2 Mart 2020 Yayınlandı | Yayım tarihi 9 March 2020
Android Güvenlik Bülteni, Android cihazları etkileyen güvenlik açıklarının ayrıntılarını içerir. 2020-03-05 veya sonraki güvenlik yaması seviyeleri tüm bu sorunları ele alır. Bir cihazın güvenlik yaması düzeyini nasıl kontrol edeceğinizi öğrenmek için bkz.Android sürümünüzü kontrol etme ve güncelleme .
Android iş ortakları, tüm sorunlar yayınlanmadan en az bir ay önce bilgilendirilir. Bu sorunlar için kaynak kod yamaları, Android Açık Kaynak Projesi (AOSP) havuzunda yayınlanmış ve bu bültenden bağlanmıştır. Bu bülten ayrıca AOSP dışındaki yamalara bağlantılar içerir.
Bu sorunların en önemlisi, medya çerçevesindeki, özel olarak hazırlanmış bir dosya kullanan uzaktaki bir saldırganın ayrıcalıklı bir işlem bağlamında rasgele kod yürütmesine olanak verebilecek kritik bir güvenlik açığıdır. Önem değerlendirmesi , güvenlik açığından yararlanmanın etkilenen bir cihaz üzerinde sahip olabileceği etkiye dayanır; platform ve hizmet azaltıcı etkenlerin geliştirme amacıyla kapatıldığı veya başarılı bir şekilde atlandığı varsayılır.
Android güvenlik platformu korumaları ve Android platformunun güvenliğini artıran Google Play Protect hakkında ayrıntılar için Android ve Google Play Protect azaltıcı etkenler bölümüne bakın.
Android ve Google hizmeti azaltıcı etkenler
Bu, Android güvenlik platformu tarafından sağlanan azaltma önlemlerinin ve Google Play Protect gibi hizmet korumalarının bir özetidir. Bu yetenekler, güvenlik açıklarından Android'de başarıyla yararlanma olasılığını azaltır.
- Android platformunun daha yeni sürümlerindeki geliştirmeler, Android'deki birçok sorundan yararlanmayı daha da zorlaştırıyor. Mümkünse tüm kullanıcıları en son Android sürümüne güncelleme yapmaya teşvik ediyoruz.
- Android güvenlik ekibi, Google Play Protect aracılığıyla kötüye kullanımı aktif olarak izler ve kullanıcıları Zararlı Olabilecek Uygulamalar konusunda uyarır. Google Play Protect, Google Mobil Hizmetleri bulunan cihazlarda varsayılan olarak etkindir ve özellikle Google Play dışından uygulama yükleyen kullanıcılar için önemlidir.
2020-03-01 güvenlik yaması düzeyinde güvenlik açığı ayrıntıları
Aşağıdaki bölümlerde, 2020-03-01 yama düzeyi için geçerli olan güvenlik açıklarının her biri için ayrıntılar sunuyoruz. Güvenlik açıkları, etkiledikleri bileşen altında gruplanır. Sorunlar aşağıdaki tablolarda açıklanmaktadır ve CVE Kimliği, ilgili referanslar, güvenlik açığı türü , önem derecesi ve güncellenmiş AOSP sürümlerini (uygun olduğu yerlerde) içerir. Mümkün olduğunda, sorunu ele alan genel değişikliği, AOSP değişiklik listesi gibi hata kimliğine bağlarız. Birden fazla değişiklik tek bir hatayla ilgili olduğunda, hata kimliğini izleyen numaralara ek referanslar bağlanır. Android 10 ve sonraki sürümlere sahip cihazlar, güvenlik güncellemelerinin yanı sıra Google Play sistem güncellemelerini alabilir .
Çerçeve
Bu bölümdeki güvenlik açığı, kötü amaçlı bir yerel uygulamanın, uygulama verilerini diğer uygulamalardan ayıran işletim sistemi korumalarını atlamasına olanak sağlayabilir.
| CVE | Referanslar | Tür | Önem | Güncellenmiş AOSP sürümleri |
|---|---|---|---|---|
| CVE-2020-0031 | A-141703197 [ 2 ] | İD | Yüksek | 10 |
Medya çerçevesi
Bu bölümdeki en ciddi güvenlik açığı, özel hazırlanmış bir dosya kullanan uzaktaki bir saldırganın ayrıcalıklı bir işlem bağlamında rasgele kod yürütmesine olanak verebilir.
