Biuletyn bezpieczeństwa w Androidzie – kwiecień 2021 r.

Opublikowano 5 kwietnia 2021 r. | Zaktualizowano 7 kwietnia 2021 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Poziomy aktualizacji zabezpieczeń z 5 kwietnia 2021 r. lub nowsze rozwiązują wszystkie te problemy. Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

Partnerzy Androida są powiadamiani o wszystkich problemach co najmniej miesiąc przed ich opublikowaniem. Poprawki kodu źródłowego dotyczące tych problemów zostały opublikowane w repozytorium Projektu Android Open Source (AOSP) i powiązane z tym biuletynem. Ten biuletyn zawiera też linki do poprawek spoza AOSP.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach w komponencie System, która umożliwia atakującemu zdalnie uruchomienie dowolnego kodu w kontekście procesu uprzywilejowanego za pomocą specjalnie spreparowanego pliku. Ocena ważności jest oparta na efekcie, jaki wykorzystanie luki w zabezpieczeniach mogłoby mieć na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programowania lub zostały pomyślnie omijane.

Więcej informacji o środkach ochrony platformy Androida i Google Play Protect, które zwiększają bezpieczeństwo platformy Androida, znajdziesz w sekcji Środki zaradcze dotyczące Androida i Google Play Protect.

Środki zaradcze dotyczące usług Google i Androida

Oto podsumowanie zabezpieczeń oferowanych przez platformę zabezpieczeń Androida oraz usługi takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach zostaną wykorzystane na urządzeniach z Androidem.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione przez ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą Google Play Protect i ostrzega użytkowników o potencjalnie szkodliwych aplikacjach. Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest to szczególnie ważne dla użytkowników, którzy instalują aplikacje spoza Google Play.

Szczegóły dotyczące luki w poziomie aktualizacji zabezpieczeń z 1 kwietnia 2021 r.

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 2021-04-01. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej i zawierają identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w stosownych przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli pojedynczy błąd dotyczy wielu zmian, dodatkowe odniesienia są połączone z liczbami po identyfikatorze błędu. Urządzenia z Androidem 10 lub nowszym mogą otrzymywać aktualizacje zabezpieczeń, a także aktualizacje systemowe Google Play.

Platforma

Najpoważniejsza luka w tym rozdziale może umożliwić złośliwemu użytkownikowi podszywanie danych o lokalizacji za pomocą fałszywej lokalizacji podczas połączenia z służbami ratunkowymi.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2021-0400 A-177561690 EoP Wysoki 9, 10, 11
CVE-2021-0426 A-174485572 EoP Wysoki 11
CVE-2021-0427 A-174488848 EoP Wysoki 11
CVE-2021-0432 A-173552790 EoP Wysoki 11
CVE-2021-0438 A-152064592 EoP Wysoki 8.1, 9, 10
CVE-2021-0439 A-174243830 EoP Wysoki 11
CVE-2021-0442 A-174768985 EoP Wysoki 11
CVE-2021-0443 A-170474245 ID Wysoki 8.1, 9, 10, 11
CVE-2021-0444 A-178825358 ID Wysoki 8.1, 9, 10, 11

Platforma Media

Najpoważniejsza luka w zabezpieczeniach opisana w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2021-0437 A-176168330 EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0436 A-176496160 [2] ID Wysoki 8.1, 9, 10, 11
CVE-2021-0471 A-176444786 [2] ID Wysoki 8.1, 9, 10, 11

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić atakującemu zdalnemu użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2021-0430 A-178725766 RCE Krytyczny 10, 11
CVE-2021-0429 A-175074139 [2] EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0433 A-171221090 [2] EoP Wysoki 8.1, 9, 10, 11
CVE-2021-0446 A-172252122 EoP Wysoki 11
CVE-2021-0431 A-174149901 ID Wysoki 8.1, 9, 10, 11
CVE-2021-0435 A-174150451 ID Wysoki 8.1, 9, 10, 11

