Опубликовано 5 декабря 2016 г. | Обновлено 7 декабря 2016 г.

В этом бюллетене содержится информация об уязвимостях в защите устройств Android. К его выходу мы выпустили автоматическое обновление системы безопасности для устройств Google и опубликовали образы прошивок на сайте для разработчиков. Все актуальные проблемы, перечисленные здесь, устранены в исправлении от 5 декабря 2016 года или более новом. Информацию о том, как проверить обновления системы безопасности, можно найти в Справочном центре.

Мы сообщили партнерам об уязвимостях 7 ноября 2016 года или ранее. Исправления уязвимостей доступны в хранилище Android Open Source Project (AOSP). В этом бюллетене также приведены ссылки на исправления вне AOSP.

Наиболее важным проблемам присвоен критический уровень серьезности, поскольку из-за них нарушается работа системы безопасности. Возможно, для устранения таких проблем потребуется переустановить ОС.

Обнаруженные уязвимости не эксплуатировались. В разделе Предотвращение атак рассказывается, как платформа безопасности и средства защиты сервисов, например SafetyNet, помогают снизить вероятность атак на Android.

Мы рекомендуем всем пользователям установить перечисленные в разделе обновления.

Объявления

• Мы включили в этот бюллетень сведения о двух обновлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Дополнительную информацию вы найдете в разделе Часто задаваемые вопросы.
  • 2016-12-01: частичное обновление системы безопасности, в котором исправлены все уязвимости уровня 2016-12-01 и более ранние.
  • 2016-12-05: полное обновление системы безопасности, в котором исправлены все уязвимости уровней 2016-12-01 и 2016-12-05, а также более ранние.
• На поддерживаемые устройства Google будет установлено единое автоматическое обновление системы безопасности от 5 декабря 2016 года.

Перечень уязвимостей

В таблице ниже перечислены уязвимости, их идентификаторы (CVE) и уровни серьезности, а также указано, затрагивает ли проблема устройства Google. Уровень серьезности зависит от того, какой ущерб будет нанесен устройству при атаке с использованием уязвимости, если средства защиты будут отключены разработчиком или взломаны.

Перечень уязвимостей (обновление системы безопасности 2016-12-01)

Перечисленные проблемы должны быть устранены в исправлении от 1 декабря 2016 года или более новом.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Перечень уязвимостей (обновление системы безопасности 2016-12-05)

В исправлении от 5 декабря 2016 года или более новом устранены все проблемы, упомянутые в обновлении 2016-12-01, а также уязвимости, перечисленные ниже.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Предотвращение атак

Ниже рассказывается, как платформа безопасности и средства защиты сервисов, например SafetyNet, позволяют снизить вероятность атак на Android.

• Использование многих уязвимостей затрудняется в новых версиях Android, поэтому мы рекомендуем всем пользователям своевременно обновлять систему.
• Команда, отвечающая за безопасность Android, активно отслеживает злоупотребления с помощью Проверки приложений и SafetyNet. Эти сервисы предупреждают пользователя об установке потенциально вредоносных приложений. Проверка приложений включена по умолчанию на всех устройствах с мобильными сервисами Google. Она особенно важна, если пользователь устанавливает ПО из сторонних источников. Хотя в Google Play инструменты для рутинга запрещены, они могут встречаться в других магазинах. Если пользователь решает установить такое приложение, Проверка предупреждает об этом. Кроме того, она пытается идентифицировать известное вредоносное ПО, использующее уязвимость для повышения привилегий, и блокировать его установку. Если подобное ПО уже есть на устройстве, система уведомит об этом пользователя и попытается удалить приложение.
• Приложения Google Hangouts и Messenger не передают медиафайлы таким процессам, как mediaserver, автоматически.

