Бюллетень по безопасности Android

Опубликовано 3 апреля 2017 г. | Обновлено 5 апреля 2017 г.

В этом бюллетене содержится информация об уязвимостях в защите устройств Android. К его выходу мы выпустили автоматическое обновление системы безопасности для устройств Google и опубликовали образы прошивок на сайте для разработчиков. Все актуальные проблемы, перечисленные здесь, устранены в исправлении от 5 апреля 2017 года или более новом. Информацию о том, как проверить обновления системы безопасности, можно найти в Справочном центре.

Мы сообщили партнерам об уязвимостях 6 марта 2017 года или ранее. Исправления уязвимостей доступны в хранилище Android Open Source Project (AOSP). В этом бюллетене также приведены ссылки на исправления вне AOSP.

Наиболее серьезная из уязвимостей имеет критический уровень и позволяет удаленно выполнять код на пораженном устройстве (например, при работе с электронной почтой, просмотре сайтов в Интернете или обработке медиафайлов MMS). Уровень серьезности зависит от того, какой ущерб будет нанесен устройству при атаке с использованием уязвимости, если средства защиты будут отключены разработчиком или взломаны.

Обнаруженные уязвимости не эксплуатировались. В разделе Предотвращение атак описывается, как платформа безопасности и средства защиты сервисов, например SafetyNet, помогают снизить вероятность атак на Android.

Мы рекомендуем всем пользователям установить перечисленные в разделе обновления.

Объявления

Мы включили в этот бюллетень сведения о двух обновлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Дополнительную информацию вы найдете в разделе Часто задаваемые вопросы.
- 2017-04-01: частичное обновление системы безопасности, в котором исправлены все уязвимости уровня 2017-04-01 и более ранние.
- 2017-04-05: полное обновление системы безопасности, в котором исправлены все уязвимости уровней 2017-04-01 и 2017-04-05, а также более ранние.
На поддерживаемые устройства Google будет установлено единое автоматическое обновление системы безопасности от 5 апреля 2017 года.

Предотвращение атак

Ниже рассказывается, как платформа безопасности и средства защиты сервисов, например SafetyNet, позволяют снизить вероятность атак на Android.

Использование многих уязвимостей затрудняется в новых версиях Android, поэтому мы рекомендуем всем пользователям своевременно обновлять систему.
Команда, отвечающая за безопасность Android, активно отслеживает злоупотребления с помощью Проверки приложений и SafetyNet. Эти сервисы предупреждают пользователя об установке потенциально вредоносных приложений. Проверка приложений включена по умолчанию на всех устройствах с мобильными сервисами Google. Она особенно важна, если пользователь устанавливает ПО из сторонних источников. Хотя в Google Play инструменты для рутинга запрещены, они могут встречаться в других магазинах. Если пользователь решает установить такое приложение, проверка предупреждает об этом. Кроме того, она пытается идентифицировать известное вредоносное ПО, использующее уязвимость для повышения привилегий, и блокировать его установку. Если подобное ПО уже есть на устройстве, система уведомит об этом пользователя и попытается удалить приложение.
Приложения Google Hangouts и Messenger не передают медиафайлы таким процессам, как mediaserver, автоматически.

Благодарности

Благодарим всех, кто помог обнаружить уязвимости:

