نشرة أمان Android لشهر أيلول (سبتمبر) 2019

تاريخ النشر: 3 أيلول (سبتمبر) 2019 | تاريخ التعديل: 5 أيلول (سبتمبر) 2019

يحتوي نشرة أمان Android على تفاصيل حول ثغرات الأمان التي تؤثر في أجهزة Android. تعالج مستويات تصحيحات الأمان بتاريخ 05‏/09‏/2019 أو الإصدارات الأحدث جميع هذه المشاكل. لمعرفة كيفية التحقّق من مستوى تحديث الأمان على الجهاز، اطّلِع على مقالة التحقّق من إصدار Android على جهازك وتحديثه.

يتم إشعار شركاء Android بجميع المشاكل قبل شهر واحد على الأقل من نشرها. تم إصدار تصحيحات الرموز المصدر لهذه المشاكل في مستودع "المشروع المفتوح المصدر لنظام Android" ‏ (AOSP) ويمكن الوصول إليها من خلال هذا الإشعار. تتضمّن هذه النشرة أيضًا روابط إلى تصحيحات خارج إطار AOSP.

إنّ أخطر هذه المشاكل هي ثغرة أمنية خطيرة في ملف "إطار عمل الوسائط"، والتي يمكن أن تتيح لمهاجم عن بُعد استخدام ملف تم إنشاؤه خصيصًا لتنفيذ رمز برمجي عشوائي في سياق عملية مميّزة. يستند تقييم الخطورة إلى التأثير الذي قد يحدثه استغلال الثغرة الأمنية في الجهاز المتأثّر، بافتراض إيقاف تدابير التخفيف في النظام الأساسي والخدمة لأغراض التطوير أو في حال تجاوزها بنجاح.

لم نتلقّ أي تقارير عن استغلال العملاء أو إساءة استخدامهم لهذه المشاكل التي تم الإبلاغ عنها مؤخرًا. يُرجى الرجوع إلى قسم إجراءات التخفيف في Android و"Google Play للحماية" لمعرفة تفاصيل عن وسائل حماية منصة أمان Android و"Google Play للحماية" التي تحسِّن من أمان منصة Android.

إجراءات التخفيف في Android وخدمات Google

في ما يلي ملخّص للإجراءات الوقائية التي يوفّرها نظام أمان Android وخدمات الحماية، مثل Google Play للحماية. تقلل هذه الإمكانات من احتمالية استغلال ثغرات الأمان بنجاح على Android.

  • تم تحسين الإصدارات الأحدث من نظام Android لمنع استغلال العديد من المشاكل على هذا النظام. وننصحك بالتحديث إلى أحدث إصدار من Android كلما أمكن ذلك.
  • يرصد فريق أمان Android بشكل نشط حالات إساءة الاستخدام من خلال Google Play لحماية، ويحذّر المستخدمين من التطبيقات التي قد تتسبّب بضرر. تكون خدمات "Google Play للحماية" مفعّلة تلقائيًا على الأجهزة التي تعمل باستخدام خدمات Google للأجهزة الجوّالة، وهي مهمة بشكل خاص للمستخدمين الذين يثبتون التطبيقات من خارج "Google Play".

تفاصيل ثغرة الأمان في مستوى رمز تصحيح الأمان بتاريخ 01‏/09‏/2019

في الأقسام أدناه، نقدّم تفاصيل عن كل من نقاط الضعف في الأمان التي تنطبق على مستوى التصحيح في 1 أيلول (سبتمبر) 2019. يتم تجميع نقاط الضعف ضمن المكوّن الذي تؤثر فيه. يتم وصف المشاكل في الجداول التالية، ويشمل ذلك معرّف CVE والمراجع المرتبطة، ونوع الثغرة الأمنية، ومستوى خطورتها، وإصدارات AOSP المعدَّلة (إن أمكن). نربط بين التغيير العلني الذي تم إجراؤه لحلّ المشكلة ورقم تعريف الخطأ، مثل قائمة التغييرات في AOSP، إذا كان ذلك متاحًا. عندما تتعلّق تغييرات متعدّدة بخلل واحد، يتم ربط مراجع إضافية بأرقام تالية لرقم تعريف الخلل.

إطار العمل

يمكن أن تسمح الثغرة الأمنية الأكثر خطورة في هذا القسم لتطبيق محلي ضار بتنفيذ رمز عشوائي في سياق عملية مفوَّضة.

