| <html devsite><head> |
| <title>Android 安全性公告 — 2017 年 11 月</title> |
| <meta name="project_path" value="/_project.yaml"/> |
| <meta name="book_path" value="/_book.yaml"/> |
| </head> |
| <body> |
| <!-- |
| Copyright 2017 The Android Open Source Project |
| |
| Licensed under the Apache License, Version 2.0 (the "License"); |
| you may not use this file except in compliance with the License. |
| You may obtain a copy of the License at |
| |
| //www.apache.org/licenses/LICENSE-2.0 |
| |
| Unless required by applicable law or agreed to in writing, software |
| distributed under the License is distributed on an "AS IS" BASIS, |
| WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied. |
| See the License for the specific language governing permissions and |
| limitations under the License. |
| --> |
| |
| <p><em>發佈日期:2017 年 11 月 6 日 | 更新日期:2017 年 11 月 8 日</em></p> |
| <p> |
| Android 安全性公告羅列了會對 Android 裝置造成影響的安全性漏洞,並說明各項相關細節。2017 年 11 月 6 日之後的安全性修補程式等級已解決了這些問題。想瞭解如何查看裝置的安全性修補程式等級,請參閱<a href="//support.google.com/pixelphone/answer/4457705">檢查及更新 Android 版本</a>。 |
| </p> |
| <p> |
| Android 合作夥伴在 2017-11-01 和 2017-11-05 修補程式公告的至少一個月之前,就已收到當中所有問題的相關通知,而且也已經在上個月收到 2017-11-06 修補程式等級中所有問題的相關通知。這些問題的原始碼修補程式已發佈到 Android 開放原始碼計劃 (AOSP) 存放區中,且公告中亦提供相關連結。此外,本公告也提供 AOSP 以外的修補程式連結。</p> |
| <p> |
| 在這些問題中,最嚴重的就是媒體架構中「最高」等級的安全性漏洞。遠端攻擊者可利用這類漏洞,在獲得授權的程序環境內透過特製檔案執行任何指令。<a href="/security/overview/updates-resources.html#severity">嚴重程度評定標準</a>是假設平台與服務的因應防護措施基於開發作業的需求而被關閉,或是遭到有心人士破解,然後推算當有人惡意運用漏洞時,使用者的裝置會受到多大的影響,據此評定漏洞的嚴重程度。 |
| </p> |
| <p>針對這些新發現的漏洞,我們目前尚未收到任何客戶回報相關的漏洞濫用案例。如果想進一步瞭解 <a href="#mitigations">Android 安全性平台防護措施</a>和 Google Play 安全防護機制如何加強 Android 平台的安全性,請參閱 <a href="/security/enhancements/index.html">Android 和 Google Play 安全防護機制所提供的因應措施</a>。 |
| </p> |
| <p class="note"> |
| <strong>注意:</strong><a href="/security/bulletin/pixel/2017-11-01">2017 年 11 月 Pixel/Nexus 安全性公告</a>提供了和 Google 裝置的最新無線下載更新 (OTA) 與韌體映像檔有關的資訊。 |
| </p> |
| <h2 id="announcements">公告事項</h2> |
| <ul> |
| <li>我們新推出了 <a href="/security/bulletin/pixel/">Pixel/Nexus 安全性公告</a>,其中羅列了其他已解決的安全性漏洞與相關詳情,以及各項功能改善項目 (適用於受支援的 Pixel 和 Nexus 裝置)。Android 裝置製造商可藉此處理自家裝置的相關問題。如需查詢其他相關資訊,請參閱<a href="#questions">常見問題與解答</a>。</li> |
| <li>KRACK 漏洞的安全性修補程式已在 2017 年 11 月 6 日的安全性修補程式等級中發佈。</li> |
| </ul> |
| <h2 id="mitigations">Android 和 Google 服務問題因應措施</h2> |
| <p> |
| 本節概述 <a href="/security/enhancements/index.html">Android 安全性平台</a>和 <a href="//www.android.com/play-protect">Google Play 安全防護</a>等服務防護方案所提供的因應措施。這些措施可有效防範有心人士在 Android 系統上惡意運用安全性漏洞來達到特定目的。 |
| </p> |
| <ul> |
| <li>Android 平台持續推出新的版本來強化安全性,因此有心人士越來越難在 Android 系統上找出漏洞加以利用。我們建議所有使用者盡可能更新至最新版的 Android。</li> |
