Wear 作業系統安全公告 - 2024 年 5 月

發佈於 2024 年 5 月 6 日

Wear OS 安全公告包含影響 Wear OS 平台的安全漏洞的詳細資訊。除了本公告中的所有問題之外，完整的 Wear OS 更新還包括2024 年 5 月 Android 安全公告中的 2024 年 5 月 5 日或更高版本的安全修補程式等級。

我們鼓勵所有客戶接受對其設備的這些更新。

其中最嚴重的問題是框架元件中的一個嚴重安全漏洞，該漏洞可能導致惡意應用程式在不需要額外執行權限的情況下進行本機權限升級。嚴重性評估是基於利用漏洞可能對受影響設備的影響，假設平台和服務緩解措施出於開發目的而關閉或成功繞過。

公告

  • 除了 2024 年 5 月 Android 安全公告中所述的安全漏洞外，2024 年 5 月 Wear OS 安全公告還包含專門針對 Wear OS 漏洞的補丁，如下所述。

2024-05-01 安全修補程式等級漏洞詳情

在下面的部分中，我們提供了適用於 2024 年 5 月 1 日修補程式等級的每個安全漏洞的詳細資訊。漏洞按其影響的組件進行分組。下表描述了問題，包括 CVE ID、相關參考文獻、漏洞類型、嚴重性和更新的 AOSP 版本（如果適用）。如果可用，我們會將解決問題的公共變更連結到錯誤 ID，例如 AOSP 變更清單。當多個變更與單一錯誤相關時，其他參考連結到錯誤 ID 後面的數字。搭載 Android 10 及更高版本的裝置可能會收到安全性更新以及Google Play 系統更新。

框架

本節中最嚴重的漏洞可能會導致惡意應用程式在不需要額外執行權限的情況下進行本地權限升級。

CVE參考類型嚴重程度更新了 AOSP 版本
CVE-2024-23700 A-310634539 ID批判的13
CVE-2024-23703 A-268737818結束時間高的13

系統

本節中最嚴重的漏洞可能會導致本地權限升級，而無需額外的執行權限。

CVE參考類型嚴重程度更新了 AOSP 版本
CVE-2024-23701 A-300267802結束時間高的13
CVE-2024-23702 A-290819041結束時間高的13

常見問題及解答

本節回答閱讀本公告後可能出現的常見問題。

1. 如何確定我的裝置是否已更新以解決這些問題？

若要了解如何檢查裝置的安全修補程式級別，請閱讀Google 裝置更新方案上的說明。

  • 2024-05-01 或更高版本的安全性修補程式等級解決了與 2024-05-01 安全性修補程式等級相關的所有問題。

包含這些更新的裝置製造商應將補丁字串層級設定為：

  • [ro.build.version.security_patch]：[2024-05-01]

對於某些運行 Android 10 或更高版本的設備，Google Play 系統更新將具有與 2024-05-01 安全性修補程式等級相符的日期字串。有關如何安裝安全更新的更多詳細信息，請參閱本文。

2.類型欄中的條目是什麼意思？

漏洞詳細資料表的「類型」欄位中的條目引用安全漏洞的分類。

縮寫定義
遠端程式碼執行遠端程式碼執行
結束時間特權提升
ID資訊揭露
拒絕服務拒絕服務
不適用分類不可用

3. 參考文獻欄中的條目是什麼意思？

漏洞詳細資料表的參考列下的條目可能包含標識引用值所屬組織的前綴。

字首參考
A-安卓錯誤 ID
QC-高通參考號
M-聯發科參考號
N- NVIDIA 參考號
B-博通參考號
U-紫光展銳參考號

4.參考資料欄中 Android bug ID 旁邊的 * 是什麼意思？

未公開發布的問題在相應的參考 ID 旁邊有一個 *。此問題的更新通常包含在Google 開發者網站上提供的 Pixel 裝置的最新二進位驅動程式中。

5. 為什麼安全漏洞會分為本公告和設備/合作夥伴安全公告（例如 Pixel 公告）？

本安全公告中記錄的安全漏洞需要在 Android 裝置上聲明最新的安全修補程式等級。聲明安全修補程式等級不需要設備/合作夥伴安全公告中記錄的其他安全漏洞。 Android 裝置和晶片組製造商還可能發布特定於其產品的安全漏洞詳細信息，例如Google 、華為、 LGE 、摩托羅拉、諾基亞或三星。

版本

版本日期筆記
1.0 2024 年 5 月 6 日公告已發布。