Opublikowano 2 marca 2020 | Zaktualizowano 9 marca 2020 r
Biuletyn bezpieczeństwa systemu Android zawiera szczegółowe informacje na temat luk w zabezpieczeniach urządzeń z systemem Android. Poprawki zabezpieczeń z wersji 2020-03-05 lub nowszej rozwiązują wszystkie te problemy. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, zobacz Sprawdzanie i aktualizowanie wersji Androida .
Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej na miesiąc przed publikacją. Poprawki kodu źródłowego rozwiązujące te problemy zostały udostępnione w repozytorium Android Open Source Project (AOSP), a linki do nich znajdują się w tym biuletynie. Biuletyn ten zawiera także łącza do poprawek spoza AOSP.
Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach środowiska multimedialnego, która może umożliwić osobie atakującej zdalnie przy użyciu specjalnie spreparowanego pliku wykonanie dowolnego kodu w kontekście uprzywilejowanego procesu. Ocena ważności opiera się na możliwym wpływie wykorzystania luki na urządzenie, którego dotyczy luka, przy założeniu, że zabezpieczenia platformy i usług zostaną wyłączone na potrzeby programowania lub jeśli uda się je obejść.
Szczegółowe informacje na temat zabezpieczeń platformy zabezpieczeń Androida i Google Play Protect , które poprawiają bezpieczeństwo platformy Android , można znaleźć w sekcji Środki zaradcze dotyczące systemów Android i Google Play Protect.
Ograniczenia dotyczące usług Android i Google
To jest podsumowanie środków zaradczych zapewnianych przez platformę bezpieczeństwa Androida i zabezpieczenia usług, takie jak Google Play Protect . Funkcje te zmniejszają prawdopodobieństwo skutecznego wykorzystania luk w zabezpieczeniach systemu Android.
- Eksploatację wielu problemów na Androidzie utrudniają ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników, jeśli to możliwe, do aktualizacji do najnowszej wersji Androida.
- Zespół ds. bezpieczeństwa Androida aktywnie monitoruje nadużycia za pośrednictwem Google Play Protect i ostrzega użytkowników przed potencjalnie szkodliwymi aplikacjami . Usługa Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google i jest szczególnie ważna dla użytkowników instalujących aplikacje spoza Google Play.
Szczegóły luki w zabezpieczeniach na poziomie poprawki zabezpieczeń 2020-03-01
W poniższych sekcjach podajemy szczegółowe informacje na temat każdej luki w zabezpieczeniach, która ma zastosowanie w wersji poprawki 2020-03-01. Luki są pogrupowane według komponentu, na który wpływają. Problemy opisano w tabelach poniżej i obejmują identyfikator CVE, powiązane odniesienia, typ luki , wagę i zaktualizowane wersje AOSP (w stosownych przypadkach). Jeśli jest to możliwe, łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. listą zmian AOSP. Gdy wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są powiązane z liczbami następującymi po identyfikatorze błędu. Urządzenia z Androidem 10 i nowszym mogą otrzymywać aktualizacje zabezpieczeń, a także aktualizacje systemu Google Play .
Struktura
Luka opisana w tej sekcji może umożliwić lokalnej złośliwej aplikacji ominięcie zabezpieczeń systemu operacyjnego, które izolują dane aplikacji od innych aplikacji.
| CVE | Bibliografia | Typ | Powaga | Zaktualizowane wersje AOSP |
|---|---|---|---|---|
| CVE-2020-0031 | A-141703197 [ 2 ] | ID | Wysoki | 10 |
Ramy medialne
Najpoważniejsza luka w tej sekcji może umożliwić osobie atakującej zdalnie przy użyciu specjalnie spreparowanego pliku wykonanie dowolnego kodu w kontekście uprzywilejowanego procesu.
| CVE | Bibliografia | Typ | Powaga | Zaktualizowane wersje AOSP |
|---|---|---|---|---|
| CVE-2020-0032 | A-145364230 | RCE | Krytyczny | 8,0, 8,1, 9, 10 |
| CVE-2020-0033 | A-144351324 | EoP | Wysoki | 8,0, 8,1, 9, 10 |
| CVE-2020-0034 | A-62458770 | ID | Wysoki | 8.0, 8.1 |
System
Najpoważniejsza luka w tej sekcji może umożliwić lokalnej złośliwej aplikacji ominięcie wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.
