Бюллетень по безопасности Android

Опубликовано 6 марта 2017 г. | Обновлено 7 марта 2017 г.

В этом бюллетене содержится информация об уязвимостях в защите устройств Android. К его выходу мы выпустили автоматическое обновление системы безопасности для устройств Google и опубликовали образы прошивок на сайте для разработчиков. Все актуальные проблемы, перечисленные здесь, устранены в исправлении от 5 марта 2017 года или более новом. Информацию о том, как проверить обновления системы безопасности, можно найти в Справочном центре.

Мы сообщили партнерам об уязвимостях 6 февраля 2017 года или ранее. Исправления уязвимостей доступны в хранилище Android Open Source Project (AOSP). В этом бюллетене также приведены ссылки на исправления вне AOSP.

Наиболее серьезная из уязвимостей имеет критический уровень и позволяет удаленно выполнять код на пораженном устройстве (например, при работе с электронной почтой, просмотре сайтов в Интернете или обработке медиафайлов MMS).

Обнаруженные уязвимости не эксплуатировались. В разделе Предотвращение атак описывается, как платформа безопасности и средства защиты сервисов, например SafetyNet, помогают снизить вероятность атак на Android.

Мы рекомендуем всем пользователям установить перечисленные в разделе обновления.

Объявления

Мы включили в этот бюллетень сведения о двух обновлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Дополнительную информацию вы найдете в разделе Часто задаваемые вопросы.
- 2017-03-01: частичное обновление системы безопасности, в котором исправлены все уязвимости уровня 2017-03-01 и более ранние.
- 2017-03-05: полное обновление системы безопасности, в котором исправлены все уязвимости уровней 2017-03-01 и 2017-03-05, а также более ранние.
На поддерживаемые устройства Google будет установлено единое автоматическое обновление системы безопасности от 5 марта 2017 года.

Перечень уязвимостей

В таблице ниже перечислены уязвимости, их идентификаторы (CVE) и уровни серьезности, а также указано, затрагивает ли проблема устройства Google. Уровень серьезности зависит от того, какой ущерб будет нанесен устройству при атаке с использованием уязвимости, если средства защиты будут отключены разработчиком или взломаны.

Перечень уязвимостей (обновление системы безопасности 2017-03-01)

Перечисленные проблемы должны быть устранены в исправлении от 1 марта 2017 года или более новом.

Уязвимость	CVE	Уровень серьезности	Затрагивает устройства Google?
Удаленное выполнение кода через OpenSSL и BoringSSL	CVE-2016-2182	Критический	Да
Удаленное выполнение кода через mediaserver	CVE-2017-0466, CVE-2017-0467, CVE-2017-0468, CVE-2017-0469, CVE-2017-0470, CVE-2017-0471, CVE-2017-0472, CVE-2017-0473, CVE-2017-0474	Критический	Да
Повышение привилегий через верификатор восстановления	CVE-2017-0475	Критический	Да
Удаленное выполнение кода через клиент для обмена сообщениями AOSP	CVE-2017-0476	Высокий	Да
Удаленное выполнение кода через libgdx	CVE-2017-0477	Высокий	Да
Удаленное выполнение кода через библиотеку Framesequence	CVE-2017-0478	Высокий	Да
Повышение привилегий через NFC	CVE-2017-0481	Высокий	Да
Повышение привилегий через audioserver	CVE-2017-0479, CVE-2017-0480	Высокий	Да
Отказ в обслуживании в mediaserver	CVE-2017-0482, CVE-2017-0483, CVE-2017-0484, CVE-2017-0485, CVE-2017-0486, CVE-2017-0487, CVE-2017-0488	Высокий	Да
Повышение привилегий через диспетчер местоположения	CVE-2017-0489	Средний	Да
Повышение привилегий через Wi-Fi	CVE-2017-0490	Средний	Да
Повышение привилегий через диспетчер пакетов	CVE-2017-0491	Средний	Да
Повышение привилегий через System UI	CVE-2017-0492	Средний	Да
Раскрытие информации через клиент для обмена сообщениями AOSP	CVE-2017-0494	Средний	Да
Раскрытие информации через mediaserver	CVE-2017-0495	Средний	Да
Отказ в обслуживании в мастере настройки	CVE-2017-0496	Средний	Да
Отказ в обслуживании в mediaserver	CVE-2017-0497	Средний	Да
Отказ в обслуживании в мастере настройки	CVE-2017-0498	Средний	Нет*
Отказ в обслуживании в audioserver	CVE-2017-0499	Низкий	Да

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Перечень уязвимостей (обновление системы безопасности 2017-03-05)

В исправлении от 5 марта 2017 года или более новом устранены все проблемы, упомянутые в обновлении 2017-03-01, а также уязвимости, перечисленные ниже.

