Android のセキュリティに関する公開情報 - 2019 年 7 月

2019 年 7 月 1 日公開 | 2019年7月2日更新

Android セキュリティ情報には、Android デバイスに影響を与えるセキュリティ脆弱性の詳細が含まれています。セキュリティ パッチ レベル 2019-07-05 以降では、これらすべての問題に対処します。デバイスのセキュリティ パッチ レベルを確認する方法については、 「 Android バージョンを確認して更新する 」を参照してください。

Android パートナーには、公開の少なくとも 1 か月前にすべての問題が通知されます。これらの問題に対するソース コード パッチは Android オープン ソース プロジェクト (AOSP) リポジトリにリリースされており、この公開情報からリンクされています。この公開情報には、AOSP 以外のパッチへのリンクも含まれています。

これらの問題のうち最も深刻なものは、メディア フレームワークの重大なセキュリティ脆弱性であり、リモート攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。重大度の評価は、プラットフォームとサービスの緩和策が開発目的で無効になっている場合、または回避に成功した場合を想定して、脆弱性の悪用が影響を受けるデバイスに与える可能性のある影響に基づいています。

新たに報告されたこれらの問題について、顧客による積極的な悪用や悪用の報告はありません。 Android プラットフォームのセキュリティを向上させるAndroid セキュリティ プラットフォーム保護と Google Play プロテクトの詳細については、 「Android および Google Play プロテクトの軽減策」セクションを参照してください。

Android および Google サービスの軽減策

これは、Android セキュリティ プラットフォームとGoogle Play プロテクトなどのサービス保護によって提供される緩和策の概要です。これらの機能により、Android でセキュリティの脆弱性が悪用される可能性が低くなります。

  • Android プラットフォームの新しいバージョンの機能強化により、Android 上の多くの問題の悪用はさらに困難になっています。すべてのユーザーに、可能な限り Android の最新バージョンに更新することをお勧めします。
  • Android セキュリティ チームは、 Google Play プロテクトを通じて悪用を積極的に監視し、有害な可能性のあるアプリケーションについてユーザーに警告します。 Google Play プロテクトは、 Google モバイル サービスを備えたデバイスではデフォルトで有効になっており、Google Play 以外からアプリをインストールするユーザーにとって特に重要です。

2019-07-01 セキュリティ パッチ レベルの脆弱性の詳細

以下のセクションでは、2019-07-01 パッチ レベルに適用される各セキュリティ脆弱性の詳細を説明します。脆弱性は、影響を受けるコンポーネントの下にグループ化されます。問題の説明と、CVE、関連参照、脆弱性の種類、重大度、更新された AOSP バージョン (該当する場合) の表が記載されています。利用可能な場合は、問題に対処した公開変更をバグ ID (AOSP 変更リストなど) にリンクします。複数の変更が 1 つのバグに関連する場合、追加の参照はバグ ID に続く番号にリンクされます。

フレームワーク

このセクションの脆弱性により、悪意のあるローカル アプリケーションが追加の権限にアクセスするためにユーザーの操作要件を回避できる可能性があります。

CVE参考文献タイプ重大度更新された AOSP バージョン
CVE-2019-2104 A-131356202 [ 2 ] [ 3 ] [ 4 ] [ 5 ] [ 6 ] [ 7 ] ID高い8.0、8.1、9

図書館

このセクションの脆弱性により、リモート攻撃者が特別に細工したファイルを使用して、特権のないプロセスのコンテキスト内で任意のコードを実行できる可能性があります。

CVE参考文献タイプ重大度更新された AOSP バージョン
CVE-2019-2105 A-116114182 RCE高い7.0、7.1.1、7.1.2、8.0、8.1、9

メディアフレームワーク

このセクションの最も深刻な脆弱性により、リモート攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。

CVE参考文献タイプ重大度更新された AOSP バージョン
CVE-2019-2106 A-130023983 RCE致命的7.0、7.1.1、7.1.2、8.0、8.1、9
CVE-2019-2107 A-130024844 RCE致命的7.0、7.1.1、7.1.2、8.0、8.1、9
CVE-2019-2109 A-130651570 * RCE致命的7.0、7.1.1、7.1.2、8.0、8.1