| <li>Android 安全性小組透過 <a href="//www.android.com/play-protect">Google Play 安全防護</a>主動監控濫用情形;使用這些功能的目的是在發現<a href="/security/reports/Google_Android_Security_PHA_classifications.pdf">可能有害的應用程式</a>時警告使用者。在預設情況下,搭載 <a href="//www.android.com/gms">Google 行動服務</a>的裝置會自動啟用 Google Play 安全防護機制。對於需要從 Google Play 以外的來源安裝應用程式的使用者來說,這項防護措施格外重要。</li> |
| </ul> |
| <h2 id="2017-11-01-details">2017-11-01 安全性修補程式等級 - 資安漏洞詳情</h2> |
| <p> |
| 下列各節針對 2017-11-01 安全性修補程式等級適用的各項安全性漏洞提供了詳細資訊。資安漏洞是依照受它們影響的元件分門別類,包括問題說明和一份 CVE 資訊表、相關參考資料、<a href="#type">漏洞類型</a>、<a href="/security/overview/updates-resources.html#severity">嚴重程度</a>,以及更新的 AOSP 版本 (在適用情況下)。假如相關錯誤有公開變更,該錯誤 ID 會連結到相對應的變更 (例如 AOSP 變更清單)。如果單一錯誤有多項相關變更,您可以透過該錯誤 ID 後面的編號連結開啟額外的參考資料。</p> |
| <h3 id="framework">架構</h3> |
| <p>本節中最嚴重的漏洞可能會讓本機惡意應用程式規避使用者互動要求以取得其他權限。</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>參考資料</th> |
| <th>類型</th> |
| <th>嚴重程度</th> |
| <th>更新的 AOSP 版本</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-0830</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/base/+/d05d2bac845048f84eebad8060d28332b6eda259">A-62623498</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0831</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/base/+/c510ecb3ec0eeca5425f5bc96fae80ea56f85be6">A-37442941</a> |
| [<a href="https://android.googlesource.com/platform/packages/apps/Settings/+/94c52029653426846c50c639e7f6b5404cedd472">2</a>]</td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>8.0</td> |
| </tr> |
| </tbody></table> |
| |
| <h3 id="media-framework">媒體架構</h3> |
| <p>本節中最嚴重的漏洞可能會讓遠端攻擊者得以利用特製檔案在獲得授權的程序環境內執行任何指令。</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>參考資料</th> |
| <th>類型</th> |
| <th>嚴重程度</th> |
| <th>更新的 AOSP 版本</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-0832</td> |
| <td><a href="https://android.googlesource.com/platform/external/libmpeg2/+/0a2112249af3c8de52f4da9e89d740b20246d050">A-62887820</a></td> |
| <td>RCE</td> |
| <td>最高</td> |
| <td>6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0833</td> |
| <td><a href="https://android.googlesource.com/platform/external/libavc/+/5df744afde273bc4d0f7a499581dd2fb2ae6cb45">A-62896384</a></td> |
| <td>RCE</td> |
| <td>最高</td> |
| <td>6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0834</td> |
| <td><a href="https://android.googlesource.com/platform/external/libmpeg2/+/89b4c1cf9e2d18c27c2d9c8c7504e5e2d79ef289">A-63125953</a></td> |
| <td>RCE</td> |
| <td>最高</td> |
| <td>6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0835</td> |
| <td><a href="https://android.googlesource.com/platform/external/libmpeg2/+/c07e83250dcdc3be3eca434c266472be8fddec5f">A-63316832</a></td> |
| <td>RCE</td> |
| <td>最高</td> |
| <td>6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0836</td> |
| <td><a href="https://android.googlesource.com/platform/external/libhevc/+/6921d875c1176cc79a582dd7416e020bf011b53e">A-64893226</a></td> |
| <td>RCE</td> |