| CVE | Referanslar | Tür | Ciddiyet | Güncellenmiş AOSP sürümleri |
|---|---|---|---|---|
| CVE-2020-0032 | A-145364230 | RCE | Kritik | 8.0, 8.1, 9, 10 |
| CVE-2020-0033 | A-144351324 | EoP | Yüksek | 8.0, 8.1, 9, 10 |
| CVE-2020-0034 | A-62458770 | İD | Yüksek | 8.0, 8.1 |
Sistem
Bu bölümdeki en ciddi güvenlik açığı, yerel bir kötü amaçlı uygulamanın ek izinlere erişim elde etmek için kullanıcı etkileşim gereksinimlerini atlamasına olanak sağlayabilir.
| CVE | Referanslar | Tür | Ciddiyet | Güncellenmiş AOSP sürümleri |
|---|---|---|---|---|
| CVE-2020-0036 | A-144679405 | EoP | Yüksek | 8.0, 8.1, 9, 10 |
| CVE-2020-0035 | A-140622024 | İD | Yüksek | 8.0, 8.1, 9 |
| CVE-2020-0029 | A-140065828 | İD | Yüksek | 10 |
| CVE-2020-0037 | A-143106535 | İD | Yüksek | 8.0, 8.1, 9, 10 |
| CVE-2020-0038 | A-143109193 | İD | Yüksek | 8.0, 8.1, 9, 10 |
| CVE-2020-0039 | A-143155861 | İD | Yüksek | 8.0, 8.1, 9, 10 |
Google Play sistem güncellemeleri
Aşağıdaki sorun Project Mainline bileşenlerine dahil edilmiştir.
| Bileşen | CVE |
|---|---|
| Medya codec bileşenleri | CVE-2020-0032 |
2020-03-05 güvenlik yaması düzeyinde güvenlik açığı ayrıntıları
Aşağıdaki bölümlerde, 2020-03-05 yama düzeyi için geçerli olan güvenlik açıklarının her biri için ayrıntılar sunuyoruz. Güvenlik açıkları, etkiledikleri bileşen altında gruplanır ve CVE, ilgili referanslar, güvenlik açığı türü , önem derecesi , bileşen (uygun olduğu yerde) ve güncellenmiş AOSP sürümleri (uygun olduğu durumlarda) gibi ayrıntıları içerir. Mümkün olduğunda, sorunu ele alan genel değişikliği, AOSP değişiklik listesi gibi hata kimliğine bağlarız. Birden fazla değişiklik tek bir hatayla ilgili olduğunda, hata kimliğini izleyen numaralara ek referanslar bağlanır.
Çekirdek bileşenleri
Bu bölümdeki en ciddi güvenlik açığı, özel hazırlanmış bir USB aygıtı kullanan yerel bir saldırganın ayrıcalıklı bir işlem bağlamında rasgele kod yürütmesine olanak verebilir.
| CVE | Referanslar | Tür | Ciddiyet | Bileşen |
|---|---|---|---|---|
| CVE-2019-19527 | A-146257915 Yukarı akışlı çekirdek [ 2 ] | EoP | Yüksek | USB bağlantı |
| CVE-2019-19537 | A-146258055 Yukarı akış çekirdek | EoP | Yüksek | USB bağlantı |
| CVE-2019-15239 | A-143009752 Yukarı akış çekirdek | EoP | Yüksek | Ağ oluşturma |
| CVE-2020-0041 | A-145988638 Yukarı akış çekirdek | EoP | Yüksek | Bağlayıcı |
FPC bileşenleri
Bu bölümdeki en ciddi güvenlik açığı, yerel bir kötü amaçlı uygulamanın ek izinlere erişim elde etmek için kullanıcı etkileşim gereksinimlerini atlamasına olanak sağlayabilir.
