 ] [ 6 ] [ 7 ] | EoP | สูง | 8.0, 8.1, 9 |
ส่วนประกอบเคอร์เนล
ช่องโหว่ที่ร้ายแรงที่สุดในส่วนนี้อาจเปิดใช้งานผู้โจมตีในพื้นที่โดยใช้ไฟล์ที่สร้างขึ้นเป็นพิเศษเพื่อรันโค้ดโดยอำเภอใจภายในบริบทของกระบวนการที่มีสิทธิพิเศษ
| CVE | อ้างอิง | พิมพ์ | ความรุนแรง | ส่วนประกอบ |
|---|---|---|---|---|
| CVE-2018-10883 | A-117311198 ต้นน้ำเคอร์เนล [ 2 ] | EoP | สูง | ระบบไฟล์ ext4 |
| CVE-2019-2024 | A-111761954 ต้นน้ำเคอร์เนล | EoP | สูง | ไดรเวอร์em28xx |
| CVE-2019-2025 | A-116855682 ต้นน้ำเคอร์เนล | EoP | สูง | ไดรเวอร์เครื่องผูก |
ส่วนประกอบ Qualcomm
ช่องโหว่เหล่านี้ส่งผลต่อส่วนประกอบของ Qualcomm และมีการอธิบายรายละเอียดเพิ่มเติมในกระดานข่าวความปลอดภัยของ Qualcomm หรือการแจ้งเตือนด้านความปลอดภัย การประเมินความรุนแรงของปัญหาเหล่านี้จัดทำโดย Qualcomm โดยตรง
| CVE | อ้างอิง | พิมพ์ | ความรุนแรง | ส่วนประกอบ |
|---|---|---|---|---|
| CVE-2017-8252 | A-112277630 QC-CR#2106159 | ไม่มี | วิกฤต | ระบบนิเวศ |
| CVE-2017-8252 | A-114041175 QC-CR#2128529 | ไม่มี | วิกฤต | ระบบนิเวศ |
| CVE-2018-11817 | A-114041192 QC-CR#2241830 | ไม่มี | วิกฤต | DSP_Services |
| CVE-2018-11817 | A-114041747 QC-CR#2166542 | ไม่มี | วิกฤต | DSP_Services |
| CVE-2018-13899 | A-119053086 QC-CR#2295915 [ 2 ] | ไม่มี | สูง | วีดีโอ |
| CVE-2018-13917 | A-120487091 QC-CR#2251019 | ไม่มี | สูง | รับรางวัลโฮสต์ NSS |
ส่วนประกอบโอเพ่นซอร์สของ Qualcomm
ช่องโหว่เหล่านี้ส่งผลต่อส่วนประกอบของ Qualcomm และมีการอธิบายรายละเอียดเพิ่มเติมในกระดานข่าวความปลอดภัยของ Qualcomm หรือการแจ้งเตือนด้านความปลอดภัย การประเมินความรุนแรงของปัญหาเหล่านี้จัดทำโดย Qualcomm โดยตรง
| CVE | อ้างอิง | พิมพ์ | ความรุนแรง | ส่วนประกอบ |
|---|---|---|---|---|
| CVE-2017-8252 | A-79419898 * | ไม่มี | วิกฤต | ส่วนประกอบที่ปิดแหล่งที่มา |
| CVE-2017-8252 | A-79420414 * | ไม่มี | วิกฤต | ส่วนประกอบที่ปิดแหล่งที่มา |
| CVE-2017-8252 | A-112279542 * | ไม่มี | วิกฤต | ส่วนประกอบที่ปิดแหล่งที่มา |
| CVE-2018-11958 | A-114042786 * | ไม่มี | วิกฤต | ส่วนประกอบที่ปิดแหล่งที่มา |
| CVE-2018-11966 | A-114042484 * | ไม่มี | สูง | ส่วนประกอบที่ปิดแหล่งที่มา |
| CVE-2018-11970 | A-114042111 * | ไม่มี | สูง | ส่วนประกอบที่ปิดแหล่งที่มา |
| CVE-2018-11971 | A-114042829 * | ไม่มี | สูง | ส่วนประกอบที่ปิดแหล่งที่มา |
| CVE-2018-13918 | A-120486115 * | ไม่มี | สูง | ส่วนประกอบที่ปิดแหล่งที่มา |
คำถามและคำตอบทั่วไป
ส่วนนี้จะตอบคำถามทั่วไปที่อาจเกิดขึ้นหลังจากอ่านกระดานข่าวนี้
1. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ของฉันได้รับการอัปเดตเพื่อแก้ไขปัญหาเหล่านี้หรือไม่
หากต้องการเรียนรู้วิธีตรวจสอบระดับแพตช์ความปลอดภัยของอุปกรณ์ โปรดดูที่ ตรวจสอบและอัปเดตเวอร์ชัน Android ของคุณ
- ระดับแพตช์ความปลอดภัย 2019-03-01 หรือใหม่กว่า แก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2019-03-01