Aktualizacje systemowe Google Play

Komponenty projektu Mainline obejmują te problemy:

Komponent CVE
Statsd CVE-2021-0426, CVE-2021-0427, CVE-2021-0432

Szczegóły dotyczące luki w zabezpieczeniach na poziomie poprawki zabezpieczeń z 2021-04-05

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 05.04.2021. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej i zawierają identyfikator CVE, powiązane odniesienia, typ luki, powagę oraz zaktualizowane wersje AOSP (w stosownych przypadkach). W razie możliwości łączymy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. z listą zmian w AOSP. Jeśli pojedynczy błąd dotyczy wielu zmian, dodatkowe odniesienia są połączone z liczbami po identyfikatorze błędu.

System

Najpoważniejsza luka w zabezpieczeniach opisana w tej sekcji może umożliwić lokalnej złośliwej aplikacji obejście wymagań dotyczących interakcji z użytkownikiem w celu uzyskania dostępu do dodatkowych uprawnień.

CVE Pliki referencyjne Typ Poziom Zaktualizowane wersje AOSP
CVE-2021-0445 A-172322502 EoP Wysoki 9, 11

Komponenty jądra

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może umożliwić lokalnemu atakującemu użycie specjalnie spreparowanego pliku do uruchomienia dowolnego kodu w kontekście procesu uprzywilejowanego.

CVE Pliki referencyjne Typ Poziom Komponent
CVE-2020-15436 A-174737742
Jednostka jądra upstream		 EoP Wysoki Podsystem blokady urządzenia w jądrze
CVE-2020-25705 A-174737972
Jednostka jądra upstream		 ID Wysoki ICMP

Komponenty MediaTek

Ta luka w zabezpieczeniach dotyczy komponentów MediaTek. Więcej informacji można uzyskać bezpośrednio od firmy MediaTek. Ocena powagi tego problemu jest dostarczana bezpośrednio przez MediaTek.

CVE Pliki referencyjne Poziom Komponent
CVE-2021-0468 A-180427272
M-ALPS05518125*		 Wysoki LK

Komponenty Qualcomm

Ta luka w zabezpieczeniach dotyczy komponentów Qualcomm i jest szczegółowo opisana w odpowiednim biuletynie lub ostrzeżeniu dotyczącym zabezpieczeń Qualcomm. Ocena powagi tego problemu jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Poziom Komponent
CVE-2020-11234 A-170139095
QC-CR#2439497 [2]		 Wysoki Bąbelki

Komponenty Qualcomm o zamkniętym kodzie źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm o źródle zamkniętym i są opisane bardziej szczegółowo w odpowiednim biuletynie lub ostrzeżeniu dotyczącym zabezpieczeń Qualcomm. Ocena stopnia ważności tych problemów jest dostarczana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Poziom Komponent
CVE-2020-11210 A-170138788* Krytyczny Komponent zamkniętego źródła
CVE-2020-11191 A-170138864* Wysoki Komponent zamkniętego źródła
CVE-2020-11236 A-170138748* Wysoki Komponent zamkniętego źródła
CVE-2020-11237 A-170138790* Wysoki Komponent zamkniętego źródła
CVE-2020-11242 A-170138747* Wysoki Komponent zamkniętego źródła
CVE-2020-11243 A-170139096* Wysoki Komponent zamkniętego źródła
CVE-2020-11245 A-170138750* Wysoki Komponent zamkniętego źródła
CVE-2020-11246 A-159482433* Wysoki Komponent zamkniętego źródła
CVE-2020-11247 A-170138749* Wysoki Komponent zamkniętego źródła
CVE-2020-11251 A-170137904* Wysoki Komponent zamkniętego źródła
CVE-2020-11252 A-170138791* Wysoki Komponent zamkniętego źródła
CVE-2020-11255 A-170138865* Wysoki Komponent zamkniętego źródła

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy zawiera poprawki dotyczące tych problemów?

