發布日期：2018 年 2 月 5 日 | 更新日期：2018 年 4 月 30 日
Pixel/Nexus 安全性公告列舉對支援的 Google Pixel 和 Nexus 裝置 (Google 裝置) 造成影響的安全漏洞和功能改善項目，並說明相關細節。2018-02-05 之後的安全性修補程式等級也已針對 Google 裝置解決這份公告和 2018 年 2 月 Android 安全性公告列出的所有問題。請參閱關於檢查及更新 Android 版本的說明文章，瞭解如何查看裝置的安全性修補程式等級。
所有支援的 Google 裝置都會收到 2018-02-05 修補程式等級更新。我們建議所有客戶接受這些裝置更新。
附註：您可以前往 Google Developers 網站取得 Google 裝置韌體映像檔。
公告事項
我們除了修補 2018 年 2 月 Android 安全性公告中所列出的安全性漏洞，也針對下文列出的 Pixel 和 Nexus 裝置的安全性漏洞提供修補程式。我們的合作夥伴至少會提前一個月收到這些問題的相關通知，方便他們將相關內容納入其裝置更新中。
安全性修補程式
我們依照資安問題影響的元件將各項安全漏洞分門別類，另外也附上了問題說明和一份 CVE 資訊表，其中包括了相關參考資料、漏洞類型、嚴重程度，以及更新的 Android 開放原始碼計畫 (AOSP) 版本 (在適用情況下)。假如相關錯誤有公開變更，該錯誤 ID 會連結到相對應的變更 (例如 Android 開放原始碼計劃變更清單)。如果單一錯誤有多項相關變更，您可以透過該錯誤 ID 後面的編號連結開啟額外的參考資料。
架構
| CVE | 參考資料 | 類型 | 嚴重程度 | 更新的 Android 開放原始碼計劃版本 |
|---|---|---|---|---|
| CVE-2017-13239 | A-66244132* | ID | 中 | 8.0 |
| CVE-2017-13240 | A-68694819 | ID | 中 | 8.0、8.1 |
媒體架構
| CVE | 參考資料 | 類型 | 嚴重程度 | 更新的 Android 開放原始碼計劃版本 |
|---|---|---|---|---|
| CVE-2017-13241 | A-69065651 | ID | 中 | 5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0、8.1 |
| CVE-2017-13229 | A-68160703 | RCE | 中 | 7.0、7.1.1、7.1.2、8.0、8.1 |
| RCE | 最高 | 5.1.1、6.0、6.0.1 | ||
| CVE-2017-13235 | A-68342866 | NSI | NSI | 7.0、7.1.1、7.1.2、8.0、8.1 |
| DoS | 高 | 5.1.1、6.0、6.0.1 |
系統
| CVE | 參考資料 | 類型 | 嚴重程度 | 更新的 Android 開放原始碼計畫版本 |
|---|---|---|---|---|
| CVE-2017-13242 | A-62672248 [2] | ID | 中 | 6.0、6.0.1、7.0、7.1.1、7.1.2、8.0、8.1 |
| CVE-2017-13243 | A-38258991* | ID | 中 | 5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0 |
核心元件
| CVE | 參考資料 | 類型 | 嚴重程度 | 元件 |
|---|---|---|---|---|
| CVE-2017-13244 | A-62678986* | EoP | 中 | Easel |
| CVE-2017-13245 | A-64315347* | EoP | 中 | 音訊驅動程式 |
| CVE-2017-1000405 | A-69934280 上游程式庫核心 |
EoP | 中 | 頁面管理 |
| CVE-2017-13246 | A-36279469* | ID | 中 | 網路驅動程式 |
Qualcomm 元件
| CVE | 參考資料 | 類型 | 嚴重程度 | 元件 |
|---|---|---|---|---|
| CVE-2017-15817 | A-68992394 QC-CR#2076603 [2] |
RCE | 最高 | WLan |
| CVE-2017-15859 | A-65468985 QC-CR#2059715 |
ID | 中 | qcacld-2.0 |
| CVE-2017-17769 | A-65172622* QC-CR#2110256 |
ID | 中 | qdsp6v2 |
| CVE-2017-9723 | A-68992479 QC-CR#2007828 |
EoP | 中 | synaptics_dsx_htc 觸控螢幕驅動程式 |
| CVE-2017-14881 | A-68992478 QC-CR#2087492 [2] |
EoP | 中 | IPA 驅動程式 |
| CVE-2017-14877 | A-68992473 QC-CR#2057803 [2] |
EoP | 中 | IPA 驅動程式 |
| CVE-2017-15826 | A-68992471 QC-CR#2100085 [2] |
EoP | 中 | MDSS 旋轉器 |
| CVE-2017-14876 | A-68992468 QC-CR#2054041 |
EoP | 中 | MSM camera_v2 驅動程式 |
| CVE-2017-14892 | A-68992455 QC-CR#2096407 |
EoP | 中 | qdsp6v2 |
