2019 年 3 月 4 日公開 | 2019年3月5日更新
Android セキュリティ情報には、Android デバイスに影響を与えるセキュリティ脆弱性の詳細が含まれています。セキュリティ パッチ レベル 2019-03-05 以降では、これらすべての問題に対処します。デバイスのセキュリティ パッチ レベルを確認する方法については、 「 Android バージョンを確認して更新する 」を参照してください。
Android パートナーには、公開の少なくとも 1 か月前にすべての問題が通知されます。これらの問題に対するソース コード パッチは、今後 48 時間以内に Android オープンソース プロジェクト (AOSP) リポジトリにリリースされます。 AOSP リンクが利用可能になり次第、この速報を改訂して AOSP リンクを追加する予定です。
これらの問題のうち最も深刻なものは、メディア フレームワークの重大なセキュリティ脆弱性であり、リモート攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。重大度の評価は、プラットフォームとサービスの緩和策が開発目的で無効になっている場合、または回避に成功した場合を想定して、脆弱性の悪用が影響を受けるデバイスに与える可能性のある影響に基づいています。
新たに報告されたこれらの問題について、顧客による積極的な悪用や悪用の報告はありません。 Android プラットフォームのセキュリティを向上させるAndroid セキュリティ プラットフォーム保護と Google Play プロテクトの詳細については、 「Android および Google Play プロテクトの軽減策」セクションを参照してください。
注: Google デバイスの最新の無線アップデート (OTA) とファームウェア イメージに関する情報は、2019 年 3 月の Pixel Update Bulletinで入手できます。
Android および Google サービスの軽減策
これは、Android セキュリティ プラットフォームとGoogle Play プロテクトなどのサービス保護によって提供される緩和策の概要です。これらの機能により、Android でセキュリティの脆弱性が悪用される可能性が低くなります。
- Android プラットフォームの新しいバージョンの機能強化により、Android 上の多くの問題の悪用はさらに困難になっています。すべてのユーザーに、可能な限り Android の最新バージョンに更新することをお勧めします。
- Android セキュリティ チームは、 Google Play プロテクトを通じて悪用を積極的に監視し、有害な可能性のあるアプリケーションについてユーザーに警告します。 Google Play プロテクトは、 Google モバイル サービスを備えたデバイスではデフォルトで有効になっており、Google Play 以外からアプリをインストールするユーザーにとって特に重要です。
2019-03-01 セキュリティ パッチ レベルの脆弱性の詳細
以下のセクションでは、2019-03-01 パッチ レベルに適用される各セキュリティ脆弱性の詳細を説明します。脆弱性は、影響を受けるコンポーネントの下にグループ化されます。問題の説明と、CVE、関連参照、脆弱性の種類、重大度、更新された AOSP バージョン (該当する場合) の表が記載されています。利用可能な場合は、問題に対処した公開変更をバグ ID (AOSP 変更リストなど) にリンクします。複数の変更が 1 つのバグに関連する場合、追加の参照はバグ ID に続く番号にリンクされます。
フレームワーク
このセクションの最も深刻な脆弱性により、悪意のあるローカル アプリケーションが特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。
| CVE | 参考文献 | タイプ | 重大度 | 更新された AOSP バージョン |
|---|---|---|---|---|
| CVE-2018-20346 | A-121156452 | EoP | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-1985 | A-118694079* | EoP | 高い | 7.0、7.1.1、7.1.2、8.0 |
| CVE-2019-2003 | A-116321860 | EoP | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2004 | A-115739809 | ID | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2005 | A-68777217 | EoP | 適度 | 8.0、8.1、9 |
メディアフレームワーク
このセクションの最も深刻な脆弱性により、リモート攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。
| CVE | 参考文献 | タイプ | 重大度 | 更新された AOSP バージョン |
|---|---|---|---|---|
| CVE-2019-1989 | A-118399205 | RCE | 致命的 | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-1990 | A-118453553 | RCE | 致命的 | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2006 | A-116665972 | EoP | 高い | 9 |
| CVE-2019-2007 | A-120789744 [ 2 ] | EoP | 高い | 8.1、9 |
| CVE-2019-2008 | A-122309228 | EoP | 高い | 8.0、8.1、9 |
システム
このセクションの最も深刻な脆弱性により、リモート攻撃者が特別に作成された送信を使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。
| CVE | 参考文献 | タイプ | 重大度 | 更新された AOSP バージョン |
|---|---|---|---|---|
| CVE-2019-2009 | A-120665616 | RCE | 致命的 | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2010 | A-118152591 | EoP | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2011 | A-120084106 [ 2 ] | EoP | 高い | 8.0、8.1、9 |