Благодарности

Благодарим всех, кто помог обнаружить уязвимости:

• Баоцзэн Дин, Чэнмин Ян, Пэн Сяо, Нин Ю, Ян Дун, Чао Ян, И Чжан и Ян Сун из Alibaba Mobile Security Group: CVE-2016-6783, CVE-2016-6784, CVE-2016-6785
• Чи Чжан, Минцзянь Чжоу (@Mingjian_Zhou), Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6789, CVE-2016-6790
• Кристиан Сил: CVE-2016-6769
• Дэвид Бенджамин и Кенни Рут из Google: CVE-2016-6767
• Ди Шэнь (@returnsme) из KeenLab (@keen_lab), Tencent: CVE-2016-6776, CVE-2016-6787
• Энь Хэ (@heeeeen4x) из MS509Team: CVE-2016-6763
• Гэнцзя Чэнь (@chengjia4574), pjf из IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-6779, CVE-2016-6778, CVE-2016-8401, CVE-2016-8402, CVE-2016-8403, CVE-2016-8409, CVE-2016-8408, CVE-2016-8404
• Цзяньцян Чжао (@jianqiangzhao) и pjf из IceSword Lab, Qihoo 360 Technology Co. Ltd: CVE-2016-6788, CVE-2016-6781, CVE-2016-6782, CVE-2016-8396
• Лубо Чжан, Тун Линь, Юань-Цун Ло, Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6791, CVE-2016-8391, CVE-2016-8392
• Марк Бренд из Project Zero: CVE-2016-6772
• Михал Беднарский: CVE-2016-6770, CVE-2016-6774
• Минцзянь Чжоу (@Mingjian_Zhou), Чи Чжан, Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6761, CVE-2016-6759, CVE-2016-8400
• Минцзянь Чжоу (@Mingjian_Zhou), Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6760
• Минцзянь Чжоу (@Mingjian_Zhou), Ханьсян Вэнь, Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6759
• Нейтан Крэнделл (@natecray) из Tesla Motors Product Security Team: CVE-2016-6915, CVE-2016-6916, CVE-2016-6917
• Nightwatch Cybersecurity Research (@nightwatchcyber): CVE-2016-5341
• Пэнфэй Дин (丁鹏飞), Чэньфу Бао (包沉浮), Ленкс Вэй (韦韬) из Baidu X-Lab: CVE-2016-6755, CVE-2016-6756
• Питер Пи (@heisecode) из Trend Micro: CVE-2016-8397, CVE-2016-8405, CVE-2016-8406, CVE-2016-8407
• Цидань Хэ (何淇丹) (@flanker_hqd) из KeenLab, Tencent (腾讯科恩实验室): CVE-2016-8399, CVE-2016-8395
• Цидань Хэ (何淇丹) (@flanker_hqd) и Марко Грасси (@marcograss) из KeenLab, Tencent (腾讯科恩实验室): CVE-2016-6768
• Ричард Шупак: CVE-2016-5341
• Саги Кедми из IBM X-Force Research: CVE-2016-8393, CVE-2016-8394
• Севен Шэнь (@lingtongshen) из Mobile Threat Research Team, Trend Micro Inc.: CVE-2016-6757
• Вэйчао Сунь (@sunblate) из Alibaba Inc.: CVE-2016-6773
• Вэнькэ Доу, Чи Чжан, Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6765
• Виш Ву (@wish_wu) (吴潍浠) из Mobile Threat Response Team, Trend Micro Inc.: CVE-2016-6704
• Юань-Цун Ло, Тун Линь, Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6786, CVE-2016-6780, CVE-2016-6775
• Юань-Цун Ло, Сяодун Ван, Чиачи У (@chiachih_wu) и Сюйсянь Цзян из C0RE Team: CVE-2016-6777
• Юйсян Ли из отдела безопасности платформы Tencent: CVE-2016-6771
• Чжэ Цзинь (金哲) из Chengdu Security Response Center, Qihoo 360 Technology Co. Ltd.: CVE-2016-6764, CVE-2016-6766
• Цзыно Хань из Chengdu Security Response Center, Qihoo 360 Technology Co. Ltd.: CVE-2016-6762

Отдельная благодарность Мэнло Гоу (@idhyt3r) из Bottle Tech, Юн Ван (王勇) (@ThomasKing2014) и Зубин Митра из Google за их помощь в составлении этого бюллетеня.