システム

このセクションの最も深刻な脆弱性により、リモート攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。

CVE参考文献タイプ重大度更新された AOSP バージョン
CVE-2019-2111 A-122856181 [ 2 ] RCE致命的9
CVE-2019-2112 A-117997080 EoP高い8.0、8.1、9
CVE-2019-2113 A-122597079 * EoP高い9
CVE-2019-2116 A-117105007 ID高い7.0、7.1.1、7.1.2、8.0、8.1、9
CVE-2019-2117 A-124107808 ID高い7.0、7.1.1、7.1.2、8.0、8.1、9
CVE-2019-2118 A-130161842 ID高い8.0、8.1、9
CVE-2019-2119 A-131622568 ID高い8.0、8.1、9

2019-07-05 セキュリティ パッチ レベルの脆弱性の詳細

以下のセクションでは、2019-07-05 パッチ レベルに適用される各セキュリティ脆弱性の詳細を説明します。脆弱性は影響を受けるコンポーネントごとにグループ化され、CVE、関連参照、脆弱性の種類、重大度、コンポーネント (該当する場合)、更新された AOSP バージョン (該当する場合) などの詳細が含まれます。利用可能な場合は、問題に対処した公開変更をバグ ID (AOSP 変更リストなど) にリンクします。複数の変更が 1 つのバグに関連する場合、追加の参照はバグ ID に続く番号にリンクされます。

クアルコムのコンポーネント

これらの脆弱性は Qualcomm コンポーネントに影響し、適切な Qualcomm セキュリティ情報またはセキュリティ アラートで詳細が説明されています。これらの問題の重大度評価は、クアルコムによって直接提供されます。

CVE参考文献タイプ重大度成分
CVE-2019-2308 A-129852114
QC-CR#2338800		該当なし致命的DSP_サービス
CVE-2019-2330 A-129850940
QC-CR#2379952		該当なし致命的カーネル
CVE-2019-2276 A-130890737
QC-CR#2335974		該当なし高い無線LANホスト
CVE-2019-2305 A-78530292
QC-CR#2253984		該当なし高い無線LANドライバー
CVE-2019-2278 A-130567114
QC-CR#2345293		該当なし高いHLOS
CVE-2019-2307 A-129850941
QC-CR#2337425		該当なし高い無線LANホスト
CVE-2019-2326 A-129850483
QC-CR#2372306 [ 2 ]		該当なし高いオーディオ
CVE-2019-2328 A-129851238
QC-CR#2375115 [ 2 ]		該当なし高いオーディオ

クアルコムのクローズドソース コンポーネント

これらの脆弱性は Qualcomm のクローズド ソース コンポーネントに影響し、適切な Qualcomm セキュリティ情報またはセキュリティ アラートで詳細に説明されています。これらの問題の重大度評価は、クアルコムによって直接提供されます。

CVE参考文献タイプ重大度成分
CVE-2019-2254 A-122473972 *該当なし致命的クローズドソースコンポーネント
CVE-2019-2322 A-129766496 *該当なし致命的クローズドソースコンポーネント
CVE-2019-2327 A-129766125 *該当なし致命的クローズドソースコンポーネント
CVE-2019-2235 A-122473271 *該当なし高いクローズドソースコンポーネント
CVE-2019-2236 A-122474808 *該当なし高いクローズドソースコンポーネント
CVE-2019-2237 A-122472479 *該当なし高いクローズドソースコンポーネント
CVE-2019-2238 A-122473168 *該当なし高いクローズドソースコンポーネント
CVE-2019-2239 A-122473304 *該当なし高いクローズドソースコンポーネント
CVE-2019-2240 A-122473496 *該当なし高いクローズドソースコンポーネント
CVE-2019-2241 A-122473989 *該当なし高いクローズドソースコンポーネント
CVE-2019-2253 A-129766432 *該当なし高いクローズドソースコンポーネント
CVE-2019-2334 A-129766099 *該当なし高いクローズドソースコンポーネント
CVE-2019-2346 A-129766299 *該当なし高いクローズドソースコンポーネント

よくある質問と回答

このセクションでは、このセキュリティ情報を読んだ後に発生する可能性のある一般的な質問に答えます。

1. これらの問題に対処するためにデバイスが更新されているかどうかを確認するにはどうすればよいですか?