Уязвимость	CVE	Уровень серьезности	Затрагивает устройства Google?
Повышение привилегий через компоненты MediaTek	CVE-2017-0500, CVE-2017-0501, CVE-2017-0502, CVE-2017-0503, CVE-2017-0504, CVE-2017-0505, CVE-2017-0506	Критический	Нет*
Повышение привилегий через драйвер NVIDIA для графического процессора	CVE-2017-0337, CVE-2017-0338, CVE-2017-0333, CVE-2017-0306, CVE-2017-0335	Критический	Да
Повышение привилегий через подсистему ION ядра	CVE-2017-0507, CVE-2017-0508	Критический	Да
Повышение привилегий через Wi-Fi-драйвер Broadcom	CVE-2017-0509	Критический	Нет*
Повышение привилегий через FIQ-отладчик ядра	CVE-2017-0510	Критический	Да
Повышение привилегий через драйвер Qualcomm для графического процессора	CVE-2016-8479	Критический	Да
Повышение привилегий через сетевую подсистему ядра	CVE-2016-9806, CVE-2016-10200	Критический	Да
Уязвимости в компонентах Qualcomm	CVE-2016-8484, CVE-2016-8485, CVE-2016-8486, CVE-2016-8487, CVE-2016-8488	Критический	Нет*
Повышение привилегий через сетевую подсистему ядра	CVE-2016-8655, CVE-2016-9793	Высокий	Да
Повышение привилегий через драйвер устройств ввода Qualcomm	CVE-2017-0516	Высокий	Да
Повышение привилегий через драйвер MediaTek для аппаратного датчика	CVE-2017-0517	Высокий	Нет*
Повышение привилегий через ADSPRPC-драйвер Qualcomm	CVE-2017-0457	Высокий	Да
Повышение привилегий через драйвер сканера отпечатков пальцев Qualcomm	CVE-2017-0518, CVE-2017-0519	Высокий	Да
Повышение привилегий через драйвер Qualcomm для шифрования	CVE-2017-0520	Высокий	Да
Повышение привилегий через драйвер Qualcomm для камеры	CVE-2017-0458, CVE-2017-0521	Высокий	Да
Повышение привилегий через APK MediaTek	CVE-2017-0522	Высокий	Нет*
Повышение привилегий через Wi-Fi-драйвер Qualcomm	CVE-2017-0464, CVE-2017-0453, CVE-2017-0523	Высокий	Да
Повышение привилегий через драйвер сенсорного экрана Synaptics	CVE-2017-0524	Высокий	Да
Повышение привилегий через драйвер усилителя Qualcomm	CVE-2017-0456, CVE-2017-0525	Высокий	Да
Повышение привилегий через драйвер контроллера датчиков HTC	CVE-2017-0526, CVE-2017-0527	Высокий	Да
Повышение привилегий через драйвер NVIDIA для графического процессора	CVE-2017-0307	Высокий	Нет*
Повышение привилегий через сетевой драйвер Qualcomm	CVE-2017-0463, CVE-2017-0460	Высокий	Да
Повышение привилегий через подсистему безопасности ядра	CVE-2017-0528	Высокий	Да
Повышение привилегий через SPCom-драйвер Qualcomm	CVE-2016-5856, CVE-2016-5857	Высокий	Нет*
Раскрытие информации через сетевую подсистему ядра	CVE-2014-8709	Высокий	Да
Раскрытие информации через драйвер MediaTek	CVE-2017-0529	Высокий	Нет*
Раскрытие информации через загрузчик Qualcomm	CVE-2017-0455	Высокий	Да
Раскрытие информации через драйвер питания Qualcomm	CVE-2016-8483	Высокий	Да
Раскрытие информации через драйвер NVIDIA для графического процессора	CVE-2017-0334, CVE-2017-0336	Высокий	Да
Отказ в обслуживании в криптографической подсистеме ядра	CVE-2016-8650	Высокий	Да
Повышение привилегий через драйвер Qualcomm для камеры (уязвимость устройства)	CVE-2016-8417	Средний	Да
Раскрытие информации через Wi-Fi-драйвер Qualcomm	CVE-2017-0461, CVE-2017-0459, CVE-2017-0531	Средний	Да
Раскрытие информации через драйвер видеокодека MediaTek	CVE-2017-0532	Средний	Нет*
Раскрытие информации через видеодрайвер Qualcomm	CVE-2017-0533, CVE-2017-0534, CVE-2016-8416, CVE-2016-8478	Средний	Да
Раскрытие информации через драйвер Qualcomm для камеры	CVE-2016-8413, CVE-2016-8477	Средний	Да
Раскрытие информации через аудиодрайвер кодеков HTC	CVE-2017-0535	Средний	Да
Раскрытие информации через драйвер сенсорного экрана Synaptics	CVE-2017-0536	Средний	Да
Раскрытие информации через USB-драйвер ядра	CVE-2017-0537	Средний	Да
Раскрытие информации через драйвер Qualcomm для камеры	CVE-2017-0452	Низкий	Да

Предотвращение атак

Ниже рассказывается, как платформа безопасности и средства защиты сервисов, например SafetyNet, позволяют снизить вероятность атак на Android.