- ระดับแพตช์ความปลอดภัย 2019-03-05 หรือใหม่กว่า แก้ไขปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัย 2019-03-05 และระดับแพตช์ก่อนหน้าทั้งหมด
ผู้ผลิตอุปกรณ์ที่มีการอัปเดตเหล่านี้ควรตั้งค่าระดับสตริงของโปรแกรมแก้ไขเป็น:
- [ro.build.version.security_patch]:[2019-03-01]
- [ro.build.version.security_patch]:[2019-03-05]
2. เหตุใดกระดานข่าวนี้จึงมีแพตช์ความปลอดภัยสองระดับ
กระดานข่าวนี้มีโปรแกรมแก้ไขความปลอดภัยสองระดับ เพื่อให้พันธมิตร Android มีความยืดหยุ่นในการแก้ไขช่องโหว่บางส่วนที่คล้ายคลึงกันในอุปกรณ์ Android ทั้งหมดได้รวดเร็วยิ่งขึ้น ขอแนะนำให้พันธมิตร Android แก้ไขปัญหาทั้งหมดในกระดานข่าวนี้และใช้ระดับแพตช์ความปลอดภัยล่าสุด
- อุปกรณ์ที่ใช้ระดับแพตช์ความปลอดภัย 2019-03-01 ต้องมีปัญหาทั้งหมดที่เกี่ยวข้องกับระดับแพตช์ความปลอดภัยนั้น เช่นเดียวกับการแก้ไขสำหรับปัญหาทั้งหมดที่รายงานในกระดานข่าวความปลอดภัยก่อนหน้า
- อุปกรณ์ที่ใช้ระดับแพตช์ความปลอดภัย 2019-03-05 หรือใหม่กว่าจะต้องรวมแพตช์ที่เกี่ยวข้องทั้งหมดในกระดานข่าวความปลอดภัยนี้ (และก่อนหน้า)
พันธมิตรควรรวมกลุ่มการแก้ไขสำหรับปัญหาทั้งหมดที่พวกเขากำลังแก้ไขในการอัปเดตครั้งเดียว
3. รายการในคอลัมน์ Type หมายถึงอะไร
รายการในคอลัมน์ Type ของตารางรายละเอียดช่องโหว่อ้างอิงการจัดประเภทของช่องโหว่ด้านความปลอดภัย
| ตัวย่อ | คำนิยาม |
|---|---|
| RCE | การเรียกใช้โค้ดจากระยะไกล |
| EoP | ยกระดับสิทธิพิเศษ |
| ไอดี | การเปิดเผยข้อมูล |
| DoS | ปฏิเสธการให้บริการ |
| ไม่มี | ไม่มีการจัดประเภท |
4. รายการในคอลัมน์ อ้างอิง หมายความว่าอย่างไร
รายการภายใต้คอลัมน์ อ้างอิง ของตารางรายละเอียดช่องโหว่อาจมีคำนำหน้าที่ระบุองค์กรที่มีค่าอ้างอิงอยู่
| คำนำหน้า | อ้างอิง |
|---|---|
| เอ- | รหัสข้อบกพร่องของ Android |
| QC- | หมายเลขอ้างอิง Qualcomm |
| ม- | หมายเลขอ้างอิง MediaTek |
| น- | หมายเลขอ้างอิง NVIDIA |
| ข- | หมายเลขอ้างอิง Broadcom |
5. * ข้างรหัสจุดบกพร่องของ Android ในคอลัมน์ อ้างอิง หมายความว่าอย่างไร
ปัญหาที่ไม่เปิดเผยต่อสาธารณะจะมี * ถัดจาก ID จุดบกพร่องของ Android ในคอลัมน์ การอ้างอิง โดยทั่วไป การอัปเดตสำหรับปัญหาดังกล่าวจะอยู่ในไดรเวอร์ไบนารีล่าสุดสำหรับอุปกรณ์ Pixel ที่มีให้จาก ไซต์ Google Developer
6. เหตุใดช่องโหว่ด้านความปลอดภัยจึงถูกแบ่งระหว่างกระดานข่าวนี้และอุปกรณ์ / คู่ค้าด้านความปลอดภัยเช่นกระดานข่าว Pixel
ช่องโหว่ด้านความปลอดภัยที่บันทึกไว้ในกระดานข่าวความปลอดภัยนี้จำเป็นต้องประกาศระดับแพตช์ความปลอดภัยล่าสุดบนอุปกรณ์ Android ช่องโหว่ด้านความปลอดภัยเพิ่มเติมที่บันทึกไว้ในกระดานข่าวความปลอดภัยของอุปกรณ์ / คู่ค้า ไม่จำเป็นสำหรับการประกาศระดับแพตช์ความปลอดภัย ผู้ผลิตอุปกรณ์ Android และชิปเซ็ตควรบันทึกการมีอยู่ของการแก้ไขอื่นๆ บนอุปกรณ์ของตนผ่านเว็บไซต์ความปลอดภัยของตนเอง เช่น กระดานข่าวการอัปเดต Samsung , LGE หรือ Pixel
รุ่น
| เวอร์ชั่น | วันที่ | หมายเหตุ |
|---|---|---|
| 1.0 | มีนาคม 4, 2019 | เผยแพร่กระดานข่าว |
| 1.1 | มีนาคม 5, 2019 | กระดานข่าวสารได้รับการแก้ไขเพื่อรวมลิงก์ AOSP |