Biuletyn bezpieczeństwa w Androidzie – grudzień 2025 r.

Opublikowano 1 grudnia 2025 r. | Zaktualizowano 17 grudnia 2025 r.

Ten Biuletyn bezpieczeństwa Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które mają wpływ na urządzenia z Androidem. Poziomy poprawek zabezpieczeń z 5 grudnia 2025 r. lub nowsze rozwiązują wszystkie te problemy. Aby dowiedzieć się, jak sprawdzić poziom aktualizacji zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

W ciągu 48 godzin od pierwszej publikacji tego biuletynu udostępnimy odpowiednie poprawki kodu źródłowego w repozytorium Projektu Android Open Source (AOSP). Następnie zaktualizujemy ten biuletyn, dodając linki do AOSP.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach komponentu Framework, która może prowadzić do zdalnego ataku typu DoS bez konieczności uzyskania dodatkowych uprawnień do wykonania. Ocena ważności jest oparta na wpływie, jaki wykorzystanie luki w zabezpieczeniach może mieć na urządzenie, którego dotyczy problem, przy założeniu, że środki zaradcze platformy i usługi są wyłączone na potrzeby programowania lub zostały skutecznie pominięte.

Więcej informacji o zabezpieczeniach platformy Android i Google Play Protect, które zwiększają bezpieczeństwo platformy Android, znajdziesz w sekcji Środki zaradcze w Androidzie i Google Play Protect.

Powiadamiamy naszych partnerów korzystających z Androida o wszystkich problemach co najmniej miesiąc przed opublikowaniem biuletynu.

Środki zaradcze w usługach Androida i Google

To podsumowanie środków zaradczych zapewnianych przez platformę zabezpieczeń Androida i usługi chroniące, takie jak Google Play Protect. Te funkcje zmniejszają prawdopodobieństwo wykorzystania luk w zabezpieczeniach Androida.

  • Wykorzystanie wielu problemów na Androidzie jest utrudnione przez ulepszenia wprowadzone w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników do zaktualizowania Androida do najnowszej wersji, jeśli jest to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje nadużycia za pomocą Google Play Protect i ostrzega użytkowników przed potencjalnie szkodliwymi aplikacjami. Google Play Protect jest domyślnie włączona na urządzeniach z Usługami mobilnymi Google. Jest to szczególnie ważne dla użytkowników, którzy instalują aplikacje spoza Google Play.

Poziom aktualizacji zabezpieczeń z 1 grudnia 2025 r. szczegóły luki w zabezpieczeniach

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej luce w zabezpieczeniach, która dotyczy poziomu poprawek z 1 grudnia 2025 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej i zawierają identyfikator CVE, powiązane numery referencyjne, typ luki w zabezpieczeniach, poziom ważności i zaktualizowane wersje AOSP (w stosownych przypadkach). W przypadku dostępności linkujemy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. listą zmian AOSP. Jeśli kilka zmian dotyczy jednego błędu, dodatkowe odwołania są powiązane z numerami następującymi po identyfikatorze błędu. Urządzenia z Androidem 10 i nowszym mogą otrzymywać aktualizacje zabezpieczeń oraz aktualizacje systemowe Google Play.

Framework

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może prowadzić do zdalnego ataku typu DoS bez konieczności uzyskania dodatkowych uprawnień do wykonania.