Использование многих уязвимостей затрудняется в новых версиях Android, поэтому мы рекомендуем всем пользователям своевременно обновлять систему.
Команда, отвечающая за безопасность Android, активно отслеживает злоупотребления с помощью Проверки приложений и SafetyNet. Эти сервисы предупреждают пользователя об установке потенциально вредоносных приложений. Проверка приложений включена по умолчанию на всех устройствах с мобильными сервисами Google. Она особенно важна, если пользователь устанавливает ПО из сторонних источников. Хотя в Google Play инструменты для рутинга запрещены, они могут встречаться в других магазинах. Если пользователь решает установить такое приложение, Проверка предупреждает об этом. Кроме того, она пытается идентифицировать известное вредоносное ПО, использующее уязвимость для повышения привилегий, и блокировать его установку. Если подобное ПО уже есть на устройстве, система уведомит об этом пользователя и попытается удалить приложение.
Приложения Google Hangouts и Messenger не передают медиафайлы таким процессам, как mediaserver, автоматически.

Благодарности

Благодарим всех, кто помог обнаружить уязвимости:

Александр Потапенко из команды Google Dynamic Tools: CVE-2017-0537
Баоцзэн Дин, Чэнмин Ян, Пэн Сяо и Ян Сун из Alibaba Mobile Security Group: CVE-2017-0506
Баоцзэн Дин, Нин Ю, Чэнмин Ян, Пэн Сяо и Ян Сун из Alibaba Mobile Security Group: CVE-2017-0463
Билли Лау из команды безопасности Android: CVE-2017-0335, CVE-2017-0336, CVE-2017-0338, CVE-2017-0460
derrek (@derrekr6): CVE-2016-8413, CVE-2016-8477, CVE-2017-0531
derrek (@derrekr6) и Скотт Бауэр (@ScottyBauer1): CVE-2017-0521
Ди Шэнь (@returnsme) из KeenLab (@keen_lab), Tencent: CVE-2016-8412, CVE-2016-8444, CVE-2016-8427, CVE-2017-0403
Энь Хэ (@heeeeen4x) и Бо Лю из MS509Team: CVE-2017-0490
Гэнцзя Чэнь (@chengjia4574) и pjf из IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2016-6725, CVE-2016-6738, CVE-2016-6740, CVE-2016-6741, CVE-2016-6742, CVE-2016-6744, CVE-2016-6745, CVE-2016-3906
Хао Чэнь и Гуан Гун из Alpha Team, Qihoo 360 Technology Co. Ltd.: CVE-2017-0453, CVE-2017-0461, CVE-2017-0464
Хироки Ямамото и Фан Чень из Sony Mobile Communications Inc.: CVE-2017-0481
Саги Кедми и Рои Хэй из IBM Security X-Force: CVE-2017-0510
Цзяньцзюнь Дай (@Jioun_dai) из Qihoo 360 Skyeye Labs: CVE-2017-0478
Цзяньцян Чжао (@jianqiangzhao) и pjf из IceSword Lab, Qihoo 360: CVE-2016-6688, CVE-2016-6677, CVE-2016-6673, CVE-2016-6687, CVE-2016-6686, CVE-2016-6681, CVE-2016-6682, CVE-2016-3930
Лубо Чжан, Тун Линь, Юань-Цун Ло и Сюйсянь Цзян из C0RE Team: CVE-2016-8479
Макото Онуки из Google: CVE-2017-0491
Минцзянь Чжоу (@Mingjian_Zhou), Ханьсян Вэнь и Сюйсянь Цзян из C0RE Team: CVE-2017-0479, CVE-2017-0480
Нейтан Крэнделл (@natecray): CVE-2017-0535
Нейтан Крэнделл (@natecray) из Tesla Motors Product Security Team: CVE-2017-0306
Пэнфэй Дин (丁鹏飞), Чэньфу Бао (包沉浮) и Ленкс Вэй (韦韬) из Baidu X-Lab (百度安全实验室): CVE-2016-8417
Цидань Хэ (何淇丹) (@flanker_hqd) из KeenLab, Tencent: CVE-2017-0337, CVE-2017-0476
Цин Чжан из Qihoo 360 и Гуандун Бай из Технологического института Сингапура (SIT): CVE-2017-0496
Цюйхэ и ваньчоучоу из Ant-financial Light-Year Security Lab (蚂蚁金服巴斯光年安全实验室): CVE-2017-0522
Sahara из Secure Communications в DarkMatter: CVE-2017-0528
salls (@chris_salls) из команды Shellphish Grill, Калифорнийский университет в Санта-Барбаре: CVE-2017-0505
Скотт Бауэр (@ScottyBauer1): CVE-2017-0504, CVE-2017-0516
Шон Бопре (beaups): CVE-2017-0455
Севен Шэнь (@lingtongshen) из TrendMicro: CVE-2017-0452
Шиничи Мацумото из Fujitsu: CVE-2017-0498
Стефан Марк из ByteRev: CVE-2017-0489
Светослав Ганов из Google: CVE-2017-0492
Тун Линь, Юань-Цун Ло и Сюйсянь Цзян из C0RE Team: CVE-2017-0333
V.E.O (@VYSEa) из команды по изучению угроз для мобильных устройств, Trend Micro: CVE-2017-0466, CVE-2017-0467, CVE-2017-0468, CVE-2017-0469, CVE-2017-0470, CVE-2017-0471, CVE-2017-0472, CVE-2017-0473, CVE-2017-0482, CVE-2017-0485, CVE-2017-0486, CVE-2017-0487, CVE-2017-0494, CVE-2017-0495
Виш У (吴潍浠此彼) (@wish_wu) из Ant-financial Light-Year Security Lab (蚂蚁金服巴斯光年安全实验室): CVE-2017-0477
Юй Пань из Vulpecker Team, Qihoo 360 Technology Co. Ltd: CVE-2017-0517, CVE-2017-0532
Юань-Цун Ло и Сюйсянь Цзян из C0RE Team: CVE-2017-0526, CVE-2017-0527
Юйци Лу (@nikos233), Вэнькэ Доу, Дачэн Шао, Минцзянь Чжоу (@Mingjian_Zhou) и Сюйсянь Цзян из C0RE Team: CVE-2017-0483