| CVE | Referanslar | Tür | Ciddiyet | Bileşen |
|---|---|---|---|---|
| CVE-2020-0010 | A-137014293 * | EoP | Yüksek | FPC Parmak İzi TEE |
| CVE-2020-0011 | A-137648045 * | EoP | Yüksek | FPC Parmak İzi TEE |
| CVE-2020-0012 | A-137648844 * | EoP | Yüksek | FPC Parmak İzi TEE |
| CVE-2020-0042 | A-137649599 * | İD | Orta | FPC Parmak İzi TEE |
| CVE-2020-0043 | A-137650218 * | İD | Orta | FPC Parmak İzi TEE |
| CVE-2020-0044 | A-137650219 * | İD | Orta | FPC Parmak İzi TEE |
MediaTek bileşenleri
| CVE | Referanslar | Tür | Ciddiyet | Bileşen |
|---|---|---|---|---|
| CVE-2020-0069 | A-147882143 * M-ALPS04356754 | EoP | Yüksek | Sistem |
Qualcomm bileşenleri
Bu güvenlik açıkları Qualcomm bileşenlerini etkiler ve uygun Qualcomm güvenlik bülteninde veya güvenlik uyarısında daha ayrıntılı olarak açıklanır. Bu sorunların ciddiyet değerlendirmesi doğrudan Qualcomm tarafından sağlanır.
| CVE | Referanslar | Tür | Ciddiyet | Bileşen |
|---|---|---|---|---|
| CVE-2019-14079 | A-138848422 QC-CR # 2521001 | Yok | Yüksek | USB bağlantı |
| CVE-2018-11838 | A-145545090 QC-CR # 221457 [ 2 ] | Yok | Yüksek | WLAN |
| CVE-2019-10526 | A-145544085 QC-CR # 2232526 QC-CR # 2541970 | Yok | Yüksek | WLAN |
| CVE-2019-10569 | A-145545820 QC-CR # 2315791 | Yok | Yüksek | Ses |
| CVE-2019-14029 | A-145546793 QC-CR # 2528795 | Yok | Yüksek | Grafikler |
| CVE-2019-14032 | A-145546652 QC-CR # 2537311 | Yok | Yüksek | Ses |
| CVE-2019-14068 | A-145546435 QC-CR # 2507653 [ 2 ] | Yok | Yüksek | Ses |
| CVE-2019-14072 | A-145545251 QC-CR # 2509391 | Yok | Yüksek | Grafikler |
Qualcomm kapalı kaynak bileşenleri
Bu güvenlik açıkları, Qualcomm kapalı kaynak bileşenlerini etkiler ve uygun Qualcomm güvenlik bülteninde veya güvenlik uyarısında daha ayrıntılı olarak açıklanır. Bu sorunların ciddiyet değerlendirmesi doğrudan Qualcomm tarafından sağlanır.
| CVE | Referanslar | Tür | Ciddiyet | Bileşen |
|---|---|---|---|---|
| CVE-2019-2317 | A-134436812 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-10586 | A-140423909 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-10587 | A-140423816 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-10593 | A-140424165 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-10594 | A-140424564 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-10612 | A-140423161 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-14031 | A-142271912 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-14045 | A-140973418 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-14071 | A-145545489 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-14083 | A-140973259 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-14086 | A-140973417 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-14030 | A-145546515 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-14097 | A-145546003 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-14098 | A-145546314 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-10546 | A-145545250 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2019-14095 | A-142843397 * | Yok | Kritik | Kapalı kaynak bileşeni |
| CVE-2018-11970 | A-114042111 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-10603 | A-140424074 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-10616 | A-140423338 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-10549 | A-140423162 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-10550 | A-140423702 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-10552 | A-140423817 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-10553 | A-140423081 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-10554 | A-140424012 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-10577 | A-140424166 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-14026 | A-142271986 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-14027 | A-142271756 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-14028 | A-142271831 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-2300 | A-142271659 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-2311 | A-142271967 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-14050 | A-143902706 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-14081 | A-143902882 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-14082 | A-140974589 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-14085 | A-143902807 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-14048 | A-145545282 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-14061 | A-145545758 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-10604 | A-145545725 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-10591 | A-145545283 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-14000 | A-145546434 * | Yok | Yüksek | Kapalı kaynak bileşeni |
| CVE-2019-14015 | A-145545650 * | Yok | Yüksek | Kapalı kaynak bileşeni |
Sık sorulan sorular ve cevaplar
Bu bölümde, bu bülteni okuduktan sonra ortaya çıkabilecek yaygın sorular yanıtlanmaktadır.
1. Cihazımın bu sorunları gidermek için güncellenip güncellenmediğini nasıl anlarım?
Bir cihazın güvenlik yaması düzeyini nasıl kontrol edeceğinizi öğrenmek için bkz.Android sürümünüzü kontrol etme ve güncelleme .
- 2020-03-01 veya sonraki güvenlik yaması düzeyleri, 2020-03-01 güvenlik yaması düzeyiyle ilişkili tüm sorunları ele alır.