| CVE | Bibliografia | Typ | Powaga | Zaktualizowane wersje AOSP |
|---|---|---|---|---|
| CVE-2020-0036 | A-144679405 | EoP | Wysoki | 8,0, 8,1, 9, 10 |
| CVE-2020-0035 | A-140622024 | ID | Wysoki | 8,0, 8,1, 9 |
| CVE-2020-0029 | A-140065828 | ID | Wysoki | 10 |
| CVE-2020-0037 | A-143106535 | ID | Wysoki | 8,0, 8,1, 9, 10 |
| CVE-2020-0038 | A-143109193 | ID | Wysoki | 8,0, 8,1, 9, 10 |
| CVE-2020-0039 | A-143155861 | ID | Wysoki | 8,0, 8,1, 9, 10 |
Aktualizacje systemu Google Play
Następujący problem jest uwzględniony w składnikach programu Project Mainline .
| Część | CVE |
|---|---|
| Kodeki multimedialne | CVE-2020-0032 |
2020-03-05 Szczegóły luki w zabezpieczeniach na poziomie poprawki zabezpieczeń
W poniższych sekcjach podajemy szczegółowe informacje na temat każdej luki w zabezpieczeniach, która ma zastosowanie w wersji poprawki 2020-03-05. Luki są pogrupowane według komponentu, na który wpływają, i zawierają szczegółowe informacje, takie jak CVE, powiązane odniesienia, typ luki , istotność , komponent (w stosownych przypadkach) i zaktualizowane wersje AOSP (w stosownych przypadkach). Jeśli to możliwe, łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, takim jak lista zmian AOSP. Gdy wiele zmian dotyczy jednego błędu, dodatkowe odniesienia są powiązane z liczbami następującymi po identyfikatorze błędu.
Składniki jądra
Najpoważniejsza luka w tej sekcji może umożliwić lokalnemu atakującemu przy użyciu specjalnie spreparowanego urządzenia USB wykonanie dowolnego kodu w kontekście uprzywilejowanego procesu.
| CVE | Bibliografia | Typ | Powaga | Część |
|---|---|---|---|---|
| CVE-2019-19527 | A-146257915 Jądro nadrzędne [ 2 ] | EoP | Wysoki | USB |
| CVE-2019-19537 | A-146258055 Jądro nadrzędne | EoP | Wysoki | USB |
| CVE-2019-15239 | A-143009752 Jądro nadrzędne | EoP | Wysoki | Sieć |
| CVE-2020-0041 | A-145988638 Jądro nadrzędne | EoP | Wysoki | Spoiwo |
Komponenty FPC
Najpoważniejsza luka w tej sekcji może umożliwić lokalnej złośliwej aplikacji ominięcie wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.
| CVE | Bibliografia | Typ | Powaga | Część |
|---|---|---|---|---|
| CVE-2020-0010 | A-137014293 * | EoP | Wysoki | Koszulka FPC z odciskami palców |
| CVE-2020-0011 | A-137648045 * | EoP | Wysoki | Koszulka FPC z odciskami palców |
| CVE-2020-0012 | A-137648844 * | EoP | Wysoki | Koszulka FPC z odciskami palców |
| CVE-2020-0042 | A-137649599 * | ID | Umiarkowany | Koszulka FPC z odciskami palców |
| CVE-2020-0043 | A-137650218 * | ID | Umiarkowany | Koszulka FPC z odciskami palców |
| CVE-2020-0044 | A-137650219 * | ID | Umiarkowany | Koszulka FPC z odciskami palców |
Komponenty MediaTeka
| CVE | Bibliografia | Typ | Powaga | Część |
|---|---|---|---|---|
| CVE-2020-0069 | A-147882143 * M-ALPS04356754 | EoP | Wysoki | System |
Komponenty Qualcomma
Luki te dotyczą komponentów Qualcomm i są szczegółowo opisane w odpowiednim biuletynie bezpieczeństwa Qualcomm lub alercie bezpieczeństwa. Ocena wagi tych problemów jest przeprowadzana bezpośrednio przez firmę Qualcomm.