| CVE-2019-2012 | A-120497437 | EoP | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2013 | A-120497583 | EoP | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2014 | A-120499324 | EoP | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2015 | A-120503926 | EoP | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2016 | A-120664978 | EoP | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2017 | A-121035711 | EoP | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2018 | A-110172241 [ 2 ] | EoP | 高い | 8.1、9 |
| CVE-2018-9561 | A-111660010 [ 2 ] | ID | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2018-9563 | A-114237888 [ 2 ] | ID | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2018-9564 | A-114238578 [ 2 ] | ID | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2019 | A-115635871 | ID | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2020 | A-116788646 | ID | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2021 | A-120428041 | ID | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
| CVE-2019-2022 | A-120506143 | ID | 高い | 7.0、7.1.1、7.1.2、8.0、8.1、9 |
2019-03-05 セキュリティ パッチ レベルの脆弱性の詳細
以下のセクションでは、2019-03-05 パッチ レベルに適用される各セキュリティ脆弱性の詳細を説明します。脆弱性は影響を受けるコンポーネントごとにグループ化され、CVE、関連参照、脆弱性の種類、重大度、コンポーネント (該当する場合)、更新された AOSP バージョン (該当する場合) などの詳細が含まれます。利用可能な場合は、問題に対処した公開変更をバグ ID (AOSP 変更リストなど) にリンクします。複数の変更が 1 つのバグに関連する場合、追加の参照はバグ ID に続く番号にリンクされます。
システム
このセクションの脆弱性により、悪意のあるローカル アプリケーションが特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。
| CVE | 参考文献 | タイプ | 重大度 | 更新された AOSP バージョン |
|---|---|---|---|---|
| CVE-2019-2023 | A-121035042 [ 2 ] [ 3 ] [ 4 ] [ 5 ] [ 6 ] [ 7 ] | EoP | 高い | 8.0、8.1、9 |
カーネルコンポーネント
このセクションの最も深刻な脆弱性により、ローカル攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。
| CVE | 参考文献 | タイプ | 重大度 | 成分 |
|---|---|---|---|---|
| CVE-2018-10883 | A-117311198 上流カーネル[ 2 ] | EoP | 高い | ext4 ファイルシステム |
| CVE-2019-2024 | A-111761954 上流カーネル | EoP | 高い | em28xx ドライバー |
| CVE-2019-2025 | A-116855682 上流カーネル | EoP | 高い | バインダードライバー |
クアルコムのコンポーネント
これらの脆弱性は Qualcomm コンポーネントに影響し、適切な Qualcomm セキュリティ情報またはセキュリティ アラートで詳細が説明されています。これらの問題の重大度評価は、クアルコムによって直接提供されます。
| CVE | 参考文献 | タイプ | 重大度 | 成分 |
|---|---|---|---|---|
| CVE-2017-8252 | A-112277630 QC-CR#2106159 | 該当なし | 致命的 | エコシステム |
| CVE-2017-8252 | A-114041175 QC-CR#2128529 | 該当なし | 致命的 | エコシステム |
| CVE-2018-11817 | A-114041192 QC-CR#2241830 | 該当なし | 致命的 | DSP_サービス |
| CVE-2018-11817 | A-114041747 QC-CR#2166542 | 該当なし | 致命的 | DSP_サービス |
| CVE-2018-13899 | A-119053086 QC-CR#2295915 [ 2 ] | 該当なし | 高い | ビデオ |
| CVE-2018-13917 | A-120487091 QC-CR#2251019 | 該当なし | 高い | WIN NSS ホスト |
クアルコムのクローズドソース コンポーネント
これらの脆弱性は Qualcomm コンポーネントに影響し、適切な Qualcomm セキュリティ情報またはセキュリティ アラートで詳細が説明されています。これらの問題の重大度評価は、クアルコムによって直接提供されます。
| CVE | 参考文献 | タイプ | 重大度 | 成分 |
|---|---|---|---|---|
| CVE-2017-8252 | A-79419898 * | 該当なし | 致命的 | クローズドソースコンポーネント |
| CVE-2017-8252 | A-79420414 * | 該当なし | 致命的 | クローズドソースコンポーネント |
| CVE-2017-8252 | A-112279542 * | 該当なし | 致命的 | クローズドソースコンポーネント |
| CVE-2018-11958 | A-114042786 * | 該当なし | 致命的 | クローズドソースコンポーネント |
| CVE-2018-11966 | A-114042484 * | 該当なし | 高い | クローズドソースコンポーネント |
| CVE-2018-11970 | A-114042111 * | 該当なし | 高い | クローズドソースコンポーネント |
| CVE-2018-11971 | A-114042829 * | 該当なし | 高い | クローズドソースコンポーネント |
| CVE-2018-13918 | A-120486115 * | 該当なし | 高い | クローズドソースコンポーネント |
よくある質問と回答
このセクションでは、このセキュリティ情報を読んだ後に発生する可能性のある一般的な質問に答えます。
1. これらの問題に対処するためにデバイスが更新されているかどうかを確認するにはどうすればよいですか?