Описание уязвимостей (обновление системы безопасности 2017-03-01)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, обозначенных в разделе Перечень уязвимостей (обновление системы безопасности 2017-03-01): описание и обоснование серьезности, таблицу с CVE, ссылками, уровнем серьезности, уязвимыми устройствами Google и версиями AOSP (при наличии), а также датой сообщения об ошибке. Где возможно, мы приведем основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Удаленное выполнение кода через OpenSSL и BoringSSL

Уязвимость позволяет злоумышленнику нарушить целостность информации в памяти при обработке файлов и данных в специально созданном файле. Проблеме присвоен критический уровень серьезности из-за возможности удаленного выполнения кода в контексте привилегированного процесса.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2016-2182	A-32096880	Критический	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	5 августа 2016 г.

Удаленное выполнение кода через mediaserver

Уязвимость позволяет злоумышленнику нарушить целостность информации в памяти при обработке медиафайлов и данных в специально созданном файле. Проблеме присвоен критический уровень серьезности из-за возможности удаленного выполнения кода в контексте процесса mediaserver.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0466	A-33139050 [2]	Критический	Все	6.0, 6.0.1, 7.0, 7.1.1	25 ноября 2016 г.
CVE-2017-0467	A-33250932 [2]	Критический	Все	6.0, 6.0.1, 7.0, 7.1.1	30 ноября 2016 г.
CVE-2017-0468	A-33351708 [2]	Критический	Все	6.0, 6.0.1, 7.0, 7.1.1	5 декабря 2016 г.
CVE-2017-0469	A-33450635	Критический	Все	6.0, 6.0.1, 7.0, 7.1.1	8 декабря 2016 г.
CVE-2017-0470	A-33818500	Критический	Все	6.0, 6.0.1, 7.0, 7.1.1	21 декабря 2016 г.
CVE-2017-0471	A-33816782	Критический	Все	6.0, 6.0.1, 7.0, 7.1.1	21 декабря 2016 г.
CVE-2017-0472	A-33862021	Критический	Все	6.0, 6.0.1, 7.0, 7.1.1	23 декабря 2016 г.
CVE-2017-0473	A-33982658	Критический	Все	6.0, 6.0.1, 7.0, 7.1.1	30 декабря 2016 г.
CVE-2017-0474	A-32589224	Критический	Все	7.0, 7.1.1	Доступно только сотрудникам Google

Повышение привилегий через верификатор восстановления

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0475	A-31914369	Критический	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	2 октября 2016 г.

Удаленное выполнение кода через клиент для обмена сообщениями AOSP

Уязвимость позволяет злоумышленнику нарушить целостность информации в памяти при обработке медиафайлов и данных в специально созданном файле. Проблеме присвоен высокий уровень серьезности из-за возможности удаленного выполнения кода в контексте непривилегированного процесса.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0476	A-33388925	Высокий	Все	6.0, 6.0.1, 7.0, 7.1.1	6 декабря 2016 г.

Удаленное выполнение кода через libgdx

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте непривилегированного процесса с помощью специально созданного файла. Проблеме присвоен высокий уровень серьезности из-за возможности удаленного выполнения кода в ПО, которое использует эту библиотеку.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0477	A-33621647	Высокий	Все	7.1.1	14 декабря 2016 г.

Удаленное выполнение кода через библиотеку Framesequence

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0478	A-33718716	Высокий	Все	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	16 декабря 2016 г.

Повышение привилегий через NFC

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку с ее помощью можно получить привилегии, недоступные сторонним приложениям.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0481	A-33434992	Высокий	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	6 ноября 2016 г.