| CVE | Bibliografia | Typ | Powaga | Część |
|---|---|---|---|---|
| CVE-2019-14079 | A-138848422 QC-CR#2521001 | Nie dotyczy | Wysoki | USB |
| CVE-2018-11838 | A-145545090 QC-CR#221457 [ 2 ] | Nie dotyczy | Wysoki | WLAN |
| CVE-2019-10526 | A-145544085 QC-CR#2232526 QC-CR#2541970 | Nie dotyczy | Wysoki | WLAN |
| CVE-2019-10569 | A-145545820 QC-CR#2315791 | Nie dotyczy | Wysoki | Audio |
| CVE-2019-14029 | A-145546793 QC-CR#2528795 | Nie dotyczy | Wysoki | Grafika |
| CVE-2019-14032 | A-145546652 QC-CR#2537311 | Nie dotyczy | Wysoki | Audio |
| CVE-2019-14068 | A-145546435 QC-CR#2507653 [ 2 ] | Nie dotyczy | Wysoki | Audio |
| CVE-2019-14072 | A-145545251 QC-CR#2509391 | Nie dotyczy | Wysoki | Grafika |
Komponenty Qualcomm o zamkniętym kodzie źródłowym
Luki te dotyczą komponentów Qualcomm o zamkniętym kodzie źródłowym i są opisane bardziej szczegółowo w odpowiednim biuletynie bezpieczeństwa Qualcomm lub alercie bezpieczeństwa. Ocena wagi tych problemów jest przeprowadzana bezpośrednio przez firmę Qualcomm.
| CVE | Bibliografia | Typ | Powaga | Część |
|---|---|---|---|---|
| CVE-2019-2317 | A-134436812 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-10586 | A-140423909 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-10587 | A-140423816 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-10593 | A-140424165 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-10594 | A-140424564 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-10612 | A-140423161 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-14031 | A-142271912 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-14045 | A-140973418 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-14071 | A-145545489 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-14083 | A-140973259 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-14086 | A-140973417 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-14030 | A-145546515 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-14097 | A-145546003 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-14098 | A-145546314 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-10546 | A-145545250 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2019-14095 | A-142843397 * | Nie dotyczy | Krytyczny | Komponent o zamkniętym źródle |
| CVE-2018-11970 | A-114042111 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-10603 | A-140424074 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-10616 | A-140423338 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-10549 | A-140423162 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-10550 | A-140423702 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-10552 | A-140423817 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-10553 | A-140423081 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-10554 | A-140424012 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-10577 | A-140424166 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-14026 | A-142271986 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-14027 | A-142271756 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-14028 | A-142271831 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-2300 | A-142271659 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-2311 | A-142271967 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-14050 | A-143902706 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-14081 | A-143902882 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-14082 | A-140974589 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-14085 | A-143902807 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-14048 | A-145545282 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-14061 | A-145545758 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-10604 | A-145545725 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-10591 | A-145545283 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-14000 | A-145546434 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
| CVE-2019-14015 | A-145545650 * | Nie dotyczy | Wysoki | Komponent o zamkniętym źródle |
Często zadawane pytania i odpowiedzi
W tej sekcji znajdują się odpowiedzi na często zadawane pytania, które mogą pojawić się po przeczytaniu niniejszego biuletynu.
1. Jak sprawdzić, czy moje urządzenie zostało zaktualizowane w celu rozwiązania tych problemów?
Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, zobacz Sprawdzanie i aktualizowanie wersji Androida .
- Poziomy poprawek zabezpieczeń 2020-03-01 lub nowsze rozwiązują wszystkie problemy związane z poziomem poprawek zabezpieczeń 2020-03-01.
- Poziomy poprawek zabezpieczeń z dnia 2020-03-05 lub nowsze rozwiązują wszystkie problemy związane z poziomem poprawek zabezpieczeń z dnia 2020-03-05 i wszystkimi poprzednimi poziomami poprawek.