Aby dowiedzieć się, jak sprawdzić poziom poprawek zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Poziomy aktualizacji zabezpieczeń z 2021-04-01 lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 2021-04-01.
  • Stany aktualizacji zabezpieczeń z 2021-04-05 lub nowsze rozwiązują wszystkie problemy związane ze stanem aktualizacji zabezpieczeń z 2021-04-05 i wszystkimi poprzednimi stanami.

Producenci urządzeń, którzy udostępniają te aktualizacje, powinni ustawić poziom ciągu poprawki na:

  • [ro.build.version.security_patch]:[2021-04-01]
  • [ro.build.version.security_patch]:[2021-04-05]

W przypadku niektórych urządzeń z Androidem 10 lub nowszym aktualizacja systemu Google Play będzie mieć ciąg znaków daty odpowiadający poziomowi poprawki zabezpieczeń z 1 kwietnia 2021 r. Więcej informacji o instalowaniu aktualizacji zabezpieczeń znajdziesz w tym artykule.

2. Dlaczego w tym komunikacie są 2 poziomy aktualizacji zabezpieczeń?

W tym komunikacie znajdują się 2 poziomy poprawek zabezpieczeń, dzięki którym partnerzy Androida mają możliwość szybszego naprawiania podzbioru podobnych luk we wszystkich urządzeniach z Androidem. Partnerów Androida zachęcamy do rozwiązania wszystkich problemów opisanych w tym biuletynie i do stosowania najnowszej poprawki zabezpieczeń.

  • Urządzenia korzystające z poziomu poprawki zabezpieczeń z 2021-04-01 muszą zawierać wszystkie problemy związane z tym poziomem poprawki zabezpieczeń, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia, które korzystają z poziomu poprawki zabezpieczeń z 5 kwietnia 2021 r. lub nowszego, muszą zawierać wszystkie odpowiednie poprawki z tego (i poprzednich) komunikatu o błędach dotyczących zabezpieczeń.

Zachęcamy partnerów do łączenia poprawek dotyczących wszystkich problemów w jednym pakiecie.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów podatności odnoszą się do klasyfikacji podatności na zagrożenia.

Skrót Definicja
RCE Zdalne wykonywanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Odniesienia?

Wpisy w kolumnie Odwołania w tabeli szczegółów podatności mogą zawierać prefiks identyfikujący organizację, do której należy wartość odwołania.

Prefiks Źródła wiedzy
A- Identyfikator błędu na Androidzie
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom

5. Co oznacza znak * obok identyfikatora błędu Androida w kolumnie Odniesienia?

Obok odpowiedniego identyfikatora referencyjnego problemów, które nie są dostępne publicznie, znajduje się znak *. Aktualizacja dotycząca tego problemu jest zwykle zawarta w najnowszych binarnych sterownikach urządzeń Pixel, które można pobrać na stronie Google dla deweloperów.

6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny o zabezpieczeniach dotyczące urządzeń i partnerów, np. biuletyn o Pixelu?

Aby zadeklarować najnowszy poziom poprawek zabezpieczeń na urządzeniach z Androidem, należy uwzględnić luki w zabezpieczeniach opisane w tym biuletynie. Dodatkowe luki w zabezpieczeniach, które są udokumentowane w biuletynach bezpieczeństwa dotyczących urządzenia lub partnera, nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producenci urządzeń i układów scalonych z Androidem mogą też publikować informacje o lukach w zabezpieczeniach w swoich produktach, takich jak Google, Huawei, LGE, Motorola, Nokia i Samsung.

Wersje

Wersja Data Uwagi
1,0 5 kwietnia 2021 r. Biuletyn został opublikowany.
1,1 7 kwietnia 2021 r. Biuletyn został zaktualizowany o linki do AOSP.
1,2 2 czerwca 2021 r. Usunięto CVE-2021-0428 ze względu na problemy ze zgodnością aplikacji.