- 2020-03-05 veya sonraki güvenlik yaması düzeyleri, 2020-03-05 güvenlik yaması düzeyi ve önceki tüm yama düzeyleriyle ilişkili tüm sorunları ele alır.
Bu güncellemeleri içeren cihaz üreticileri yama dizisi seviyesini şu şekilde ayarlamalıdır:
- [ro.build.version.security_patch]: [2020-03-01]
- [ro.build.version.security_patch]: [2020-03-05]
Android 10 veya sonraki bir sürümdeki bazı cihazlar için Google Play sistem güncellemesi 2020-03-01 güvenlik yaması düzeyiyle eşleşen bir tarih dizesine sahip olacaktır. Güvenlik güncellemelerinin nasıl yükleneceği hakkında daha fazla ayrıntı için lütfen bu makaleye bakın.
2. Bu bültende neden iki güvenlik yaması düzeyi var?
Bu bültende iki güvenlik yaması düzeyi vardır, böylece Android iş ortakları, tüm Android cihazlarda benzer bir güvenlik açığı alt kümesini daha hızlı bir şekilde düzeltme esnekliğine sahip olur. Android ortaklarının bu bültendeki tüm sorunları gidermeleri ve en son güvenlik yaması düzeyini kullanmaları önerilir.
- 2020-03-01 güvenlik yaması düzeyini kullanan cihazlar, söz konusu güvenlik yaması düzeyiyle ilişkili tüm sorunları ve önceki güvenlik bültenlerinde bildirilen tüm sorunlara yönelik düzeltmeleri içermelidir.
- 2020-03-05 veya daha yeni güvenlik yaması düzeyini kullanan cihazlar, bu (ve önceki) güvenlik bültenlerindeki tüm geçerli yamaları içermelidir.
İş ortaklarının, ele aldıkları tüm sorunlar için düzeltmeleri tek bir güncellemede bir araya getirmeleri önerilir.
3. Tür sütunundaki girişler ne anlama geliyor?
Güvenlik açığı ayrıntıları tablosunun Tür sütunundaki girişler, güvenlik açığı sınıflandırmasına atıfta bulunur.
| Kısaltma | Tanım |
|---|---|
| RCE | Uzaktan kod yürütme |
| EoP | Ayrıcalık yükselmesi |
| İD | Bilgi ifşası |
| DoS | Hizmet reddi |
| Yok | Sınıflandırma mevcut değil |
4. Referanslar sütunundaki girişler ne anlama geliyor?
Güvenlik açığı ayrıntıları tablosunun Başvurular sütununun altındaki girişler, referans değerinin ait olduğu kuruluşu tanımlayan bir önek içerebilir.
| Önek | Referans |
|---|---|
| A- | Android hata kimliği |
| QC- | Qualcomm referans numarası |
| M- | MediaTek referans numarası |
| N- | NVIDIA referans numarası |
| B- | Broadcom referans numarası |
5. Başvurular sütunundaki Android hata kimliğinin yanında bulunan * işareti ne anlama geliyor?
Herkese açık olmayan sorunlar, Referanslar sütunundaki Android hata kimliğinin yanında * işaretine sahiptir. Bu soruna yönelik güncelleme, genellikle Google Geliştirici sitesinde bulunan Pixel cihazlar için en son ikili sürücülerde bulunur.
6. Güvenlik açıkları bu bülten ile Pixel bülteni gibi cihaz / ortak güvenlik bültenleri arasında neden bölünüyor?
Bu güvenlik bülteninde belgelenen güvenlik açıkları, Android cihazlarda en son güvenlik yaması düzeyini bildirmek için gereklidir. Aygıt / iş ortağı güvenlik bültenlerinde belgelenen ek güvenlik açıkları, bir güvenlik yaması düzeyi bildirmek için gerekli değildir. Android cihaz ve yonga seti üreticileri, Google , Huawei , LGE , Motorola , Nokia veya Samsung gibi ürünlerine özgü güvenlik açığı ayrıntıları da yayınlayabilir.
Versiyonlar
| Versiyon | Tarih (değiştir | kaynağı değiştir) | Notlar |
|---|---|---|
| 1.0 | 2 Mart 2020 | Bülten yayınlandı |
| 1.1 | 3 Mart 2020 | Bülten, AOSP bağlantılarını içerecek şekilde revize edildi |
| 1.2 | 9 Mart 2020 | Güncellenen sorun listesi |