Аравинд Мачири (donfos) из команды Shellphish Grill: CVE-2016-5349
Дасин Го (@freener0) из Xuanwu Lab, Tencent: CVE-2017-0585, CVE-2017-0553
Derrek (@derrekr6) и Скотт Бауэр: CVE-2017-0576
Гэл Бениамини из Project Zero: CVE-2017-0571, CVE-2017-0570, CVE-2017-0572, CVE-2017-0569, CVE-2017-0561
Гэнцзя Чэнь (@chengjia4574) и pjf из IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2017-6426, CVE-2017-0581, CVE-2017-0329, CVE-2017-0332, CVE-2017-0566
Гуан Гун (龚广) (@oldfresher) из Alpha Team, Qihoo 360 Technology Co. Ltd.: CVE-2017-0547
Хао Чэнь и Гуан Гун из Alpha Team, Qihoo 360 Technology Co. Ltd.: CVE-2017-6424, CVE-2017-0584, CVE-2017-0454, CVE-2017-0575, CVE-2017-0567
Иэн Фостер (@lanrat): CVE-2017-0554
Джек Тан из Trend Micro Inc.: CVE-2017-0579
Цзяньцзюнь Дай (@Jioun_dai) из Qihoo 360 Skyeye Labs: CVE-2017-0559, CVE-2017-0541
Цзяньцян Чжао (@jianqiangzhao) и pjf из IceSword Lab, Qihoo 360: CVE-2017-6425, CVE-2016-5346
Лубо Чжан (zlbzlb815@163.com) из C0RE Team и Юнган Го (@guoygang) из IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2017-0564
Марк Салызин из Google: CVE-2017-0558
Майк Андерсон (@manderbot) и Нейтан Крэнделл (@natecray) из Tesla's Product Security Team: CVE-2017-0327, CVE-2017-0328
Пэн Сяо, Чэнмин Ян, Нин Ю, Чао Ян и Ян Сун из Alibaba Mobile Security Group: CVE-2017-0565
Пэнфэй Дин (丁鹏飞), Чэньфу Бао (包沉浮) и Ленкс Вэй (韦韬) из Baidu X-Lab (百度安全实验室): CVE-2016-10236
Цидань Хэ (何淇丹 - @flanker_hqd) из KeenLab, Tencent: CVE-2017-0544, CVE-2016-10231, CVE-2017-0325
Рои Хэй (@roeehay) из Aleph Research, HCL Technologies: CVE-2017-0582, CVE-2017-0563
Скотт Бауэр (@ScottyBauer1): CVE-2017-0562, CVE-2017-0339
Севен Шэнь (@lingtongshen) из команды по изучению угроз для мобильных устройств, Trend Micro: CVE-2017-0578
Тим Беккер: CVE-2017-0546
Ума Санкар Прадхан (@umasankar_iitd): CVE-2017-0560
V.E.O (@VYSEa) из команды по изучению угроз для мобильных устройств, Trend Micro: CVE-2017-0555, CVE-2017-0538, CVE-2017-0539, CVE-2017-0540, CVE-2017-0557, CVE-2017-0556
Вэйчао Сунь (@sunblate) из Alibaba Inc: CVE-2017-0549
Вэньлинь Ян (@wenlin_yang), Гуан Гун (@oldfresher) и Хао Чэнь из Alpha Team, Qihoo 360 Technology Co. Ltd.: CVE-2017-0580, CVE-2017-0577
Юнган Го (@guoygang) из IceSword Lab, Qihoo 360 Technology Co. Ltd.: CVE-2017-0586
Цзыно Хань из Chengdu Security Response Center, Qihoo 360 Technology Co. Ltd.: CVE-2017-0548
Зубин Митра из Google: CVE-2017-0462

Описание уязвимостей (обновление системы безопасности 2017-04-01)

В этом разделе вы найдете подробную информацию обо всех уязвимостях обновления системы безопасности 2017-04-01: описание и обоснование серьезности, таблицу с CVE, ссылками, уровнем серьезности, уязвимыми устройствами Google и версиями AOSP (при наличии), а также датой сообщения об ошибке. Где возможно, мы приведем основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Удаленное выполнение кода через mediaserver

Уязвимость позволяет злоумышленнику нарушить целостность информации в памяти при обработке медиафайлов и данных в специально созданном файле. Проблеме присвоен критический уровень серьезности из-за возможности удаленного выполнения кода в контексте процесса mediaserver.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0538	A-33641588	Критический	Все	6.0, 6.0.1, 7.0, 7.1.1	13 декабря 2016 г.
CVE-2017-0539	A-33864300	Критический	Все	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	23 декабря 2016 г.
CVE-2017-0540	A-33966031	Критический	Все	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	29 декабря 2016 г.
CVE-2017-0541	A-34031018	Критический	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	1 января 2017 г.
CVE-2017-0542	A-33934721	Критический	Все	6.0, 6.0.1, 7.0, 7.1.1	Доступно только сотрудникам Google
CVE-2017-0543	A-34097866	Критический	Все	6.0, 6.0.1, 7.0, 7.1.1	Доступно только сотрудникам Google

Повышение привилегий через CameraBase

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Из-за этого ей присвоен высокий уровень серьезности.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0544	A-31992879	Высокий	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	6 октября 2016 г.

