Бюллетень по безопасности Android - декабрь 2021 г.

Опубликовано 6 декабря 2021 г. | Обновлено 8 декабря 2021 г.

Бюллетень по безопасности Android содержит подробную информацию об уязвимостях системы безопасности, влияющих на устройства Android. Все эти проблемы устранены в исправлении для системы безопасности от 5 декабря 2021 года или более новом. Чтобы узнать , как проверить уровень обновления безопасности для устройства, см Проверка и обновление Android версии .

Партнеры Android уведомляются обо всех проблемах как минимум за месяц до публикации. Партнеры Android уведомляются обо всех проблемах как минимум за месяц до публикации. Исправления исходного кода для этих проблем были выпущены в репозиторий Android Open Source Project (AOSP) и связаны с этим бюллетенем. Этот бюллетень также включает ссылки на исправления вне AOSP.

Самая серьезная из этих проблем - критическая уязвимость системы безопасности в компоненте Media Framework, которая может привести к удаленному раскрытию информации без дополнительных прав на выполнение. Оценка тяжести основана на том , что использование уязвимости, возможно , придется на соответствующем устройстве, в предположении , что платформа и обслуживание смягчение выключаются в целях развития или , если успешно обходили.

Обратитесь к Android и Google Play Protect смягчающих раздел для деталей на Android защиты платформы безопасности и Google Play Protect, которые улучшают безопасность Android платформы.

Снижение риска для сервисов Android и Google

Это резюме из смягчающих предоставляемой Android платформы безопасности и службы защиты , такие , как Google Play Protect . Эти возможности снижают вероятность того, что уязвимости системы безопасности могут быть успешно использованы на Android.

  • Использование многих проблем на Android осложняется улучшениями в новых версиях платформы Android. Мы рекомендуем всем пользователям по возможности обновиться до последней версии Android.
  • Команда Android безопасности активно отслеживает злоупотребления через Google Play Protect и предупреждает пользователей о потенциально вредоносных приложений . Google Play защита включена по умолчанию на устройствах с Google Mobile Services , и особенно важно для пользователей , которые устанавливают приложения из вне Google Play.

2021-12-01 Сведения об уязвимости уровня исправления безопасности

В разделах ниже мы приводим подробную информацию о каждой из уязвимостей системы безопасности, относящихся к уровню исправления 2021-12-01. Уязвимости сгруппированы по компонентам, на которые они влияют. Проблемы описаны в таблицах ниже и включают в себя идентификатор CVE, связанные ссылки, тип уязвимости , степени тяжести , а также обновленные версии AOSP (где это применимо). Когда доступно, мы связываем общедоступное изменение, устраняющее проблему, с идентификатором ошибки, например, со списком изменений AOSP. Когда несколько изменений относятся к одной ошибке, дополнительные ссылки связаны с номерами, следующими за идентификатором ошибки. Устройства с Android 10 и более поздних версий могут получать обновления безопасности, а также обновление системы Play Google .

Рамки

Наиболее серьезная уязвимость в этом разделе может привести к повреждению памяти локальным злоумышленником без каких-либо привилегий или взаимодействия с пользователем.

CVE использованная литература Тип Строгость Обновленные версии AOSP
CVE-2021-0955 A-192085766 EoP Высокий 11
CVE-2021-0970 A-196970023 EoP Высокий 9, 10, 11, 12
CVE-2021-0704 A-179338675 Я БЫ Высокий 9, 10, 11

Медиа Фреймворк

Наиболее серьезная уязвимость в этом разделе может привести к удаленному раскрытию информации без дополнительных прав на выполнение.

CVE использованная литература Тип Строгость Обновленные версии AOSP
CVE-2021-0967 A-199065614 Я БЫ Высокий 10, 11, 12
RCE Критический 9
CVE-2021-0964 A-193363621 Я БЫ Высокий 9, 10, 11, 12

Система

Наиболее серьезная уязвимость в этом разделе может позволить удаленному злоумышленнику выполнить произвольный код в контексте привилегированного процесса.