デバイスのセキュリティ パッチ レベルを確認する方法については、 「 Android バージョンを確認して更新する 」を参照してください。
- セキュリティ パッチ レベル 2019-03-01 以降では、セキュリティ パッチ レベル 2019-03-01 に関連するすべての問題が解決されます。
- 2019-03-05 以降のセキュリティ パッチ レベルは、2019-03-05 のセキュリティ パッチ レベルおよび以前のすべてのパッチ レベルに関連するすべての問題に対処します。
これらのアップデートを組み込むデバイス メーカーは、パッチ文字列レベルを次のように設定する必要があります。
- [ro.build.version.security_patch]:[2019-03-01]
- [ro.build.version.security_patch]:[2019-03-05]
2. このセキュリティ情報には 2 つのセキュリティ パッチ レベルがあるのはなぜですか?
このセキュリティ情報には 2 つのセキュリティ パッチ レベルがあり、Android パートナーはすべての Android デバイスで同様の脆弱性のサブセットをより迅速に修正できる柔軟性を備えています。 Android パートナーは、このセキュリティ情報にあるすべての問題を修正し、最新のセキュリティ パッチ レベルを使用することをお勧めします。
- 2019-03-01 のセキュリティ パッチ レベルを使用するデバイスには、そのセキュリティ パッチ レベルに関連するすべての問題と、以前のセキュリティ情報で報告されたすべての問題の修正が含まれている必要があります。
- 2019-03-05 以降のセキュリティ パッチ レベルを使用するデバイスには、この (および以前の) セキュリティ情報に該当するすべてのパッチが含まれている必要があります。
パートナーは、対処しているすべての問題の修正を 1 つのアップデートにバンドルすることをお勧めします。
3. [タイプ] 列のエントリは何を意味しますか?
脆弱性の詳細テーブルの「タイプ」列のエントリは、セキュリティ脆弱性の分類を参照します。
| 略語 | 意味 |
|---|---|
| RCE | リモートコード実行 |
| EoP | 特権の昇格 |
| ID | 情報開示 |
| DoS | サービス拒否 |
| 該当なし | 分類は利用できません |
4. [参考文献] 列のエントリは何を意味しますか?
脆弱性の詳細表の「参照」列の下のエントリには、参照値が属する組織を識別するプレフィックスが含まれる場合があります。
| プレフィックス | 参照 |
|---|---|
| あ- | Android のバグ ID |
| 品質管理- | クアルコム参照番号 |
| M- | MediaTek 参照番号 |
| N- | NVIDIA 参照番号 |
| B- | Broadcom 参照番号 |
5. [参照]列の Android バグ ID の横にある * は何を意味しますか?
一般に公開されていない問題には、 「参考」列の Android バグ ID の横に * が付いています。この問題のアップデートは通常、 Google デベロッパー サイトから入手できる Pixel デバイス用の最新バイナリ ドライバーに含まれています。
6. セキュリティの脆弱性がこの情報と、Pixel 情報などのデバイス/パートナーのセキュリティ情報に分かれているのはなぜですか?
このセキュリティ情報に記載されているセキュリティの脆弱性は、Android デバイスで最新のセキュリティ パッチ レベルを宣言する必要があります。デバイス/パートナーのセキュリティ情報に文書化されている追加のセキュリティ脆弱性は、セキュリティ パッチ レベルを宣言するために必要ありません。 Android デバイスおよびチップセットのメーカーは、自社のセキュリティ Web サイト ( Samsung 、 LGE 、 Pixelの更新情報など) を通じて、デバイス上の他の修正プログラムの存在を文書化することをお勧めします。
バージョン
| バージョン | 日付 | ノート |
|---|---|---|
| 1.0 | 2019年3月4日 | 会報発行 |
| 1.1 | 2019年3月5日 | AOSP リンクを含めるように速報が改訂されました。 |