Повышение привилегий через audioserver

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности, поскольку с ее помощью можно получить привилегии, недоступные сторонним приложениям.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0545	A-32591350	Высокий	Все	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	31 октября 2016 г.

Повышение привилегий через SurfaceFlinger

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0546	A-32628763	Высокий	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	2 ноября 2016 г.

Раскрытие информации через mediaserver

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость позволяет обойти защиту ОС, обеспечивающую раздельное хранение данных приложений.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0547	A-33861560	Высокий	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	22 декабря 2016 г.

Отказ в обслуживании в libskia

Уязвимость позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства с помощью специально созданного файла. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0548	A-33251605	Высокий	Все	7.0, 7.1.1	29 ноября 2016 г.

Отказ в обслуживании в mediaserver

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0549	A-33818508	Высокий	Все	6.0, 6.0.1, 7.0, 7.1.1	20 декабря 2016 г.
CVE-2017-0550	A-33933140	Высокий	Все	6.0, 6.0.1, 7.0, 7.1.1	Доступно только сотрудникам Google
CVE-2017-0551	A-34097231 [2]	Высокий	Все	6.0, 6.0.1, 7.0, 7.1.1	Доступно только сотрудникам Google
CVE-2017-0552	A-34097915	Высокий	Все	6.0, 6.0.1, 7.0, 7.1.1	Доступно только сотрудникам Google

Повышение привилегий через libnl

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте сервиса Wi-Fi. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса, а также предотвращается текущими настройками платформы.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0553	A-32342065	Средний	Все	5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	21 октября 2016 г.

Повышение привилегий через телефонную связь

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к функциям. Проблеме присвоен средний уровень серьезности, поскольку с ее помощью можно получить привилегии, недоступные сторонним приложениям.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0554	A-33815946 [2]	Средний	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	20 декабря 2016 г.

Раскрытие информации через mediaserver

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен средний уровень серьезности.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0555	A-33551775	Средний	Все	6.0, 6.0.1, 7.0, 7.1.1	12 декабря 2016 г.
CVE-2017-0556	A-34093952	Средний	Все	6.0, 6.0.1, 7.0, 7.1.1	4 января 2017 г.
CVE-2017-0557	A-34093073	Средний	Все	6.0, 6.0.1, 7.0, 7.1.1	4 января 2017 г.
CVE-2017-0558	A-34056274	Средний	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	Доступно только сотрудникам Google

Раскрытие информации через libskia

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0559	A-33897722	Средний	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	25 декабря 2016 г.

Раскрытие информации через сброс настроек

Уязвимость позволяет злоумышленнику, в руки которого попало устройство, получать несанкционированный доступ к данным предыдущего владельца. Проблеме присвоен средний уровень серьезности, поскольку с ее помощью можно обойти защиту устройства.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2017-0560	A-30681079	Средний	Все	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1	Доступно только сотрудникам Google

Описание уязвимостей (обновление системы безопасности 2017-04-05)

В этом разделе вы найдете подробную информацию обо всех уязвимостях обновления системы безопасности 2017-04-05: описание и обоснование серьезности, таблицу с CVE, ссылками, уровнем серьезности, уязвимыми устройствами Google и версиями AOSP (при наличии), а также датой сообщения об ошибке. Где возможно, мы приведем основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.

Удаленное выполнение кода во встроенном ПО Wi-Fi Broadcom

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте однокристальной системы Wi-Fi. Из-за этого проблеме присвоен критический уровень серьезности.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0561	A-34199105* B-RB#110814	Критический	Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player	9 января 2017 г.

*Исправление не опубликовано. Обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на сайте для разработчиков.