CVE المراجع النوع درجة الخطورة إصدارات AOSP المعدَّلة
CVE-2019-2123 A-34175893 [2] [3] [4] EoP عالية 7.1.1 و7.1.2 و8.0 و8.1 و9
CVE-2019-2174 A-132927376 EoP عالية 7.1.1 و7.1.2 و8.0 و8.1 و9
CVE-2019-2175 A-135551349 EoP عالية 9
CVE-2019-9254 A-130164289 EoP عالية 10
CVE-2019-2103 A-120610669 [2] رقم التعريف عالية 9

إطار عمل الوسائط

يمكن أن تسمح الثغرة الأمنية الأكثر خطورة في هذا القسم لمهاجم عن بُعد باستخدام ملف مصمّم خصيصًا لتنفيذ رمز برمجي عشوائي في سياق عملية مميّزة.

CVE المراجع النوع درجة الخطورة إصدارات AOSP المعدَّلة
CVE-2019-2176 A-134420911 RCE حرِج 8.0 و8.1 و9
CVE-2019-2108 A-130025324 RCE حرِج 10

النظام

يمكن أن تسمح الثغرة الأمنية الأكثر خطورة في هذا القسم لمهاجم عن بُعد باستخدام عملية إرسال مصمّمة خصيصًا بتنفيذ رمز عشوائي في سياق عملية مميّزة.

CVE المراجع النوع درجة الخطورة إصدارات AOSP المعدَّلة
CVE-2019-2177 A-132456322 RCE عالية 7.1.1 و7.1.2 و8.0 و8.1 و9
CVE-2019-2115 A-129768470 [2] EoP عالية 7.1.1 و7.1.2 و8.0 و8.1 و9
CVE-2019-2178 A-124462242 EoP عالية 7.1.1 و7.1.2 و8.0 و8.1 و9
CVE-2019-2179 A-126200054 رقم التعريف عالية 7.1.1 و7.1.2 و8.0 و8.1 و9
CVE-2019-2180 A-110899492 رقم التعريف عالية 8.0 و8.1 و9
CVE-2019-2124 A-127320867 [2] [3] رقم التعريف عالية 7.1.1 و7.1.2 و8.0 و8.1 و9

تفاصيل ثغرة الأمان في مستوى رمز تصحيح الأمان بتاريخ 05‏/09‏/2019

في الأقسام أدناه، نقدّم تفاصيل عن كل من نقاط الضعف في الأمان التي تنطبق على مستوى التصحيح في 05‏-09‏-2019. يتم تجميع الثغرات الأمنية ضمن المكوّن الذي تؤثر فيه، وتشمل تفاصيل مثل CVE والمراجع المرتبطة ونوع الثغرة الأمنية وخطورتها والمكوّن (حيثما ينطبق ذلك) وإصدارات AOSP المعدَّلة (حيثما ينطبق ذلك). ونربط التغيير العلني الذي تم من خلاله حلّ المشكلة بمعرّف الخطأ، مثل قائمة التغييرات في AOSP، متى كان ذلك ممكنًا. عندما تكون هناك تغييرات متعدّدة مرتبطة بخطأ واحد، يتم ربط المراجع الإضافية بالأرقام التي تتبع معرّف الخطأ.

مكوّنات النواة

يمكن أن تسمح الثغرة الأمنية الأكثر خطورة في هذا القسم لتطبيق محلي ضار بتنفيذ رمز عشوائي في سياق عملية مفوَّضة.

CVE المراجع النوع درجة الخطورة المكوّن
CVE-2018-20669 A-135368228* EoP عالية برنامج تشغيل i915
CVE-2019-2181 A-130571081
النواة الأساسية		 EoP عالية برنامج تشغيل وحدات التنظيم

مكونات NVIDIA

يمكن أن تسمح الثغرة الأمنية الأكثر خطورة في هذا القسم لتطبيق محلي ضار بتنفيذ رمز عشوائي في سياق عملية مفوَّضة.

CVE المراجع النوع درجة الخطورة المكوّن
CVE-2018-6240 A-72315181* EoP عالية BootROM
CVE-2018-6240 A-110169243* EoP عالية BootROM
CVE-2017-5715 A-73294344* رقم التعريف عالية البرامج الثابتة الموثوق بها من ARM

مكونات Qualcomm

تؤثر هذه الثغرات الأمنية في مكونات Qualcomm، وهي موضّحة بالتفصيل في بلاغ الأمان أو تنبيه الأمان المناسبَين من Qualcomm. تقدّم شركة Qualcomm مباشرةً تقييمًا لشدة هذه المشاكل.