| CVE-2017-17766 | A-68992448 QC-CR#2115366 |
EoP | 中 | Wi-Fi |
| CVE-2017-15823 | A-68992447 QC-CR#2115365 |
EoP | 中 | Wi-Fi |
| CVE-2017-15852 | A-36730614* QC-CR#2028702 |
EoP | 中 | 訊框緩衝區 |
| CVE-2017-15846 | A-67713103 QC-CR#2083314 [2] |
EoP | 中 | 相機 |
| CVE-2017-14883 | A-68992426 QC-CR#2112832 |
EoP | 中 | 電源 |
| CVE-2017-11043 | A-68992421 QC-CR#2091584 |
EoP | 中 | Wi-Fi |
| CVE-2017-14875 | A-68992465 QC-CR#2042147 |
ID | 中 | 相機 |
| CVE-2017-14891 | A-68992453 QC-CR#2096006 |
ID | 中 | KGSL |
| CVE-2017-17771 | A-38196031 QC-CR#2003798 |
EoP | 中 | 相機驅動程式 |
| CVE-2017-11087 | A-34735194* QC-CR#2053869 |
ID | 中 | 媒體架構 |
功能更新
這些更新的目的在於解決受影響 Pixel 裝置的功能問題，與 Pixel 裝置的安全性無關。下表列出相關參考資料、受影響的類別 (例如藍牙或行動數據)、改善項目，以及受影響的裝置。
| 參考資料 | 類別 | 改善項目 | 裝置 |
|---|---|---|---|
| A-68863351 | 使用者體驗 | 變更「設定」應用程式中的圖示。 | 全部 |
| A-68198663 | 藍牙 | 提升部分耳機的藍牙通話品質。 | Pixel、Pixel XL、Pixel 2、Pixel 2 XL |
| A-68317240 | Wi-Fi | 改善 Wi-Fi 上行效能。 | Pixel 2、Pixel 2 XL |
| A-69263786 | 相機 | 改善相機在特定光源條件下的效能。 | Pixel 2、Pixel 2 XL |
| A-67844294 | Android Auto | 改善部分車款的 Android Auto 投影效能。 | Pixel 2、Pixel 2 XL |
| A-69349260 | 應用程式相容性 | 改善從位元組陣列剖析 RSA 金鑰的效能。 | 全部 |
| A-68832228 | 電源 | 改善部分 Pixel 2 XL 裝置的電池效能。 | Pixel 2 XL |
| A-69797895 | 行動數據 | 改善 Telus 使用者在特定網路環境下的數據效能。 | Pixel 2 |
| A-68368139 | 穩定性 | 改善裝置在特定情況下啟動時的穩定性。 | Pixel 2、Pixel 2 XL |
| A-68874871 | 音訊 | 改善切換音訊輸出時的路由。 | Pixel 2、Pixel 2 XL |
常見問題與解答
如果您在閱讀這篇公告後有任何疑問，可參考本節的常見問答。
1. 如何判斷目前的裝置軟體版本已修正這些問題？
如果是 2018-02-05 之後的安全性修補程式等級，代表 2018-02-05 安全性修補程式等級以前的所有問題都已解決。請參閱 Pixel 與 Nexus 更新時間表中的說明，瞭解如何查看裝置的安全性修補程式等級。
2. 「類型」欄中的項目代表什麼？
在安全漏洞詳情表格中，「類型」欄中的項目代表安全漏洞類別。
| 縮寫 | 定義 |
|---|---|
| RCE | 遠端程式碼執行 |
| EoP | 權限提升 |
| ID | 資訊外洩 |
| DoS | 阻斷服務 |
| 無 | 未分類 |
3.「參考資料」欄底下列出的識別碼代表什麼？
在安全漏洞詳情表格中，「參考資料」欄底下的項目可能會包含一個前置字串，表示該參考資料值所屬的機構。
| 前置字串 | 參考資料 |
|---|---|
| A- | Android 錯誤 ID |
| QC- | Qualcomm 參考編號 |
| M- | MediaTek 參考編號 |
| N- | NVIDIA 參考編號 |
| B- | Broadcom 參考編號 |
4.「參考資料」欄中，Android 錯誤 ID 旁的星號 (*) 代表什麼？
在「參考資料」欄中的 Android 錯誤 ID 旁邊標上星號 (*) 代表該問題並未公開，Nexus 裝置的最新二進位驅動程式通常已納入相關更新。您可以前往 Google Developers 網站下載這些驅動程式。
5. 為什麼安全漏洞會分別刊載在這份安全性公告和 Android 安全性公告？
如要宣告 Android 裝置的最新安全性修補程式等級，必須修正 Android 安全性公告中刊載的相關安全漏洞，其他安全漏洞 (例如本安全性公告所刊載的項目) 對於宣告安全性修補程式等級並非必要。
版本
| 版本 | 日期 | 附註 |
|---|---|---|
| 1.0 | 2018 年 2 月 5 日 | 發佈公告。 |
| 1.1 | 2018 年 2 月 7 日 | 修訂公告內容 (加入 Android 開放原始碼計劃連結)。 |
| 1.3 | 2018 年 4 月 2 日 | 將 CVE-2017-15817 從 2 月 Android 安全性公告移至 2 月 Pixel 安全性公告。 |
| 1.4 | 2018 年 4 月 30 日 | 將 CVE-2017-15852 從 CR 2046770 更新為 CR 2028702。 |