Удаленное выполнение кода через драйвер шифрования Qualcomm

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте ядра. Из-за этого проблеме присвоен критический уровень серьезности.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-10230	A-34389927 QC-CR#1091408	Критический	Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One	10 января 2017 г.

Удаленное выполнение кода через сетевую подсистему ядра

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-10229	A-32813456 Upstream kernel	Критический	Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Pixel C, Android One, Nexus Player	Доступно только сотрудникам Google

Повышение привилегий через драйвер сенсорного экрана MediaTek

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Ей присвоен критический уровень серьезности, поскольку из-за нее нарушается работа системы безопасности. Возможно, для устранения проблемы потребуется переустановить ОС.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0562	A-30202425* M-ALPS02898189	Критический*	Нет**	16 июля 2016 г.

**Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Повышение привилегий через драйвер сенсорного экрана HTC

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0563	A-32089409*	Критический	Nexus 9	9 октября 2016 г.

Повышение привилегий через подсистему ION ядра

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0564	A-34276203*	Критический	Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Pixel C, Android One, Nexus Player	12 января 2017 г.

Уязвимости в компонентах Qualcomm

Эти уязвимости затрагивают компоненты Qualcomm и описаны в бюллетенях по безопасности Qualcomm AMSS за октябрь 2016 года.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-10237	A-31628601** QC-CR#1046751	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2016-10238	A-35358527** QC-CR#1042558	Критический	Нет***	Доступно только сотрудникам Qualcomm
CVE-2016-10239	A-31624618** QC-CR#1032929	Высокий	Pixel, Pixel XL	Доступно только сотрудникам Qualcomm

*Уровень серьезности этих уязвимостей определяется непосредственно компанией Qualcomm.

***Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Удаленное выполнение кода через v8

Уязвимость позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса. Проблеме присвоен высокий уровень серьезности из-за возможности удаленного выполнения кода через веб-сайты.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2016-5129	A-29178923	Высокий	Нет*	6.0, 6.0.1, 7.0	20 июля 2016 г.

*Эта уязвимость не затрагивает поддерживаемые устройства Google с Android 7.0, на которых установлены все доступные обновления.

Удаленное выполнение кода через Freetype

Уязвимость позволяет злоумышленнику загрузить специально созданный шрифт, чтобы нарушить целостность информации в памяти непривилегированного процесса. Проблеме присвоен высокий уровень серьезности из-за возможности удаленного выполнения кода в ПО, которое использует эту библиотеку.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Обновленные версии AOSP	Дата сообщения об ошибке
CVE-2016-10244	A-31470908	Высокий	Нет*	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0	13 сентября 2016 г.

Повышение привилегий через звуковую подсистему ядра

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2014-4656	A-34464977 Upstream kernel	Высокий	Nexus 6, Nexus Player	26 июня 2016 г.

Повышение привилегий через драйвер шифрования NVIDIA

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0339	A-27930566* N-CVE-2017-0339	Высокий	Nexus 9	29 марта 2016 г.
CVE-2017-0332	A-33812508* N-CVE-2017-0332	Высокий	Nexus 9	21 декабря 2016 г.
CVE-2017-0327	A-33893669* N-CVE-2017-0327	Высокий	Nexus 9	24 декабря 2016 г.

Повышение привилегий через драйвер температурного датчика MediaTek

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0565	A-28175904* M-ALPS02696516	Высокий	Нет**	11 апреля 2016 г.

Повышение привилегий через драйвер MediaTek для камеры

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0566	A-28470975* M-ALPS02696367	Высокий	Нет**	29 апреля 2016 г.