| <td>最高</td> |
| <td>5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0839</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/av/+/2bec2c3b1fd778b35f45ff4f8b385ff9208fe692">A-64478003</a></td> |
| <td>ID</td> |
| <td>高</td> |
| <td>5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0840</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/av/+/f630233ee42214b36e6862dc99114f2c2bdda018">A-62948670</a></td> |
| <td>ID</td> |
| <td>高</td> |
| <td>5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| </tbody></table> |
| |
| <h3 id="system">系統</h3> |
| <p>本節中最嚴重的漏洞可能會讓遠端攻擊者得以利用特製檔案在獲得授權的程序環境內執行任何指令。</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>參考資料</th> |
| <th>類型</th> |
| <th>嚴重程度</th> |
| <th>更新的 AOSP 版本</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-0841</td> |
| <td><a href="https://android.googlesource.com/platform/system/core/+/47efc676c849e3abf32001d66e2d6eb887e83c48">A-37723026</a></td> |
| <td>RCE</td> |
| <td>最高</td> |
| <td>5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0842</td> |
| <td><a href="https://android.googlesource.com/platform/system/bt/+/b413f1b1365af4273647727e497848f95312d0ec">A-37502513</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| </tbody></table> |
| |
| <h2 id="2017-11-05-details">2017-11-05 安全性修補程式等級 - 資安漏洞詳情</h2> |
| <p> |
| 下列各節針對 2017-11-05 安全性修補程式等級適用的各項安全性漏洞提供了詳細資訊。資安漏洞是依照受它們影響的元件分門別類,並且包含一些詳細資料,例如 CVE、相關參考資料、<a href="#type">漏洞類型</a>、<a href="/security/overview/updates-resources.html#severity">嚴重程度</a>、元件 (在適用情況下),和更新的 AOSP 版本 (在適用情況下)。假如相關錯誤有公開變更,該錯誤 ID 會連結到相對應的變更 (例如 AOSP 變更清單)。如果單一錯誤有多項相關變更,您可以透過該錯誤 ID 後面的編號連結開啟額外的參考資料。</p> |
| |
| <h3 id="kernel-components">核心元件</h3> |
| <p>本節中最嚴重的漏洞可能會讓本機惡意應用程式在獲得授權的程序環境內執行任何指令。</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>參考資料</th> |
| <th>類型</th> |
| <th>嚴重程度</th> |
| <th>元件</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-9077</td> |
| <td>A-62265013<br /> |
| <a href="//git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=83eaddab4378db256d00d295bda6ca997cd13a52"> |
| 上游程式庫核心</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>網路子系統</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-7541</td> |
| <td>A-64258073<br /> |
| <a href="//git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=8f44c9a41386729fea410e688959ddaa9d51be7c"> |
| 上游程式庫核心</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>WLAN</td> |
| </tr> |
| </tbody></table> |
| |
| <h3 id="mediatek-components">MediaTek 元件</h3> |
| <p>本節中最嚴重的漏洞可能會讓本機惡意應用程式在獲得授權的程序環境內執行任何指令。</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>參考資料</th> |
| <th>類型</th> |
| <th>嚴重程度</th> |
| <th>元件</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-0843</td> |
| <td>A-62670819<a href="#asterisk">*</a><br /> |