デバイスのセキュリティ パッチ レベルを確認する方法については、 「 Android バージョンを確認して更新する 」を参照してください。

  • セキュリティ パッチ レベル 2019-07-01 以降では、セキュリティ パッチ レベル 2019-07-01 に関連するすべての問題が解決されます。
  • 2019-07-05 以降のセキュリティ パッチ レベルは、2019-07-05 のセキュリティ パッチ レベルおよび以前のすべてのパッチ レベルに関連するすべての問題に対処します。

これらのアップデートを組み込むデバイス メーカーは、パッチ文字列レベルを次のように設定する必要があります。

  • [ro.build.version.security_patch]:[2019-07-01]
  • [ro.build.version.security_patch]:[2019-07-05]

2. このセキュリティ情報には 2 つのセキュリティ パッチ レベルがあるのはなぜですか?

このセキュリティ情報には 2 つのセキュリティ パッチ レベルがあり、Android パートナーはすべての Android デバイスで同様の脆弱性のサブセットをより迅速に修正できる柔軟性を備えています。 Android パートナーは、このセキュリティ情報にあるすべての問題を修正し、最新のセキュリティ パッチ レベルを使用することをお勧めします。

  • 2019-07-01 のセキュリティ パッチ レベルを使用するデバイスには、そのセキュリティ パッチ レベルに関連するすべての問題と、以前のセキュリティ情報で報告されたすべての問題の修正が含まれている必要があります。
  • 2019-07-05 以降のセキュリティ パッチ レベルを使用するデバイスには、この (および以前の) セキュリティ情報に該当するすべてのパッチが含まれている必要があります。

パートナーは、対処しているすべての問題の修正を 1 つのアップデートにバンドルすることをお勧めします。

3. [タイプ] 列のエントリは何を意味しますか?

脆弱性の詳細テーブルの「タイプ」列のエントリは、セキュリティ脆弱性の分類を参照します。

略語意味
RCEリモートコード実行
EoP特権の昇格
ID情報開示
DoSサービス拒否
該当なし分類は利用できません

4. [参考文献] 列のエントリは何を意味しますか?

脆弱性の詳細表の「参照」列の下のエントリには、参照値が属する組織を識別するプレフィックスが含まれる場合があります。

プレフィックス参照
あ- Android のバグ ID
品質管理-クアルコム参照番号
M- MediaTek 参照番号
N- NVIDIA 参照番号
B- Broadcom 参照番号

5. [参照]列の Android バグ ID の横にある * は何を意味しますか?

一般に公開されていない問題には、 [参考]列の Android バグ ID の横に * が付いています。この問題のアップデートは通常、 Google デベロッパー サイトから入手できる Pixel デバイス用の最新バイナリ ドライバーに含まれています。

6. セキュリティの脆弱性がこの情報と、Pixel 情報などのデバイス/パートナーのセキュリティ情報に分かれているのはなぜですか?

このセキュリティ情報に記載されているセキュリティの脆弱性は、Android デバイスで最新のセキュリティ パッチ レベルを宣言する必要があります。デバイス/パートナーのセキュリティ情報に文書化されている追加のセキュリティ脆弱性は、セキュリティ パッチ レベルを宣言するために必要ありません。 Android デバイスおよびチップセットのメーカーも、 Google 、 Huawei 、 LGE 、 Motorola 、 Nokia 、またはSamsungなどの製品に固有のセキュリティ脆弱性の詳細を公開する場合があります。

バージョン

バージョン日付ノート
1.0 2019年7月1日会報発行
1.1 2019年7月2日AOSP リンクを含めるように更新された速報