Повышение привилегий через Wi-Fi-драйвер Broadcom

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0567	A-32125310* B-RB#112575	Высокий	Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player	12 октября 2016 г.
CVE-2017-0568	A-34197514* B-RB#112600	Высокий	Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player	9 января 2017 г.
CVE-2017-0569	A-34198729* B-RB#110666	Высокий	Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player	9 января 2017 г.
CVE-2017-0570	A-34199963* B-RB#110688	Высокий	Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player	9 января 2017 г.
CVE-2017-0571	A-34203305* B-RB#111541	Высокий	Nexus 6, Nexus 6P, Pixel C, Nexus Player	9 января 2017 г.
CVE-2017-0572	A-34198931* B-RB#112597	Высокий	Нет**	9 января 2017 г.
CVE-2017-0573	A-34469904* B-RB#91539	Высокий	Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player	18 января 2017 г.
CVE-2017-0574	A-34624457* B-RB#113189	Высокий	Nexus 6, Nexus 6P, Nexus 9, Pixel C	22 января 2017 г.

Повышение привилегий через Wi-Fi-драйвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0575	A-32658595* QC-CR#1103099	Высокий	Nexus 5X, Pixel, Pixel XL	3 ноября 2016 г.

Повышение привилегий через драйвер I2C HID NVIDIA

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0325	A-33040280* N-CVE-2017-0325	Высокий	Nexus 9, Pixel C	20 ноября 2016 г.

Повышение привилегий через аудиодрайвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0454	A-33353700 QC-CR#1104067	Высокий	Nexus 5X, Nexus 6P, Pixel, Pixel XL	5 декабря 2016 г.

Повышение привилегий через драйвер Qualcomm для шифрования

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0576	A-33544431 QC-CR#1103089	Высокий	Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One	9 декабря 2016 г.

Повышение привилегий через драйвер сенсорного экрана HTC

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0577	A-33842951*	Высокий	Нет**	21 декабря 2016 г.

Повышение привилегий через аудиодрайвер DTS

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0578	A-33964406*	Высокий	Нет**	28 декабря 2016 г.

Повышение привилегий через аудиодрайвер кодеков Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-10231	A-33966912 QC-CR#1096799	Высокий	Pixel, Pixel XL	29 декабря 2016 г.

Повышение привилегий через видеодрайвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0579	A-34125463* QC-CR#1115406	Высокий	Nexus 5X, Nexus 6P, Pixel, Pixel XL	5 января 2017 г.
CVE-2016-10232	A-34386696 QC-CR#1024872 [2]	Высокий	Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One	10 января 2017 г.
CVE-2016-10233	A-34389926 QC-CR#897452	Высокий	Нет**	10 января 2017 г.

Повышение привилегий через драйвер управления запуском и питанием процессора NVIDIA

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте управления запуском и питанием процессора. Проблеме присвоен высокий уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0329	A-34115304* N-CVE-2017-0329	Высокий	Pixel С	5 января 2017 г.

Повышение привилегий через драйвер сенсорного экрана Synaptics

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0580	A-34325986*	Высокий	Нет**	16 января 2017 г.
CVE-2017-0581	A-34614485*	Высокий	Нет**	22 января 2017 г.

Повышение привилегий через Seemp-драйвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0462	A-33353601 QC-CR#1102288	Высокий	Pixel, Pixel XL	Доступно только сотрудникам Google

Повышение привилегий через драйвер Kyro L2 Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-6423	A-32831370 QC-CR#1103158	Высокий	Pixel, Pixel XL	Доступно только сотрудникам Google

Повышение привилегий через файловую систему ядра

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2014-9922	A-32761463 Upstream kernel	Высокий	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Android One, Nexus Player	Доступно только сотрудникам Google

Раскрытие информации через подсистему памяти ядра

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Из-за этого проблеме присвоен высокий уровень серьезности.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2014-0206	A-34465735 Upstream kernel	Высокий	Nexus 6, Nexus Player	6 мая 2014 г.

Раскрытие информации через сетевую подсистему ядра

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2014-3145	A-34469585 Upstream kernel [2]	Высокий	Nexus 6, Nexus Player	9 мая 2014 г.

Раскрытие информации через Qualcomm TrustZone

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-5349	A-29083830 QC-CR#1021945 [2] [3] [4]	Высокий	Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One	1 июня 2016 г.

Раскрытие информации через драйвер усилителя Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-10234	A-34390017 QC-CR#1069060 [2]	Высокий	Nexus 5X, Nexus 6P, Pixel, Pixel XL	10 января 2017 г.