| M-ALPS03361488</td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>CCCI</td> |
| </tr> |
| </tbody></table> |
| |
| <h3 id="nvidia-components">NVIDIA 元件</h3> |
| <p>本節中最嚴重的漏洞可能會讓本機惡意應用程式在獲得授權的程序環境內執行任何指令。</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>參考資料</th> |
| <th>類型</th> |
| <th>嚴重程度</th> |
| <th>元件</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-6264</td> |
| <td>A-34705430<a href="#asterisk">*</a><br /> |
| N-CVE-2017-6264</td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>GPU 驅動程式</td> |
| </tr> |
| </tbody></table> |
| |
| <h3 id="qualcomm-components">Qualcomm 元件</h3> |
| <p>本節中最嚴重的漏洞可能會讓遠端攻擊者得以利用特製檔案在獲得授權的程序環境內執行任何指令。</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>參考資料</th> |
| <th>類型</th> |
| <th>嚴重程度</th> |
| <th>元件</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-11013</td> |
| <td>A-64453535<br /> |
| <a href="//source.codeaurora.org/quic/la/platform/vendor/qcom-opensource/wlan/prima/commit/?id=64297e4caffdf6b1a90807bbdb65a66b43582228"> |
| QC-CR#2058261</a> |
| [<a href="//source.codeaurora.org/quic/la/platform/vendor/qcom-opensource/wlan/qcacld-3.0/commit/?id=c9f8654b11a1e693022ad7f163b3bc477fea8ce8">2</a>]</td> |
| <td>RCE</td> |
| <td>最高</td> |
| <td>WLAN</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-11015</td> |
| <td>A-64438728<br /> |
| <a href="//source.codeaurora.org/quic/la/platform/vendor/qcom-opensource/wlan/qcacld-3.0/commit/?id=ec58bc99e29d89f8e164954999ef8a45cec21754">QC-CR#2060959</a> |
| [<a href="//source.codeaurora.org/quic/la/platform/vendor/qcom-opensource/wlan/qcacld-3.0/commit/?id=1ef6add65a36de6c4da788f776de2b5b5c528d8e">2</a>]</td> |
| <td>RCE</td> |
| <td>最高</td> |
| <td>WLAN</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-11014</td> |
| <td>A-64438727<br /> |
| <a href="//source.codeaurora.org/quic/la/platform/vendor/qcom-opensource/wlan/qcacld-3.0/commit/?id=ec58bc99e29d89f8e164954999ef8a45cec21754"> |
| QC-CR#2060959</a></td> |
| <td>RCE</td> |
| <td>最高</td> |
| <td>WLAN</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-11092</td> |
| <td>A-62949902<a href="#asterisk">*</a><br /> |
| QC-CR#2077454</td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>GPU 驅動程式</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9690</td> |
| <td>A-36575870<a href="#asterisk">*</a><br /> |
| QC-CR#2045285</td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>QBT1000 驅動程式</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-11017</td> |
| <td>A-64453575<br /> |
| <a href="//source.codeaurora.org/quic/la/kernel/lk/commit/?id=41423b4ef59ea8ed871ab1acc0c9cf48fd1017e4"> |
| QC-CR#2055629</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>Linux 啟動程序</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-11028</td> |
| <td>A-64453533<br /> |