CVE المراجع النوع درجة الخطورة المكوّن
CVE-2017-17768 A-67748905
QC-CR#2127172		 لا ينطبق عالية برنامج إقلاع LK
CVE-2019-2283 A-127513124
QC-CR#2355425		 لا ينطبق عالية فرقعة
CVE-2019-2316 A-129848922
QC-CR#2358397		 لا ينطبق عالية HLOS
CVE-2019-10491 A-132171785
QC-CR#2380709 [2]		 لا ينطبق عالية الصوت
CVE-2019-10505 A-123533258
QC-CR#2231755		 لا ينطبق عالية مضيف شبكة WLAN
CVE-2019-10505 A-132171579
QC-CR#2246426		 لا ينطبق عالية مضيف شبكة WLAN
CVE-2019-2323 A-132173424
QC-CR#2370589		 لا ينطبق عالية HLOS
CVE-2019-2324 A-132173296
QC-CR#2372292		 لا ينطبق عالية الصوت
CVE-2019-2325 A-132171784
QC-CR#2372302 [2]		 لا ينطبق عالية الصوت
CVE-2019-2331 A-132172905
QC-CR#2380697 [2]		 لا ينطبق عالية الصوت
CVE-2019-2332 A-132171963
QC-CR#2380699 [2]		 لا ينطبق عالية الصوت
CVE-2019-10512 A-134439528
QC-CR#2380702 [2]		 لا ينطبق عالية الصوت
CVE-2019-10515 A-134440011
QC-CR#2366038 [2]		 لا ينطبق عالية فرقعة
CVE-2019-10524 A-134440735
QC-CR#2422233 [2] [3]		 لا ينطبق عالية برنامج تشغيل الكاميرا
CVE-2019-10529 A-134439992
QC-CR#2442261		 لا ينطبق عالية برنامج تشغيل الرسومات
CVE-2019-10531 A-134441415
QC-CR#2402890 [2]		 لا ينطبق عالية فرقعة
CVE-2018-11891 A-134440013
QC-CR#2288859		 لا ينطبق عالية مضيف شبكة WLAN

مكونات المغلقة المصدر من Qualcomm

تؤثر هذه الثغرات الأمنية في مكوّنات Qualcomm ذات المصدر المغلق، ويتم وصفها بالتفصيل في نشرة الأمان أو تنبيه الأمان المناسبَين من Qualcomm. يتم تقديم تقييم شدة هذه المشاكل مباشرةً من قِبل Qualcomm.

CVE المراجع النوع درجة الخطورة المكوّن
CVE-2019-2258 A-123998354* لا ينطبق حرِج مكوّن مغلق المصدر
CVE-2019-10533 A-134437210* لا ينطبق حرِج مكوّن مغلق المصدر
CVE-2019-2275 A-127347579* لا ينطبق عالية مكوّن مغلق المصدر
CVE-2019-2246 A-127347339* لا ينطبق عالية مكوّن مغلق المصدر
CVE-2019-10488 A-132108617* لا ينطبق عالية مكوّن مغلق المصدر
CVE-2019-10495 A-132108855* لا ينطبق عالية مكوّن مغلق المصدر
CVE-2019-10496 A-132108737* لا ينطبق عالية مكوّن مغلق المصدر
CVE-2019-2249 A-132108854* لا ينطبق عالية مكوّن مغلق المصدر
CVE-2019-2285 A-132109149* لا ينطبق عالية مكوّن مغلق المصدر
CVE-2019-10504 A-134437132* لا ينطبق عالية مكوّن مغلق المصدر
CVE-2019-10504 A-134437173* لا ينطبق عالية مكوّن مغلق المصدر
CVE-2019-10522 A-134437134* لا ينطبق عالية مكوّن مغلق المصدر
CVE-2019-10534 A-134437379* لا ينطبق عالية مكوّن مغلق المصدر
CVE-2019-10541 A-134437115* لا ينطبق عالية مكوّن مغلق المصدر

الأسئلة الشائعة والأجوبة عنها

يجيب هذا القسم عن الأسئلة الشائعة التي قد تخطر لك بعد قراءة هذا الإشعار.

1. كيف يمكنني معرفة ما إذا كان جهازي محدّثًا لحلّ هذه المشاكل؟

لمعرفة كيفية التحقّق من مستوى تحديث الأمان على الجهاز، اطّلِع على مقالة التحقّق من إصدار Android على جهازك وتحديثه.