Отказ в обслуживании в сетевой подсистеме ядра

Уязвимость позволяет злоумышленнику выполнять перезагрузку или вызывать зависание устройства с помощью специально созданного сетевого пакета. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2014-2706	A-34160553 Upstream kernel	Высокий	Nexus Player	1 апреля 2014 г.

Отказ в обслуживании в Wi-Fi-драйвере Qualcomm

Уязвимость позволяет находящемуся поблизости злоумышленнику вызвать отказ в обслуживании в подсистеме Wi-Fi. Проблеме присвоен высокий уровень серьезности, поскольку она приводит к отказу в обслуживании.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-10235	A-34390620 QC-CR#1046409	Высокий	Нет**	10 января 2017 г.

Повышение привилегий через файловую систему ядра

Уязвимость позволяет локальному вредоносному ПО несанкционированно выполнять произвольный код на устройстве. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса, а также предотвращается текущими настройками платформы.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-7097	A-32458736 Upstream kernel	Средний	Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Pixel, Pixel XL, Pixel C, Nexus Player	28 августа 2016 г.

Повышение привилегий через Wi-Fi-драйвер Qualcomm

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса, а также особых условий, ограничивающих ее применение.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-6424	A-32086742 QC-CR#1102648	Средний	Nexus 5X, Pixel, Pixel XL, Android One	9 октября 2016 г.

Повышение привилегий через Wi-Fi-драйвер Broadcom

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте ядра. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса, а также предотвращается текущими настройками платформы.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-8465	A-32474971* B-RB#106053	Средний	Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player	27 октября 2016 г.

Повышение привилегий через команды fastboot oem HTC

Уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте контроллера датчиков. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует эксплуатации других уязвимостей.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0582	A-33178836*	Средний	Nexus 9	28 ноября 2016 г.

Повышение привилегий через драйвер доступа к ЦП Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0583	A-32068683 QC-CR#1103788	Средний	Nexus 5X, Nexus 6P, Pixel, Pixel XL, Android One	Доступно только сотрудникам Google

Раскрытие информации через медиадрайвер ядра

Уязвимость позволяет локальному вредоносному ПО получать несанкционированный доступ к данным. Проблеме присвоен средний уровень серьезности, поскольку уязвимость требует сначала нарушить защиту привилегированного процесса.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2014-1739	A-34460642 Upstream kernel	Средний	Nexus 6, Nexus 9, Nexus Player	15 июня 2014 г.

Раскрытие информации через Wi-Fi-драйвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0584	A-32074353* QC-CR#1104731	Средний	Nexus 5X, Pixel, Pixel XL	9 октября 2016 г.

Раскрытие информации через Wi-Fi-драйвер Broadcom

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0585	A-32475556* B-RB#112953	Средний	Nexus 6, Nexus 6P, Nexus 9, Pixel C, Nexus Player	27 октября 2016 г.

Раскрытие информации через Avtimer-драйвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-5346	A-32551280 QC-CR#1097878	Средний	Pixel, Pixel XL	29 октября 2016 г.

Раскрытие информации через видеодрайвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-6425	A-32577085 QC-CR#1103689	Средний	Pixel, Pixel XL	29 октября 2016 г.

Раскрытие информации через USB-драйвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2016-10236	A-33280689 QC-CR#1102418	Средний	Pixel, Pixel XL	30 ноября 2016 г.

Раскрытие информации через аудиодрайвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0586	A-33649808 QC-CR#1097569	Средний	Nexus 5X, Nexus 6, Nexus 6P, Pixel, Pixel XL, Android One	13 декабря 2016 г.

Раскрытие информации через SPMI-драйвер Qualcomm

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-6426	A-33644474 QC-CR#1106842	Средний	Pixel, Pixel XL	14 декабря 2016 г.

Раскрытие информации через драйвер шифрования NVIDIA

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2017-0328	A-33898322* N-CVE-2017-0328	Средний	Нет**	24 декабря 2016 г.
CVE-2017-0330	A-33899858* N-CVE-2017-0330	Средний	Нет**	24 декабря 2016 г.