CVE использованная литература Тип Строгость Обновленные версии AOSP
CVE-2021-0968 A-197868577 RCE Критический 9, 10, 11, 12
CVE-2021-0956 A-189942532 EoP Критический 11, 12
CVE-2021-0953 A-184046278 EoP Высокий 9, 10, 11, 12
CVE-2021-0954 A-143559931 EoP Высокий 10, 11
CVE-2021-0963 А-199754277 [ 2 ] EoP Высокий 9, 10, 11, 12
CVE-2021-0965 A-194300867 EoP Высокий 9, 10, 11, 12
CVE-2021-0952 A-195748381 Я БЫ Высокий 9, 10, 11, 12
CVE-2021-0966 A-198346478 Я БЫ Высокий 11, 12
CVE-2021-0958 A-200041882 DoS Умеренный 11, 12
CVE-2021-0969 A-199922685 DoS Умеренный 10, 11

Обновления системы Google Play

Следующие проблемы включены в компоненты Project Mainline.

Компонент CVE
Медиа кодеки CVE-2021-0964
Медиа-кодеки, компоненты Media Framework CVE-2021-0967

2021-12-05 сведения об уязвимости уровня исправления безопасности

В разделах ниже мы приводим подробную информацию о каждой из уязвимостей системы безопасности, относящихся к уровню исправления 2021-12-05. Уязвимости сгруппированы по компонентам, на которые они влияют. Проблемы описаны в таблицах ниже и включают в себя идентификатор CVE, связанные ссылки, тип уязвимости , степени тяжести , а также обновленные версии AOSP (где это применимо). Когда доступно, мы связываем общедоступное изменение, устраняющее проблему, с идентификатором ошибки, например, со списком изменений AOSP. Когда несколько изменений относятся к одной ошибке, дополнительные ссылки связаны с номерами, следующими за идентификатором ошибки.

Медиа Фреймворк

Уязвимость в этом разделе может привести к удаленному раскрытию информации без дополнительных привилегий выполнения.
CVE использованная литература Тип Строгость Обновленные версии AOSP
CVE-2021-0971 A-188893559 Я БЫ Высокий 9, 10, 11, 12

Компоненты ядра

Самая серьезная уязвимость в этом разделе может привести к целочисленному переполнению, записи за границу и эскалации до root непривилегированным пользователем.
CVE использованная литература Тип Строгость Компонент
CVE-2021-33909 A-195082750
Вышестоящее ядро
EoP Высокий Файловая система
CVE-2021-38204 A-196448784
Вышестоящее ядро
EoP Высокий USB
CVE-2021-0961 A-196046570
Ядро восходящего потока [ 2 ] [ 3 ]
Я БЫ Умеренный сетевой фильтр

Компоненты MediaTek

Эти уязвимости влияют на компоненты MediaTek, и дополнительную информацию можно получить непосредственно в MediaTek. Оценка серьезности этих проблем предоставляется непосредственно MediaTek.

CVE использованная литература Строгость Компонент
CVE-2021-0675
A-201895896
M-ALPS06064258 *
Высокий декодер alac
CVE-2021-0904
A-201779035
M-ALPS06076938 *
Высокий SRAMROM

Компоненты Qualcomm

Эти уязвимости затрагивают компоненты Qualcomm и более подробно описаны в соответствующем бюллетене безопасности Qualcomm или предупреждении безопасности. Оценка серьезности этих проблем предоставляется непосредственно Qualcomm.

CVE использованная литература Строгость Компонент
CVE-2021-30262
A-190402578
QC-CR # 2774954
Высокий Модем
CVE-2021-30335
A-199191310
QC-CR # 2964455
Высокий Ядро
CVE-2021-30337
A-199190644
QC-CR # 2971293
Высокий Ядро

Компоненты Qualcomm с закрытым исходным кодом

Эти уязвимости затрагивают компоненты Qualcomm с закрытым исходным кодом и более подробно описаны в соответствующем бюллетене безопасности Qualcomm или предупреждении безопасности. Оценка серьезности этих проблем предоставляется непосредственно Qualcomm.

CVE использованная литература Строгость Компонент
CVE-2021-30275
A-190403081 * Критический Компонент с закрытым исходным кодом
CVE-2021-30276
A-190404445 * Критический Компонент с закрытым исходным кодом
CVE-2021-30351
A-201430561 * Критический Компонент с закрытым исходным кодом
CVE-2020-11263
A-190404447 * Высокий Компонент с закрытым исходным кодом
CVE-2021-1894
A-190404405 * Высокий Компонент с закрытым исходным кодом
CVE-2021-1918
A-190403729 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30267
A-190403212 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30268
A-190404446 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30269
A-190403511 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30270
A-190402575 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30271
A-190404402 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30272
A-190404323 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30273
A-190404403 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30274
A-190403731 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30278
A-190403213 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30279
A-190402580 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30282
A-190404328 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30283
A-190403513 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30289
A-190404404 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30293
A-190404327 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30303
A-199192449 * Высокий Компонент с закрытым исходным кодом
CVE-2021-30336
A-199191065 * Высокий Компонент с закрытым исходным кодом

Обновления системы Google Play

Следующие проблемы включены в компоненты Project Mainline.