CVE Numer referencyjny Typ Poziom Zaktualizowane wersje AOSP
CVE-2025-48631 A-444671303 DoS Krytyczny 13, 14, 15, 16
CVE-2025-22420 A-337775777 EoP Wysoki 13, 14, 15, 16
CVE-2025-32319 A-291281543 EoP Wysoki 16
CVE-2025-32328 A-327137311 EoP Wysoki 13, 14, 15
CVE-2025-32329 A-326926596 EoP Wysoki 13, 14, 15
CVE-2025-48525 A-391895151 [2] EoP Wysoki 13, 14, 15, 16
CVE-2025-48564 A-403565650 [2] [3] EoP Wysoki 13, 14, 15, 16
CVE-2025-48565 A-407763772 [2] [3] EoP Wysoki 13, 14, 15, 16
CVE-2025-48572 A-385736540 EoP Wysoki 13, 14, 15, 16
CVE-2025-48573 A-339637822 EoP Wysoki 13, 14, 15, 16
CVE-2025-48580 A-393582077 EoP Wysoki 13, 14, 15, 16
CVE-2025-48583 A-381885240 EoP Wysoki 14, 15, 16
CVE-2025-48588 A-303408193 EoP Wysoki 13, 14, 15
CVE-2025-48589 A-362492829 EoP Wysoki 13, 14, 15, 16
CVE-2025-48594 A-427206637 EoP Wysoki 14, 15, 16
CVE-2025-48596 A-438098181 EoP Wysoki 13, 14, 15, 16
CVE-2025-48597 A-436270922 EoP Wysoki 14, 15, 16
CVE-2025-48601 A-426207912 EoP Wysoki 13, 14, 15, 16
CVE-2025-48618 A-404254549 EoP Wysoki 13, 14, 15, 16
CVE-2025-48620 A-352024705 [2] EoP Wysoki 13, 14, 15, 16
CVE-2025-48621 A-266433089 [2] EoP Wysoki 13, 14, 15, 16
CVE-2025-48627 A-326571066 EoP Wysoki 13, 14
CVE-2025-48629 A-352518318 EoP Wysoki 13, 14, 15, 16
CVE-2025-48632 A-443742829 EoP Wysoki 14, 15, 16
CVE-2025-48639 A-301952571 [2] EoP Wysoki 13, 14, 15, 16
CVE-2025-48591 A-305710469 [2] ID Wysoki 13, 14, 15
CVE-2025-48592 A-427113482 ID Wysoki 15, 16
CVE-2025-48628 A-376462130 ID Wysoki 13, 14, 15, 16
CVE-2025-48633 A-417988098 ID Wysoki 13, 14, 15, 16
CVE-2025-48576 A-426205822 DoS Wysoki 13, 14, 15, 16
CVE-2025-48584 A-425662627 DoS Wysoki 16
CVE-2025-48590 A-417987184 DoS Wysoki 13, 14, 15, 16
CVE-2025-48603 A-416259832 DoS Wysoki 13, 14, 15, 16
CVE-2025-48607 A-416490321 DoS Wysoki 15, 16
CVE-2025-48614 A-430568718 DoS Wysoki 13, 14, 15, 16

System

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może prowadzić do lokalnego podniesienia uprawnień i uruchamiania aktywności w tle bez konieczności uzyskiwania dodatkowych uprawnień do wykonywania działań.

CVE Numer referencyjny Typ Poziom Zaktualizowane wersje AOSP
CVE-2023-40130 A-289809991 EoP Wysoki 13, 14, 15, 16
CVE-2025-22432 A-376461726 EoP Wysoki 13, 14, 15, 16
CVE-2025-48536 A-388034510 EoP Wysoki 13, 14, 15, 16
CVE-2025-48566 A-397216638 [2] [3] EoP Wysoki 13, 14, 15, 16
CVE-2025-48575 A-417463103 EoP Wysoki 13, 14, 15, 16
CVE-2025-48586 A-337784859 EoP Wysoki 15, 16
CVE-2025-48598 A-418774489 EoP Wysoki 16
CVE-2025-48599 A-299633613 EoP Wysoki 13, 14
CVE-2025-48612 A-429417453 EoP Wysoki 13, 14, 15, 16
CVE-2025-48626 A-381339822 [2] EoP Wysoki 13, 14, 15, 16
CVE-2025-48555 A-396666065 ID Wysoki 13, 14, 15, 16
CVE-2025-48604 A-305710989 ID Wysoki 13, 14, 15, 16
CVE-2025-48622 A-412662901 [2] [3] ID Wysoki 13, 14, 15, 16

Aktualizacje systemowe Google Play

W tym miesiącu aktualizacje systemowe Google Play (Project Mainline) nie rozwiązują żadnych problemów z bezpieczeństwem.

Szczegóły luki w zabezpieczeniach na poziomie aktualizacji zabezpieczeń z 5 grudnia 2025 r.

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej luce w zabezpieczeniach, która dotyczy poziomu aktualizacji z 5 grudnia 2025 r. Luki w zabezpieczeniach są pogrupowane według komponentu, którego dotyczą. Problemy są opisane w tabelach poniżej i zawierają identyfikator CVE, powiązane numery referencyjne, typ luki w zabezpieczeniach, poziom ważności i zaktualizowane wersje AOSP (w stosownych przypadkach). W przypadku dostępności linkujemy publiczną zmianę, która rozwiązała problem, z identyfikatorem błędu, np. listą zmian AOSP. Jeśli kilka zmian dotyczy jednego błędu, dodatkowe odwołania są powiązane z numerami następującymi po identyfikatorze błędu.