Уязвимости в компонентах Qualcomm

Эти уязвимости затрагивают компоненты Qualcomm и описаны в бюллетенях по безопасности Qualcomm AMSS за 2014–2016 года. Они включены в этот бюллетень по безопасности Android, чтобы связать их исправления с обновлением системы безопасности.

CVE	Ссылки	Уровень серьезности	Обновленные устройства Google	Дата сообщения об ошибке
CVE-2014-9931	A-35445101** QC-CR#612410	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2014-9932	A-35434683** QC-CR#626734	Критический	Pixel, Pixel XL	Доступно только сотрудникам Qualcomm
CVE-2014-9933	A-35442512 QC-CR#675463	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2014-9934	A-35439275** QC-CR#658249	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2014-9935	A-35444951** QC-CR#717626	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2014-9936	A-35442420** QC-CR#727389	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2014-9937	A-35445102** QC-CR#734095	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2015-8995	A-35445002** QC-CR#733690	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2015-8996	A-35444658** QC-CR#734698	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2015-8997	A-35432947** QC-CR#734707	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2015-8998	A-35441175** QC-CR#735337	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2015-8999	A-35445401** QC-CR#736119	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2015-9000	A-35441076** QC-CR#740632	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2015-9001	A-35445400** QC-CR#736083	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2015-9002	A-35442421** QC-CR#748428	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2015-9003	A-35440626** QC-CR#749215	Критический	Нет**	Доступно только сотрудникам Qualcomm
CVE-2016-10242	A-35434643** QC-CR#985139	Критический	Нет**	Доступно только сотрудникам Qualcomm

*Уровень серьезности этих уязвимостей определяется непосредственно компанией Qualcomm.

Часто задаваемые вопросы

В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.

1. Как определить, установлено ли на устройство обновление, в котором устранены перечисленные проблемы?

Информацию о том, как проверить обновления системы безопасности, можно найти в Справочном центре.

В исправлении от 1 апреля 2017 года или более новом устранены все проблемы, связанные с обновлением 2017-04-01.
В исправлении от 5 апреля 2017 года или более новом устранены все проблемы, связанные с обновлением 2017-04-05.

Производители устройств, позволяющие установить эти обновления, должны присвоить им один из этих уровней:

[ro.build.version.security_patch]:[2017-04-01];
[ro.build.version.security_patch]:[2017-04-05].

2. Почему в этом бюллетене говорится о двух обновлениях системы безопасности?

Мы включили в этот бюллетень сведения о двух обновлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Рекомендуем партнерам Android исправить все вышеперечисленные проблемы и установить последнее обновление системы безопасности.

На устройствах с установленным обновлением от 1 апреля 2017 года должны быть исправлены все проблемы, упомянутые в соответствующем разделе этого бюллетеня, а также в предыдущих выпусках.
На устройствах с установленным обновлением от 5 апреля 2017 года или более новым должны быть исправлены все проблемы, упомянутые в этом бюллетене и предыдущих выпусках.

Рекомендуем партнерам объединить все исправления проблем в одно обновление.

3. Как определить, на каких устройствах Google присутствует уязвимость?

В каждой таблице разделов с описанием уязвимостей 2017-04-01 и 2017-04-05 есть столбец Обновленные устройства Google. В нем указано, на каких устройствах присутствует уязвимость.

Все устройства. Проблема возникает на следующих поддерживаемых устройствах Google: Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player, Pixel C, Pixel и Pixel XL.
Некоторые устройства. Перечислены устройства, на которых присутствует уязвимость.
Нет. Проблема не возникает ни на одном устройстве Google.

4. На что указывают записи в столбце "Ссылки"?

В таблицах с описанием уязвимостей есть столбец Ссылки. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:

Префикс	Значение
A-	Идентификатор ошибки Android
QC-	Ссылочный номер Qualcomm
M-	Ссылочный номер MediaTek
N-	Ссылочный номер NVIDIA
B-	Ссылочный номер Broadcom

Версии

3 апреля 2017 года. Бюллетень опубликован.
5 апреля 2017 года. Добавлены ссылки на AOSP.