  • تعالج مستويات تصحيحات الأمان بتاريخ 1 أيلول (سبتمبر) 2019 أو الإصدارات الأحدث جميع المشاكل المرتبطة بمستوى تصحيح الأمان بتاريخ 1 أيلول (سبتمبر) 2019.
  • تعالج مستويات تصحيحات الأمان بتاريخ 05‏/09‏/2019 أو الإصدارات الأحدث جميع المشاكل المرتبطة بمستوى تصحيح الأمان بتاريخ 05‏/09‏/2019 وجميع مستويات التصحيحات السابقة.

على الشركات المصنّعة للأجهزة التي تتضمّن هذه التعديلات ضبط مستوى سلسلة التصحيح على:

  • [ro.build.version.security_patch]:[2019-09-01]
  • [ro.build.version.security_patch]:[2019-09-05]

2. لماذا تتضمّن هذه النشرة الإخبارية مستويَين من تصحيحات الأمان؟

تتضمّن هذه النشرة إشعارَين بمستوى تصحيح الأمان ليتمكّن شركاء Android من تعديل مجموعة فرعية من الثغرات الأمنية المشابهة على جميع أجهزة Android بشكل أسرع. ننصح شركاء Android بحلّ جميع المشاكل المذكورة في هذه النشرة واستخدام أحدث مستوى من تصحيحات الأمان.

  • يجب أن تتضمّن الأجهزة التي تستخدم مستوى تصحيح الأمان في 1 أيلول (سبتمبر) 2019 جميع المشاكل المرتبطة بهذا المستوى، بالإضافة إلى إصلاحات لجميع المشاكل التي تم الإبلاغ عنها في نشرات الأمان السابقة.
  • يجب أن تتضمّن الأجهزة التي تستخدم مستوى تصحيح الأمان في 05‏/09‏/2019 أو إصدارًا أحدث جميع التصحيحات السارية في نشرات الأمان هذه (والسابقة).

ننصح الشركاء بتجميع الإصلاحات لجميع المشاكل التي يعالجونها في تحديث واحد.

3. ما معنى الإدخالات في عمود النوع؟

تشير الإدخالات في عمود النوع من جدول تفاصيل الثغرة الأمنية إلى تصنيف الثغرة الأمنية.

الاختصار التعريف
RCE تنفيذ الرمز البرمجي عن بُعد
EoP تجاوز الأذونات
رقم التعريف الإفصاح عن المعلومات
DoS حجب الخدمة
لا ينطبق التصنيف غير متاح

‫4. ما المقصود بالإدخالات في عمود المراجع؟

قد تحتوي الإدخالات ضمن عمود المراجع في جدول تفاصيل الثغرة على بادئة تحدِّد المؤسسة التي تنتمي إليها قيمة المراجع.

بادئة مَراجع
A-‎ رقم تعريف الخطأ في Android
QC- الرقم المرجعي لشركة Qualcomm
M- الرقم المرجعي لشركة MediaTek
‫N-‎ الرقم المرجعي لشركة NVIDIA
B-‎ الرقم المرجعي لشركة Broadcom

‫5. ما المقصود بعلامة * بجانب رقم تعريف الخطأ في Android في عمود المراجع؟

تظهر علامة * بجانب رقم تعريف الخطأ في Android في عمود المراجع إذا كانت المشاكل غير متاحة للجميع. يتضمّن تحديث هذه المشكلة بشكل عام أحدث برامج تشغيل ثنائية لأجهزة Pixel المتوفّرة من موقع "مطوّرو تطبيقات Google" الإلكتروني.

‫6. لماذا يتم تقسيم الثغرات الأمنية بين هذه النشرة الإخبارية ورسائل

يجب الإفصاح عن مستوى رمز تصحيح الأمان الأحدث على أجهزة Android للثغرات الأمنية الموثَّقة في نشرة الأمان هذه. لا يُشترط تحديد مستوى تصحيح الأمان عند الإبلاغ عن ثغرات أمان إضافية تم توثيقها في نشرات أمان الأجهزة / الشركاء. قد ينشر أيضًا مصنعو أجهزة Android وشرائح المعالجة تفاصيل عن ثغرات الأمان الخاصة بمنتجاتهم، مثل Google وHuawei وLGE وMotorola وNokia أو Samsung.

الإصدارات

الإصدار التاريخ الملاحظات
1 3 أيلول (سبتمبر) 2019 تم نشر النشرة
1.1 5 أيلول (سبتمبر) 2019 تم تعديل النشرة لتضمين روابط AOSP