Повышение привилегий через audioserver

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку с ее помощью можно получить привилегии, недоступные сторонним приложениям.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0479	A-32707507 [2]	Высокий	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	7 ноября 2016 г.
CVE-2017-0480	A-32705429 [2]	Высокий	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	7 ноября 2016 г.

Отказ в обслуживании в mediaserver

Уязвимость позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства с помощью специально созданного файла. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0482	A-33090864 [2] [3] [4] [5] [6]	Высокий	Все	6.0, 6.0.1, 7.0, 7.1.1	22 ноября 2016 г.
CVE-2017-0483	A-33137046 [2]	Высокий	Все	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	24 ноября 2016 г.
CVE-2017-0484	A-33298089 [2]	Высокий	Все	6.0, 6.0.1, 7.0, 7.1.1	1 декабря 2016 г.
CVE-2017-0485	A-33387820	Высокий	Все	6.0, 6.0.1, 7.0, 7.1.1	6 декабря 2016 г.
CVE-2017-0486	A-33621215	Высокий	Все	6.0, 6.0.1, 7.0, 7.1.1	14 декабря 2016 г.
CVE-2017-0487	A-33751193	Высокий	Все	6.0, 6.0.1, 7.0, 7.1.1	19 декабря 2016 г.
CVE-2017-0488	A-34097213	Высокий	Все	6.0, 6.0.1, 7.0, 7.1.1	Доступно только сотрудникам Google

Повышение привилегий через диспетчер местоположения

Уязвимость позволяет локальному вредоносному ПО обходить защиту ОС для данных о местоположении. Проблеме присвоен средний уровень серьезности, поскольку она может использоваться для генерации неправильных данных.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0489	A-33091107	Средний	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	20 ноября 2016 г.

Повышение привилегий через Wi-Fi

Уязвимость позволяет локальному вредоносному ПО удалять пользовательские данные. Проблеме присвоен средний уровень серьезности, поскольку уязвимость позволяет обойти обязательные требования относительно взаимодействия с пользователем (например, связанные с получением доступа к функциям, которые обычно требуют разрешения или должны быть запущены пользователем).

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0490	A-33178389 [2] [3]	Средний	Все	6.0, 6.0.1, 7.0, 7.1.1	25 ноября 2016 г.

Повышение привилегий через диспетчер пакетов

Уязвимость позволяет локальному вредоносному ПО блокировать удаление приложений или разрешений пользователями. Проблеме присвоен средний уровень серьезности, поскольку уязвимость позволяет обойти требования к взаимодействию с пользователем.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0491	A-32553261	Средний	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	Доступно только сотрудникам Google

Повышение привилегий через System UI

Уязвимость позволяет локальному вредоносному ПО создать наложение интерфейса на весь экран. Проблеме присвоен средний уровень серьезности, поскольку уязвимость позволяет обойти обязательные требования относительно взаимодействия с пользователем (например, связанные с получением доступа к функциям, которые обычно требуют разрешения или должны быть запущены пользователем).

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0492	A-30150688	Средний	Все	7.1.1	Доступно только сотрудникам Google

Раскрытие информации через клиент для обмена сообщениями AOSP

Уязвимость позволяет злоумышленнику получить несанкционированный доступ к данным с помощью специально созданного файла. Из-за этого проблеме присвоен средний уровень серьезности.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0494	A-32764144	Средний	Все	6.0, 6.0.1, 7.0, 7.1.1	9 ноября 2016 г.

Раскрытие информации через mediaserver

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен средний уровень серьезности.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0495	A-33552073	Средний	Все	6.0, 6.0.1, 7.0, 7.1.1	11 декабря 2016 г.

Отказ в обслуживании в мастере настройки

Уязвимость позволяет локальному вредоносному ПО временно заблокировать доступ к пораженному устройству. Проблеме присвоен средний уровень серьезности, поскольку для ее решения может потребоваться сброс настроек устройства.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0496	A-31554152*	Средний	Нет**	5.0.2, 5.1.1, 6.0, 6.0.1	14 сентября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Google, которые можно скачать на сайте для разработчиков.

**Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Отказ в обслуживании в mediaserver

Уязвимость позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства с помощью специально созданного файла. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует наличия нестандартной конфигурации устройства.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0497	A-33300701	Средний	Все	7.0, 7.1.1	2 декабря 2016 г.

Отказ в обслуживании в мастере настройки

Уязвимость позволяет злоумышленнику, находящемуся поблизости, запросить вход в аккаунт Google после сброса настроек. Проблеме присвоен средний уровень серьезности, поскольку для ее решения может потребоваться сброс настроек устройства.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0498	A-30352311 [2]	Средний	Все	5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	Доступно только сотрудникам Google

Отказ в обслуживании в audioserver

Уязвимость позволяет локальному вредоносному ПО выполнять перезагрузку или вызывать зависание устройства. Проблеме присвоен низкий уровень серьезности, поскольку она приводит к временному отказу в обслуживании.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0499	A-32095713	Низкий приоритет	Все	5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	11 октября 2016 г.