| <a href="//source.codeaurora.org/quic/la/kernel/msm-4.4/commit/?id=fd70b655d901e626403f132b65fc03d993f0a09b"> |
| QC-CR#2008683</a> |
| [<a href="//source.codeaurora.org/quic/la/kernel/msm-4.4/commit/?id=6724296d3f3b2821b83219768c1b9e971e380a9f">2</a>]</td> |
| <td>ID</td> |
| <td>高</td> |
| <td>相機</td> |
| </tr> |
| </tbody></table> |
| |
| <h2 id="2017-11-06-details">2017-11-06 安全性修補程式等級 - 資安漏洞詳情</h2> |
| <p> |
| 下列各節針對 2017-11-06 安全性修補程式等級適用的各項安全性漏洞提供了詳細資訊。資安漏洞是依照受它們影響的元件分門別類,並且包含一些詳細資料,例如 CVE、相關參考資料、<a href="#type">漏洞類型</a>、<a href="/security/overview/updates-resources.html#severity">嚴重程度</a>、元件 (在適用情況下),和更新的 AOSP 版本 (在適用情況下)。假如相關錯誤有公開變更,該錯誤 ID 會連結到相對應的變更 (例如 AOSP 變更清單)。如果單一錯誤有多項相關變更,您可以透過該錯誤 ID 後面的編號連結開啟額外的參考資料。</p> |
| <h3 id="11-06-system">系統</h3> |
| <p> |
| 本節中最嚴重的漏洞可能會讓鄰近的攻擊者規避使用者互動要求,藉此連入缺乏安全防護機制的 Wi-Fi 網路。 |
| </p> |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>參考資料</th> |
| <th>類型</th> |
| <th>嚴重程度</th> |
| <th>更新的 AOSP 版本</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-13077</td> |
| <td><a href="//android.googlesource.com/platform/external/wpa_supplicant_8/+/c66556ca2473620df9751e73eb97ec50a40ffd3e">A-67737262</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-13078</td> |
| <td><a href="//android.googlesource.com/platform/external/wpa_supplicant_8/+/10bfd644d0adaf334c036f8cda91a73984dbb7b9">A-67737262</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-13079</td> |
| <td><a href="//android.googlesource.com/platform/external/wpa_supplicant_8/+/10bfd644d0adaf334c036f8cda91a73984dbb7b9">A-67737262</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-13080</td> |
| <td><a href="//android.googlesource.com/platform/external/wpa_supplicant_8/+/10bfd644d0adaf334c036f8cda91a73984dbb7b9">A-67737262</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-13081</td> |
| <td><a href="//android.googlesource.com/platform/external/wpa_supplicant_8/+/10bfd644d0adaf334c036f8cda91a73984dbb7b9">A-67737262</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-13082</td> |
| <td><a href="//android.googlesource.com/platform/external/wpa_supplicant_8/+/f6e1f661b95908660c2bcf200266734c30803910">A-67737262</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-13086</td> |
| <td><a href="//android.googlesource.com/platform/external/wpa_supplicant_8/+/c580b5560810c3348335b4b284a48773ceaa2301">A-67737262</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-13087</td> |
| <td><a href="//android.googlesource.com/platform/external/wpa_supplicant_8/+/58c0e963554ac0be5628f3d2e5058e5c686c128a">A-67737262</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-13088</td> |
| <td><a href="//android.googlesource.com/platform/external/wpa_supplicant_8/+/58c0e963554ac0be5628f3d2e5058e5c686c128a">A-67737262</a></td> |
| <td>EoP</td> |
| <td>高</td> |