Описание уязвимостей (обновление системы безопасности 2016-12-01)

В этом разделе вы найдете подробную информацию обо всех перечисленных выше уязвимостях: описание и обоснование серьезности, таблицу с CVE, ссылками, уровнем серьезности, уязвимыми устройствами Google и версиями AOSP (при наличии), а также датой сообщения об ошибке. Где возможно, мы приведем основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Удаленное выполнение кода через CURL/LIBCURL

В таблице перечислены уязвимости, затрагивающие библиотеки CURL и LIBCURL. Наиболее серьезная из уязвимостей позволяет посреднику осуществить атаку с помощью поддельного сертификата и выполнить произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку злоумышленнику необходимо подделать сертификат.

Повышение привилегий через libziparchive

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку с ее помощью можно получить привилегии, недоступные сторонним приложениям.

Отказ в обслуживании через телефонную связь

Уязвимость позволяет локальному вредоносному ПО выполнять перезагрузку или вызывать зависание устройства с помощью специально созданного файла. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

Отказ в обслуживании в mediaserver

Уязвимость позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства с помощью специально созданного файла. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Удаленное выполнение кода через библиотеку Framesequence

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте непривилегированного процесса с помощью специально созданного файла. Проблеме присвоен высокий уровень серьезности из-за возможности удаленного выполнения кода в ПО, которое использует эту библиотеку.

Повышение привилегий через Smart Lock

Уязвимость позволяет злоумышленнику, в руки которого попало устройство, получить доступ к настройкам Smart Lock без ввода PIN-кода. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует физического доступа к разблокированному устройству, на котором Smart Lock был последней панелью настроек, открытых пользователем.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Повышение привилегий через Framework API

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к системным функциям. Проблеме присвоен средний уровень серьезности, поскольку уязвимость позволяет обойти ограничения процесса.

Повышение привилегий через телефонную связь

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к системным функциям. Проблеме присвоен средний уровень серьезности, поскольку уязвимость позволяет обойти ограничения процесса.

Повышение привилегий через Wi-Fi

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

Раскрытие информации через mediaserver

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен средний уровень серьезности.

Раскрытие информации через Package Manager

Уязвимость позволяет локальному вредоносному ПО обходить защиту ОС, обеспечивающую раздельное хранение данных приложений. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

Описание уязвимостей (обновление системы безопасности 2016-12-05)

В этом разделе вы найдете подробную информацию обо всех перечисленных выше уязвимостях: описание и обоснование серьезности, таблицу с CVE, ссылками, уровнем серьезности, уязвимыми устройствами Google и версиями AOSP (при наличии), а также датой сообщения об ошибке. Где возможно, мы приведем основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Повышение привилегий через подсистему памяти ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

Повышение привилегий через драйвер NVIDIA для графического процессора

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через ядро

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Повышение привилегий через видеодрайвер NVIDIA

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через драйвер ION ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

Уязвимости в компонентах Qualcomm

Следующие уязвимости затрагивают компоненты Qualcomm и описаны в бюллетене по безопасности Qualcomm AMSS за ноябрь 2015 года.

*Уровень серьезности этих уязвимостей определяется непосредственно компанией Qualcomm.

**Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через файловую систему ядра

Уязвимость позволяет локальному вредоносному ПО обходить защиту ОС, обеспечивающую раздельное хранение данных приложений. Проблеме присвоен высокий уровень серьезности, поскольку с ее помощью можно получить привилегии, недоступные сторонним приложениям.

Повышение привилегий через ядро

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует эксплуатации другой уязвимости.