Описание уязвимостей (обновление системы безопасности 2017-03-05)

В этом разделе вы найдете подробную информацию обо всех уязвимостях, обозначенных в разделе Перечень уязвимостей (обновление системы безопасности 2017-03-05): описание и обоснование серьезности, таблицу с CVE, ссылками, уровнем серьезности, уязвимыми устройствами Google и версиями AOSP (при наличии), а также датой сообщения об ошибке. Где возможно, мы приведем основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Повышение привилегий через компоненты MediaTek

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0500	A-28429685* M-ALPS02710006	Критический	Нет**	27 апреля 2016 г.
CVE-2017-0501	A-28430015* M-ALPS02708983	Критический	Нет**	27 апреля 2016 г.
CVE-2017-0502	A-28430164* M-ALPS02710027	Критический	Нет**	27 апреля 2016 г.
CVE-2017-0503	A-28449045* M-ALPS02710075	Критический	Нет**	28 апреля 2016 г.
CVE-2017-0504	A-30074628* M-ALPS02829371	Критический	Нет**	9 июля 2016 г.
CVE-2017-0505	A-31822282* M-ALPS02992041	Критический	Нет**	28 сентября 2016 г.
CVE-2017-0506	A-32276718* M-ALPS03006904	Критический	Нет**	18 октября 2016 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Повышение привилегий через драйвер NVIDIA для графического процессора

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0337	A-31992762* N-CVE-2017-0337	Критический	Pixel С	6 октября 2016 г.
CVE-2017-0338	A-33057977* N-CVE-2017-0338	Критический	Pixel С	21 ноября 2016 г.
CVE-2017-0333	A-33899363* N-CVE-2017-0333	Критический	Pixel С	25 декабря 2016 г.
CVE-2017-0306	A-34132950* N-CVE-2017-0306	Критический	Nexus 9	6 января 2017 г.
CVE-2017-0335	A-33043375* N-CVE-2017-0335	Критический	Pixel С	Доступно только сотрудникам Google

Повышение привилегий через подсистему ION ядра

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0507	A-31992382*	Критический	Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Pixel, Pixel XL	6 октября 2016 г.
CVE-2017-0508	A-33940449*	Критический	Pixel С	28 декабря 2016 г.

Повышение привилегий через Wi-Fi-драйвер Broadcom

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0509	A-32124445* B-RB#110688	Критический	Нет**	12 октября 2016 г.

Повышение привилегий через FIQ-отладчик ядра

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0510	A-32402555*	Критический	Nexus 9	25 октября 2016 г.

Повышение привилегий через драйвер Qualcomm для графического процессора

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-8479	A-31824853* QC-CR#1093687	Критический	Android One, Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL	29 сентября 2016 г.

Повышение привилегий через сетевую подсистему ядра

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-9806	A-33393474 Upstream kernel	Критический	Pixel C, Pixel, Pixel XL	4 декабря 2016 г.
CVE-2016-10200	A-33753815 Upstream kernel	Критический	Nexus 5X, Nexus 6P, Pixel, Pixel XL	19 декабря 2016 г.

Уязвимости в компонентах Qualcomm

Следующие уязвимости затрагивают компоненты Qualcomm и описаны в бюллетенях по безопасности Qualcomm AMSS за сентябрь 2016 года.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-8484	A-28823575**	Критический	Нет***	Доступно только сотрудникам Qualcomm
CVE-2016-8485	A-28823681**	Критический	Нет***	Доступно только сотрудникам Qualcomm
CVE-2016-8486	A-28823691**	Критический	Нет***	Доступно только сотрудникам Qualcomm
CVE-2016-8487	A-28823724**	Критический	Нет***	Доступно только сотрудникам Qualcomm
CVE-2016-8488	A-31625756**	Критический	Нет***	Доступно только сотрудникам Qualcomm

*Уровень серьезности этих уязвимостей определяется непосредственно компанией Qualcomm.

***Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Повышение привилегий через сетевую подсистему ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-8655	A-33358926 Upstream kernel	Высокий	Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Pixel, Pixel XL	12 октября 2016 г.
CVE-2016-9793	A-33363517 Upstream kernel	Высокий	Android One, Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, Pixel, Pixel XL	2 декабря 2016 г.

Повышение привилегий через драйвер устройств ввода Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0516	A-32341680* QC-CR#1096301	Высокий	Android One, Pixel, Pixel XL	21 октября 2016 г.

Повышение привилегий через драйвер MediaTek для аппаратного датчика

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0517	A-32372051* M-ALPS02973195	Высокий	Нет**	22 октября 2016 г.

Повышение привилегий через ADSPRPC-драйвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0457	A-31695439* QC-CR#1086123 QC-CR#1100695	Высокий	Nexus 5X, Nexus 6P, Pixel, Pixel XL	22 сентября 2016 г.