Bąbelki

Najpoważniejsza luka w zabezpieczeniach w tej sekcji może prowadzić do lokalnej eskalacji uprawnień bez konieczności uzyskania dodatkowych uprawnień do wykonywania kodu.

CVE Numer referencyjny Typ Poziom Składnik podrzędny
CVE-2025-48623 A-436580278
Upstream kernel [2]
EoP Krytyczny pKVM
CVE-2025-48624 A-443053939
Upstream kernel
EoP Krytyczny IOMMU
CVE-2025-48637 A-443763663
Upstream kernel [2]
EoP Krytyczny pKVM
CVE-2025-48638 A-442540376
Upstream kernel [2]
EoP Krytyczny pKVM
CVE-2024-35970 A-432804305
Upstream kernel [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29]
EoP Wysoki Netto
CVE-2025-38236 A-432753641
Upstream kernel [2]
EoP Wysoki Netto
CVE-2025-38349 A-432751421
Upstream kernel [2]
EoP Wysoki EPoll
CVE-2025-48610 A-432439762
Upstream kernel [2]
ID Wysoki Kernel Virtual Machine
CVE-2025-38500 A-436201996
Jądro upstream [2]
EoP Umiarkowana XFRM

Jądro LTS

Zaktualizowaliśmy te wersje jądra. Aktualizacje wersji jądra zależą od wersji systemu operacyjnego Android w momencie wprowadzenia urządzenia na rynek.

Pliki referencyjne Wersja Androida Wersja startowa jądra Minimalna wersja aktualizacji
A-404245371 12 5.4 5.4.292

Komponenty ramienia

Te luki w zabezpieczeniach dotyczą komponentów Arm, a więcej szczegółów można uzyskać bezpośrednio od firmy Arm. Ocena ważności tych problemów jest podawana bezpośrednio przez firmę Arm.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2025-6349 A-428702264* Wysoki Mali
CVE-2025-8045 A-443063131* Wysoki Mali

Imagination Technologies

Te luki w zabezpieczeniach dotyczą komponentów Imagination Technologies. Więcej szczegółów znajdziesz bezpośrednio na stronie Imagination Technologies. Ocena ważności tych problemów jest dostarczana bezpośrednio przez firmę Imagination Technologies.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2025-6573 A-384999601* Wysoki PowerVR-GPU
CVE-2025-25177 A-416692063* Wysoki PowerVR-GPU
CVE-2025-46711 A-425907218* Wysoki PowerVR-GPU
CVE-2025-58410 A-429381687* Wysoki PowerVR-GPU

Komponenty MediaTek

Te luki w zabezpieczeniach dotyczą komponentów MediaTek, a więcej szczegółów można uzyskać bezpośrednio od firmy MediaTek. Ocena ważności tych problemów jest podawana bezpośrednio przez firmę MediaTek.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2025-20725 A-442288325
M-MOLY01671924*
Wysoki usługa IMS,
CVE-2025-20726 A-442288324
M-MOLY01672598*
Wysoki Modem
CVE-2025-20727 A-442295794
M-MOLY01672601*
Wysoki Modem
CVE-2025-20730 A-442288321
M-ALPS10068463*
Wysoki moduł wstępnego ładowania
CVE-2025-20750 A-445777810
M-MOLY01661199*
Wysoki Modem
CVE-2025-20751 A-445793670
M-MOLY01661195*
Wysoki Modem
CVE-2025-20752 A-445793668
M-MOLY01270690*
Wysoki Modem
CVE-2025-20753 A-445785195
M-MOLY01689252*
Wysoki Modem
CVE-2025-20754 A-445785196
M-MOLY01689251*
Wysoki Modem
CVE-2025-20755 A-445793671
M-MOLY00628396*
Wysoki Modem
CVE-2025-20756 A-445793666
M-MOLY01673749*
Wysoki Modem
CVE-2025-20757 A-445775439
M-MOLY01673751*
Wysoki Modem
CVE-2025-20758 A-445775438
M-MOLY01673755*
Wysoki Modem
CVE-2025-20759 A-445775437
M-MOLY01673760*
Wysoki Modem
CVE-2025-20790 A-445775436
M-MOLY01677581*
Wysoki Modem
CVE-2025-20791 A-445785199
M-MOLY01661189*
Wysoki Modem
CVE-2025-20792 A-446071856
M-MOLY01717526*
Wysoki Modem