Повышение привилегий через аудиодрайвер кодеков HTC

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через драйвер MediaTek

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Повышение привилегий через медиакодеки Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку с ее помощью можно получить привилегии, недоступные сторонним приложениям.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через драйвер Qualcomm для камеры

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

Повышение привилегий через подсистему производительности ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

Повышение привилегий через драйвер I2C MediaTek

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Повышение привилегий через библиотеку libomx NVIDIA

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку с ее помощью можно получить привилегии, недоступные сторонним приложениям.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через аудиодрайвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

Повышение привилегий через подсистему безопасности ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

Повышение привилегий через драйвер сенсорного экрана Synaptics

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через Wi-Fi-драйвер Broadcom

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Раскрытие информации через видеодрайвер MediaTek

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен высокий уровень серьезности.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Раскрытие информации через видеодрайвер NVIDIA

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен высокий уровень серьезности.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Отказ в обслуживании в GPS

Уязвимость позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к временному отказу в обслуживании.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Отказ в обслуживании в драйвере NVIDIA для камеры

Уязвимость позволяет злоумышленнику вызывать нарушения в работе системы. Возможно, для устранения проблемы потребуется переустановить ОС. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Повышение привилегий через сетевую подсистему ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса. Также уязвимый код недоступен из-за текущих настроек оптимизации компилятора.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Раскрытие информации через компоненты Qualcomm

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

Раскрытие информации через библиотеку librm NVIDIA

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен средний уровень серьезности.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Раскрытие информации через компоненты ядра

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Раскрытие информации через видеодрайвер NVIDIA

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

Раскрытие информации через аудиодрайвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

Часто задаваемые вопросы

В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.

1. Как определить, установлено ли на устройство обновление, в котором устранены перечисленные проблемы?

Информацию о том, как проверить обновления системы безопасности, можно найти в Справочном центре.

• В исправлении от 1 декабря 2016 года или более новом устранены все проблемы, связанные с обновлением 2016-12-01.
• В исправлении от 5 декабря 2016 года или более новом устранены все проблемы, связанные с обновлением 2016-12-05.

Производители устройств, позволяющие установить эти обновления, должны присвоить им один из этих уровней:

• [ro.build.version.security_patch]:[2016-12-01];
• [ro.build.version.security_patch]:[2016-12-05].

2. Почему в этом бюллетене говорится о двух обновлениях системы безопасности?

Мы включили в этот бюллетень сведения о двух обновлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Рекомендуем партнерам Android исправить все вышеперечисленные проблемы и установить последнее обновление системы безопасности.

• На устройствах с установленным обновлением от 1 декабря 2016 года должны быть исправлены все проблемы, упомянутые в соответствующем разделе этого бюллетеня, а также в предыдущих выпусках.
• На устройствах с установленным обновлением от 5 декабря 2016 года или более новым должны быть исправлены все проблемы, упомянутые в этом бюллетене и предыдущих выпусках.

Рекомендуем партнерам объединить все исправления проблем в одно обновление.

3. Как определить, на каких устройствах Google присутствует уязвимость?

В каждой таблице разделов с описанием уязвимостей 2016-12-01 и 2016-12-05 есть столбец Обновленные устройства Google. В нем указано, на каких устройствах присутствует уязвимость.

• Все устройства. Проблема возникает на следующих поддерживаемых устройствах Google: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player, Pixel C, Pixel и Pixel XL.
• Некоторые устройства. Перечислены устройства, на которых присутствует уязвимость.
• Нет. Проблема не возникает ни на одном устройстве Google.

4. На что указывают записи в столбце "Ссылки"?

В таблицах с описанием уязвимостей есть столбец Ссылки. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:

Версии

• 5 декабря 2016 года. Бюллетень опубликован.
• 7 декабря 2016 года. Добавлены ссылки на AOSP и обновлена атрибуция уязвимостей для CVE-2016-6915, CVE-2016-6916 и CVE-2016-6917.