Повышение привилегий через драйвер сканера отпечатков пальцев Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0518	A-32370896* QC-CR#1086530	Высокий	Pixel, Pixel XL	24 октября 2016 г.
CVE-2017-0519	A-32372915* QC-CR#1086530	Высокий	Pixel, Pixel XL	24 октября 2016 г.

Повышение привилегий через драйвер Qualcomm для шифрования

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0520	A-31750232 QC-CR#1082636	Высокий	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	24 сентября 2016 г.

Повышение привилегий через драйвер Qualcomm для камеры

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0458	A-32588962 QC-CR#1089433	Высокий	Pixel, Pixel XL	31 октября 2016 г.
CVE-2017-0521	A-32919951 QC-CR#1097709	Высокий	Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL	15 ноября 2016 г.

Повышение привилегий через APK MediaTek

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Из-за этого ей присвоен высокий уровень серьезности.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0522	A-32916158* M-ALPS02708925	Высокий	Нет**	15 ноября 2016 г.

Повышение привилегий через Wi-Fi-драйвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0449S	A-32940193 QC-CR#1102593	Высокий	Nexus 5X, Pixel, Pixel XL	15 ноября 2016 г.
CVE-2017-0453	A-33979145 QC-CR#1105085	Высокий	Nexus 5X, Android One	30 декабря 2016 г.
CVE-2017-0523	A-32835279 QC-CR#1096945	Высокий	Нет*	Доступно только сотрудникам Google

Повышение привилегий через драйвер сенсорного экрана Synaptics

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0524	A-33002026	Высокий	Android One, Nexus 5X, Nexus 6P, Nexus 9, Pixel, Pixel XL	18 ноября 2016 г.

Повышение привилегий через драйвер усилителя Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0456	A-33106520* QC-CR#1099598	Высокий	Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL	23 ноября 2016 г.
CVE-2017-0525	A-33139056* QC-CR#1097714	Высокий	Nexus 5X, Nexus 6P, Android One, Pixel, Pixel XL	25 ноября 2016 г.

Повышение привилегий через драйвер контроллера датчиков HTC

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0526	A-33897738*	Высокий	Nexus 9	25 декабря 2016 г.
CVE-2017-0527	A-33899318*	Высокий	Nexus 9, Pixel, Pixel XL	25 декабря 2016 г.

Повышение привилегий через драйвер NVIDIA для графического процессора

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0307	A-33177895* N-CVE-2017-0307	Высокий	Нет**	28 ноября 2016 г.

Повышение привилегий через сетевой драйвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0463	A-33277611 QC-CR#1101792	Высокий	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	30 ноября 2016 г.
CVE-2017-0460	A-31252965* QC-CR#1098801	Высокий	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Android One, Pixel, Pixel XL	Доступно только сотрудникам Google

Повышение привилегий через подсистему безопасности ядра

Уязвимость позволяет локальному вредоносному ПО выполнять код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость позволяет обойти защиту уровня ядра и аналогичные технологии защиты.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0528	A-33351919*	Высокий	Pixel, Pixel XL	4 декабря 2016 г.

Повышение привилегий через SPCom-драйвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-5856	A-32610665 QC-CR#1094078	Высокий	Нет*	Доступно только сотрудникам Google
CVE-2016-5857	A-34386529 QC-CR#1094140	Высокий	Нет*	Доступно только сотрудникам Google

Раскрытие информации через сетевую подсистему ядра

Уязвимость позволяет злоумышленнику, находящемуся поблизости, получить несанкционированный доступ к конфиденциальной информации. Из-за этого проблеме присвоен высокий уровень серьезности.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2014-8709	A-34077221 Upstream kernel	Высокий	Nexus Player	9 ноября 2014 г.

Раскрытие информации через драйвер MediaTek

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен высокий уровень серьезности.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0529	A-28449427* M-ALPS02710042	Высокий	Нет**	27 апреля 2016 г.

Раскрытие информации через загрузчик Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте загрузчика. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость позволяет обойти защиту уровня загрузчика и аналогичные технологии защиты.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0455	A-32370952 QC-CR#1082755	Высокий	Pixel, Pixel XL	21 октября 2016 г.

Раскрытие информации через драйвер питания Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-8483	A-33745862 QC-CR#1035099	Высокий	Nexus 5X, Nexus 6P	19 декабря 2016 г.

Раскрытие информации через драйвер NVIDIA для графического процессора

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0334	A-33245849* N-CVE-2017-0334	Высокий	Pixel С	30 ноября 2016 г.
CVE-2017-0336	A-33042679* N-CVE-2017-0336	Высокий	Pixel С	Доступно только сотрудникам Google

Отказ в обслуживании в криптографической подсистеме ядра

Уязвимость позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства с помощью специально созданного сетевого пакета. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-8650	A-33401771 Upstream kernel	Высокий	Nexus 5X, Nexus 6P, Pixel, Pixel XL	12 октября 2016 г.