Компонент CVE
Компоненты Media Framework CVE-2021-0971

Общие вопросы и ответы

В этом разделе даны ответы на общие вопросы, которые могут возникнуть после прочтения этого бюллетеня.

1. Как определить, обновлено ли мое устройство для решения этих проблем?

Чтобы узнать , как проверить уровень обновления безопасности для устройства, см Проверка и обновление Android версии .

  • Уровни исправления безопасности от 01.12.2021 или более поздние устраняют все проблемы, связанные с уровнем исправления безопасности 2021-12-01.
  • В исправлении для системы безопасности от 5 декабря 2021 года или более новом устранены все проблемы, связанные с уровнем исправления 2021-12-05 и всеми предыдущими уровнями исправлений.

Производители устройств, которые включают эти обновления, должны установить уровень строки исправления:

  • [ro.build.version.security_patch]: [2021-12-01]
  • [ro.build.version.security_patch]: [2021-12-05]

Для некоторых устройств на Android 10 или новее в обновлении системы Google Play будет строка даты, соответствующая уровню исправления безопасности 2021-12-01. Пожалуйста , смотрите эту статью для получения более подробной информации о том , как установить обновление безопасности.

2. Почему в этом бюллетене есть два уровня исправлений безопасности?

В этом бюллетене есть два уровня исправлений безопасности, чтобы партнеры Android могли быстрее исправить подмножество уязвимостей, схожих на всех устройствах Android. Партнерам Android рекомендуется исправить все проблемы, описанные в этом бюллетене, и использовать исправления безопасности последнего уровня.

  • Устройства, использующие уровень исправления безопасности 2021-12-01, должны включать все проблемы, связанные с этим уровнем исправления безопасности, а также исправления для всех проблем, о которых сообщалось в предыдущих бюллетенях по безопасности.
  • Устройства, которые используют уровень исправлений безопасности 2021-12-05 или новее, должны включать все применимые исправления в этом (и предыдущих) бюллетенях по безопасности.

Партнерам рекомендуется объединить исправления для всех проблем, которые они решают, в одном обновлении.

3. Что делать записи в колонке среднего типа?

Записи в столбце Типа уязвимости в таблице данных Ссылки классификации уязвимости.

Сокращение Определение
RCE Удаленное выполнение кода
EoP Повышение привилегий
Я БЫ Раскрытие информации
DoS Отказ в обслуживании
Нет данных Классификация недоступна

4. Что делать записи в справочниках колонке среднем?

Записи в столбце Ссылки таблицы подробностей уязвимости могут содержать префикс , идентифицирующий организацию , к которой принадлежит эталонное значение.

Префикс Ссылка
А- Идентификатор ошибки Android
QC- Ссылочный номер Qualcomm
М- Ссылочный номер MediaTek
N- Ссылочный номер NVIDIA
B- Ссылочный номер Broadcom
U- Регистрационный номер UNISOC

5. Что делает * рядом с Android ошибки ID в References колонки среднего?

Проблемы, которые не являются общедоступными, помечены * рядом с соответствующим идентификатором ссылки. Обновление для этого вопроса , как правило , содержатся в последних бинарных драйверов для устройств пиксельных , доступных с сайта разработчика Google .

6. Почему уязвимости безопасности разделены между этим бюллетенем и бюллетенями по безопасности устройств / партнеров, такими как бюллетень Pixel?

Уязвимости безопасности, задокументированные в этом бюллетене по безопасности, необходимы для объявления последнего уровня исправления безопасности на устройствах Android. Дополнительные уязвимости безопасности, которые задокументированы в бюллетенях по безопасности устройства / партнера, не требуются для объявления уровня исправления безопасности. Производители Android устройств и чипсета также могут публиковать данные уязвимости безопасности , специфичные для своих продуктов, таких как Google , Huawei , LGE , Motorola , Nokia или Samsung .

Версии

Версия Дата Примечания
1.0 6 декабря 2021 г. Бюллетень выпущен
1.1 8 декабря 2021 г. В бюллетень добавлены ссылки на AOSP.