Komponenty Unisoc

Te luki w zabezpieczeniach dotyczą komponentów Unisoc, a więcej szczegółów można uzyskać bezpośrednio od firmy Unisoc. Ocena ważności tych problemów jest dostarczana bezpośrednio przez firmę Unisoc.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2025-31717 A-435065128
U-3037449*
Wysoki Modem
CVE-2025-31718 A-435076697
U-3037571*
Wysoki Modem
CVE-2025-3012 A-448234052
U-3080225*
Wysoki Modem
CVE-2025-11131 A-448236351
U-3079792*
Wysoki Modem
CVE-2025-11132 A-448253912
U-3080198*
Wysoki Modem
CVE-2025-11133 A-448236352
U-3080202*
Wysoki Modem
CVE-2025-61607 A-448276915
U-3080265*
Wysoki Modem
CVE-2025-61608 A-448275674
U-3080269*
Wysoki Modem
CVE-2025-61609 A-448277338
U-3080271*
Wysoki Modem
CVE-2025-61610 A-448275675
U-3080273*
Wysoki Modem
CVE-2025-61617 A-448253913
U-3080233*
Wysoki Modem
CVE-2025-61618 A-448277334
U-3080237*
Wysoki Modem
CVE-2025-61619 A-448276914
U-3080263*
Wysoki Modem

Komponenty Qualcomm

Te luki w zabezpieczeniach dotyczą komponentów firmy Qualcomm i są szczegółowo opisane w odpowiednim biuletynie lub alercie dotyczącym bezpieczeństwa firmy Qualcomm. Ocena ważności tych problemów jest podawana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2025-47351 A-430043154
QC-CR#4115551
Wysoki Bąbelki
CVE-2025-47354 A-430042895
QC-CR#4090786
Wysoki Bąbelki
CVE-2025-47382 A-442620646
QC-CR#4152954
Wysoki Program rozruchowy

Komponenty Qualcomm o zamkniętym kodzie źródłowym

Te luki w zabezpieczeniach dotyczą komponentów Qualcomm o zamkniętym kodzie źródłowym i są szczegółowo opisane w odpowiednim biuletynie lub alercie dotyczącym zabezpieczeń firmy Qualcomm. Ocena ważności tych problemów jest podawana bezpośrednio przez firmę Qualcomm.

CVE Pliki referencyjne Poziom Składnik podrzędny
CVE-2025-47319 A-421905250* Krytyczny Komponent o zamkniętym kodzie źródłowym
CVE-2025-47372 A-442619421* Krytyczny Komponent o zamkniętym kodzie źródłowym
CVE-2025-27053 A-409046800* Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-27054 A-409047704* Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-27070 A-415773046* Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-27074 A-415772654* Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-47323 A-421904320* Wysoki Komponent o zamkniętym kodzie źródłowym
CVE-2025-47370 A-436259460* Wysoki Komponent o zamkniętym kodzie źródłowym

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą się pojawić po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie zostało zaktualizowane w celu rozwiązania tych problemów?

Aby dowiedzieć się, jak sprawdzić poziom aktualizacji zabezpieczeń urządzenia, przeczytaj artykuł Sprawdzanie i aktualizowanie wersji Androida.

  • Poziomy aktualizacji zabezpieczeń z 1 grudnia 2025 r. lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 1 grudnia 2025 r.
  • Poziomy aktualizacji zabezpieczeń z 5 grudnia 2025 r. lub nowsze rozwiązują wszystkie problemy związane z poziomem aktualizacji zabezpieczeń z 5 grudnia 2025 r. i wszystkimi poprzednimi poziomami aktualizacji.

Producenci urządzeń, którzy uwzględniają te aktualizacje, powinni ustawić poziom ciągu aktualizacji na:

  • [ro.build.version.security_patch]:[2025-12-01]
  • [ro.build.version.security_patch]:[2025-12-05]

W przypadku niektórych urządzeń z Androidem 10 lub nowszym aktualizacja systemu Google Play będzie miała ciąg daty zgodny z poziomem aktualizacji zabezpieczeń z 1 grudnia 2025 r. Więcej informacji o instalowaniu aktualizacji zabezpieczeń znajdziesz w tym artykule.