Повышение привилегий через драйвер Qualcomm для камеры (уязвимость устройства)

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса, а также предотвращается текущими настройками платформы.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-8417	A-32342399 QC-CR#1088824	Средний	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	21 октября 2016 г.

Раскрытие информации через Wi-Fi-драйвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0461	A-32073794 QC-CR#1100132	Средний	Android One, Nexus 5X, Pixel, Pixel XL	9 октября 2016 г.
CVE-2017-0459	A-32644895 QC-CR#1091939	Средний	Pixel, Pixel XL	3 ноября 2016 г.
CVE-2017-0531	A-32877245 QC-CR#1087469	Средний	Android One, Nexus 5X, Nexus 6P, Pixel, Pixel XL	13 ноября 2016 г.

Раскрытие информации через драйвер видеокодека MediaTek

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0532	A-32370398* M-ALPS03069985	Средний	Нет**	22 октября 2016 г.

Раскрытие информации через видеодрайвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0533	A-32509422 QC-CR#1088206	Средний	Pixel, Pixel XL	27 октября 2016 г.
CVE-2017-0534	A-32508732 QC-CR#1088206	Средний	Pixel, Pixel XL	28 октября 2016 г.
CVE-2016-8416	A-32510746 QC-CR#1088206	Средний	Pixel, Pixel XL	28 октября 2016 г.
CVE-2016-8478	A-32511270 QC-CR#1088206	Средний	Pixel, Pixel XL	28 октября 2016 г.

Раскрытие информации через драйвер Qualcomm для камеры

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-8413	A-32709702 QC-CR#518731	Средний	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	4 ноября 2016 г.
CVE-2016-8477	A-32720522 QC-CR#1090007 [2]	Средний	Nexus 5X, Nexus 6, Nexus 6P, Android One, Pixel, Pixel XL	7 ноября 2016 г.

Раскрытие информации через аудиодрайвер кодеков HTC

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0535	A-33547247*	Средний	Nexus 9	11 декабря 2016 г.

Раскрытие информации через драйвер сенсорного экрана Synaptics

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0536	A-33555878*	Средний	Android One, Nexus 5X, Nexus 6P, Nexus 9, Pixel, Pixel XL	12 декабря 2016 г.

Раскрытие информации через USB-драйвер ядра

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0537	A-31614969*	Средний	Pixel С	Доступно только сотрудникам Google

Раскрытие информации через драйвер Qualcomm для камеры

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен низкий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0452	A-32873615* QC-CR#1093693	Низкий приоритет	Nexus 5X, Nexus 6P, Android One	10 ноября 2016 г.

Часто задаваемые вопросы

В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.

1. Как определить, установлено ли на устройство обновление, в котором устранены перечисленные проблемы?

Информацию о том, как проверить обновления системы безопасности, можно найти в Справочном центре.

В исправлении от 1 марта 2017 года или более новом устранены все проблемы, связанные с обновлением 2017-03-01.
В исправлении от 5 марта 2017 года или более новом устранены все проблемы, связанные с обновлением 2017-03-05.

Производители устройств, позволяющие установить эти обновления, должны присвоить им один из этих уровней:

[ro.build.version.security_patch]:[2017-03-01]
[ro.build.version.security_patch]:[2017-03-05]

2. Почему в этом бюллетене говорится о двух обновлениях системы безопасности?

Мы включили в этот бюллетень сведения о двух обновлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Рекомендуем партнерам Android исправить все вышеперечисленные проблемы и установить последнее обновление системы безопасности.

На устройствах с установленным обновлением от 1 марта 2017 года должны быть исправлены все проблемы, упомянутые в соответствующем разделе этого бюллетеня, а также в предыдущих выпусках.
На устройствах с установленным обновлением от 5 марта 2017 года или более новым должны быть исправлены все проблемы, упомянутые в этом бюллетене и предыдущих выпусках.

Рекомендуем партнерам объединить все исправления проблем в одно обновление.

3. Как определить, на каких устройствах Google присутствует уязвимость?

В каждой таблице разделов с описанием уязвимостей 2017-03-01 и 2017-03-05 есть столбец Обновленные устройства Google. В нем указано, на каких устройствах присутствует уязвимость.

Все устройства. Проблема возникает на следующих поддерживаемых устройствах Google: Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player, Pixel C, Pixel и Pixel XL.
Некоторые устройства. Перечислены устройства, на которых присутствует уязвимость.
Нет. Проблема не возникает ни на одном устройстве Google.

4. На что указывают записи в столбце "Ссылки"?

В таблицах с описанием уязвимостей есть столбец Ссылки. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:

Префикс	Значение
A-	Идентификатор ошибки Android
QC-	Ссылочный номер Qualcomm
M-	Ссылочный номер MediaTek
N-	Ссылочный номер NVIDIA
B-	Ссылочный номер Broadcom

Версии

6 марта 2017 года. Бюллетень опубликован.
7 марта 2017 года. Добавлены ссылки на AOSP.