Producenci urządzeń, którzy zawierają te aktualizacje, powinni ustawić poziom ciągu poprawek na:
- [ro.build.version.security_patch]:[2020-03-01]
- [ro.build.version.security_patch]:[2020-03-05]
W przypadku niektórych urządzeń z systemem Android 10 lub nowszym aktualizacja systemu Google Play będzie zawierać ciąg daty zgodny z poziomem poprawki zabezpieczeń z dnia 2020-03-01. Więcej informacji na temat instalowania aktualizacji zabezpieczeń można znaleźć w tym artykule .
2. Dlaczego ten biuletyn ma dwa poziomy poprawek zabezpieczeń?
W tym biuletynie dostępne są dwa poziomy poprawek zabezpieczeń, dzięki czemu partnerzy systemu Android mogą szybciej naprawić podzbiór luk w zabezpieczeniach, które są podobne na wszystkich urządzeniach z systemem Android. Zachęcamy partnerów korzystających z systemu Android do naprawienia wszystkich problemów opisanych w tym biuletynie i korzystania z najnowszego poziomu poprawek zabezpieczeń.
- Urządzenia korzystające z poprawki zabezpieczeń na poziomie 2020-03-01 muszą zawierać wszystkie problemy związane z tym poziomem poprawki zabezpieczeń, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach zabezpieczeń.
- Urządzenia korzystające z poprawki zabezpieczeń na poziomie 2020-03-05 lub nowszym muszą zawierać wszystkie odpowiednie poprawki zawarte w tym (i poprzednich) biuletynach zabezpieczeń.
Zachęcamy partnerów do grupowania poprawek wszystkich problemów, które rozwiązują, w ramach jednej aktualizacji.
3. Co oznaczają wpisy w kolumnie Typ ?
Wpisy w kolumnie Typ tabeli szczegółów luki odnoszą się do klasyfikacji luki w zabezpieczeniach.
| Skrót | Definicja |
|---|---|
| RCE | Zdalne wykonanie kodu |
| EoP | Podniesienie przywilejów |
| ID | Ujawnianie informacji |
| DoS | Odmowa usługi |
| Nie dotyczy | Klasyfikacja niedostępna |
4. Co oznaczają wpisy w kolumnie Referencje ?
Wpisy w kolumnie Referencje tabeli szczegółów podatności mogą zawierać przedrostek identyfikujący organizację, do której należy wartość referencyjna.
| Prefiks | Odniesienie |
|---|---|
| A- | Identyfikator błędu Androida |
| Kontrola jakości- | Numer referencyjny Qualcomma |
| M- | Numer referencyjny MediaTeka |
| N- | Numer referencyjny NVIDIA |
| B- | Numer referencyjny firmy Broadcom |
5. Co oznacza * obok identyfikatora błędu Androida w kolumnie Referencje ?
Problemy, które nie są publicznie dostępne, są oznaczone * obok identyfikatora błędu Androida w kolumnie Referencje . Aktualizacja rozwiązująca ten problem jest zazwyczaj zawarta w najnowszych sterownikach binarnych dla urządzeń Pixel dostępnych w witrynie Google Developer .
6. Dlaczego luki w zabezpieczeniach są podzielone pomiędzy ten biuletyn i biuletyny dotyczące bezpieczeństwa urządzeń/partnerów, takie jak biuletyn Pixel?
Luki w zabezpieczeniach udokumentowane w tym biuletynie zabezpieczeń są wymagane do zadeklarowania najnowszego poziomu poprawek zabezpieczeń na urządzeniach z systemem Android. Dodatkowe luki w zabezpieczeniach udokumentowane w biuletynach bezpieczeństwa urządzenia/partnera nie są wymagane do zadeklarowania poziomu poprawki zabezpieczeń. Producenci urządzeń i chipsetów z Androidem mogą również publikować szczegółowe informacje o lukach w zabezpieczeniach swoich produktów, np. Google , Huawei , LGE , Motorola , Nokia czy Samsung .
Wersje
| Wersja | Data | Notatki |
|---|---|---|
| 1,0 | 2 marca 2020 r | Biuletyn opublikowany |
| 1.1 | 3 marca 2020 r | Biuletyn zmieniony w celu uwzględnienia łączy AOSP |
| 1.2 | 9 marca 2020 r | Zaktualizowana lista problemów |