2. Dlaczego ten biuletyn zawiera 2 poziomy aktualizacji zabezpieczeń?

Ten biuletyn zawiera 2 poziomy aktualizacji zabezpieczeń, dzięki czemu partnerzy Androida mogą szybciej naprawiać podzbiór luk w zabezpieczeniach, które są podobne na wszystkich urządzeniach z Androidem. Zachęcamy partnerów Androida do rozwiązania wszystkich problemów opisanych w tym biuletynie i korzystania z najnowszego poziomu aktualizacji zabezpieczeń.

  • Urządzenia, które korzystają z poziomu aktualizacji zabezpieczeń z 1 grudnia 2025 r., muszą zawierać wszystkie problemy związane z tym poziomem aktualizacji zabezpieczeń, a także poprawki wszystkich problemów zgłoszonych w poprzednich biuletynach bezpieczeństwa.
  • Urządzenia, które korzystają z poziomu aktualizacji zabezpieczeń z 5 grudnia 2025 r. lub nowszego, muszą zawierać wszystkie odpowiednie poprawki z tego (i poprzednich) biuletynów bezpieczeństwa.

Zachęcamy partnerów do łączenia poprawek wszystkich problemów, którymi się zajmują, w jednej aktualizacji.

3. Co oznaczają wpisy w kolumnie Typ?

Wpisy w kolumnie Typ w tabeli szczegółów dotyczących luk w zabezpieczeniach odnoszą się do klasyfikacji luki w zabezpieczeniach.

Skrót Definicja
RCE Zdalne wykonanie kodu
EoP Podniesienie uprawnień
ID Ujawnianie informacji
DoS Atak typu DoS
Nie dotyczy Klasyfikacja niedostępna

4. Co oznaczają wpisy w kolumnie Numer referencyjny?

Wpisy w kolumnie Numer referencyjny w tabeli szczegółów dotyczących luk w zabezpieczeniach mogą zawierać prefiks identyfikujący organizację, do której należy numer referencyjny.

Prefiks Odniesienie
A- Identyfikator błędu Androida
QC- Numer referencyjny Qualcomm
M- Numer referencyjny MediaTek
N- Numer referencyjny NVIDIA
B- Numer referencyjny Broadcom
U- Numer referencyjny UNISOC

5. Co oznacza gwiazdka (*) obok identyfikatora błędu Androida w kolumnie Numer referencyjny?

Problemy, które nie są dostępne publicznie, mają gwiazdkę obok odpowiedniego identyfikatora referencyjnego. Aktualizacja rozwiązująca ten problem jest zwykle zawarta w najnowszych sterownikach binarnych dla urządzeń Pixel dostępnych na stronie Google Developers.

6. Dlaczego luki w zabezpieczeniach są podzielone między ten biuletyn a biuletyny o zabezpieczeniach urządzeń i partnerów, takie jak biuletyn Pixela?

Luki w zabezpieczeniach udokumentowane w tym biuletynie bezpieczeństwa wymagają deklarowania najnowszego poziomu aktualizacji zabezpieczeń na urządzeniach z Androidem. Dodatkowe luki w zabezpieczeniach udokumentowane w biuletynach bezpieczeństwa urządzenia lub partnera nie są wymagane do zadeklarowania poziomu aktualizacji zabezpieczeń. Producenci urządzeń z Androidem i chipsetów mogą też publikować szczegółowe informacje o lukach w zabezpieczeniach swoich produktów, np. Google, Huawei, LGE, Motorola, Nokia lub Samsung.

Wersje

Wersja Data Uwagi
1,0 1 grudnia 2025 r. Biuletyn opublikowany
1.1 4 grudnia 2025 r. Zmieniliśmy biuletyn, aby uwzględnić linki do AOSP
1.2 17 grudnia 2025 r. Ze względu na niepełną poprawkę usunęliśmy z ASB#2025-12 luki CVE-2025-48600 i CVE-2025-48615. Partnerzy mogą zachować te poprawki. Zaktualizowana poprawka będzie wymagana w ramach przyszłego Biuletynu bezpieczeństwa Androida.