| <td>5.0.2、5.1.1、6.0、6.0.1、7.0、7.1.1、7.1.2、8.0</td> |
| </tr> |
| </tbody></table> |
| <p> |
| <strong>注意</strong>:在某些情況下,Android 合作夥伴可能還必須要求晶片製造商提供相關的修正檔案。 |
| </p> |
| <h2 id="questions">常見問題與解答</h2> |
| <p> |
| 如果您在閱讀這篇公告後有任何疑問,可參考本節的常見問答。 |
| </p> |
| <p> |
| <strong>1. 如何判斷我目前的裝置軟體版本是否已修正這些問題? |
| </strong> |
| </p> |
| <p> |
| 請參閱<a href="//support.google.com/pixelphone/answer/4457705#pixel_phones&nexus_devices">檢查及更新 Android 版本</a>一文,瞭解如何查看裝置的安全性修補程式等級。 |
| </p> |
| <ul> |
| <li>2017 年 11 月 1 日之後的安全性修補程式等級已解決了所有與 2017-11-01 安全性修補程式等級相關的問題。</li> |
| <li>2017 年 11 月 5 日之後的安全性修補程式等級完全解決了與 2017-11-05 安全性修補程式等級及所有先前修補程式等級相關的問題。</li> |
| <li>2017 年 11 月 6 日之後的安全性修補程式等級完全解決了與 2017-11-06 安全性修補程式等級及所有先前修補程式等級相關的問題。 |
| </li> |
| </ul> |
| <p> |
| 提供這些更新的裝置製造商應將修補程式字串等級設定為: |
| </p> |
| <ul> |
| <li>[ro.build.version.security_patch]:[2017-11-01]</li> |
| <li>[ro.build.version.security_patch]:[2017-11-05]</li> |
| <li>[ro.build.version.security_patch]:[2017-11-06]</li> |
| </ul> |
| <p> |
| <strong>2. 為什麼這篇公告設有三個安全性修補程式等級?</strong> |
| </p> |
| <p> |
| 本公告有三個安全性修補程式等級,讓 Android 合作夥伴能夠靈活運用,以快速修正某些發生在所有 Android 裝置上的類似漏洞。我們建議 Android 合作夥伴修正本公告所列的所有問題,並使用最新的安全性修補程式等級。 |
| </p> |
| <ul> |
| <li>使用 2017-11-01 安全性修補程式等級的裝置必須納入所有與該安全性修補程式等級相關的問題,以及在之前安全性公告中回報的所有問題適用的修正程式。</li> |
| <li>使用 2017-11-05 安全性修補程式等級的裝置必須納入所有與 2017-11-01 安全性修補程式等級相關的問題,以及先前的安全性公告中列出的所有問題適用的修正程式。</li> |
| <li>如果裝置是使用 2017 年 11 月 6 日之後的安全性修補程式等級,就必須加入本安全性公告 (以及之前公告) 中的所有適用修補程式。</li> |
| </ul> |
| <p> |
| 我們建議合作夥伴將所有問題適用的修補程式都彙整在單一更新中。 |
| </p> |
| <p id="type"> |
| <strong>3. 「類型」<em></em>欄中的項目代表什麼意義?</strong> |
| </p> |
| <p> |
| 資安漏洞詳情表格中「類型」<em></em>欄中的項目代表的是安全性漏洞的類別。 |
| </p> |
| <table> |
| <colgroup><col width="25%" /> |
| <col width="75%" /> |
| </colgroup><tbody><tr> |
| <th>縮寫詞</th> |
| <th>定義</th> |
| </tr> |
| <tr> |
| <td>RCE</td> |
| <td>遠端程式碼執行</td> |
| </tr> |
| <tr> |
| <td>EoP</td> |
| <td>權限升級</td> |
| </tr> |
| <tr> |
| <td>ID</td> |
| <td>資訊外洩</td> |
| </tr> |
| <tr> |
| <td>DoS</td> |
| <td>拒絕服務</td> |
| </tr> |
| <tr> |
| <td>無</td> |
| <td>未分類</td> |
| </tr> |
| </tbody></table> |
| <p> |
| <strong>4. 「參考資料」<em></em>欄底下列出的識別碼代表什麼意義?</strong> |
| </p> |
| <p> |
| 資安漏洞詳情表格中「參考資料」<em></em>欄底下的項目可能會包含一個前置字串,用以表示該參考資料值所屬的機構或公司。 |
| </p> |
| <table> |
| <colgroup><col width="25%" /> |
| <col width="75%" /> |
| </colgroup><tbody><tr> |
| <th>前置字串</th> |
| <th>參考資料</th> |
| </tr> |
| <tr> |
| <td>A-</td> |
| <td>Android 錯誤 ID</td> |
| </tr> |
| <tr> |
| <td>QC-</td> |
| <td>Qualcomm 參考編號</td> |
| </tr> |
| <tr> |
| <td>M-</td> |
| <td>MediaTek 參考編號</td> |
| </tr> |
| <tr> |
| <td>N-</td> |
| <td>NVIDIA 參考編號</td> |
| </tr> |
| <tr> |
| <td>B-</td> |
| <td>Broadcom 參考編號</td> |
| </tr> |
| </tbody></table> |
| <p id="asterisk"> |
| <strong>5.「參考資料」<em></em>欄中 Android 錯誤 ID 旁邊的星號 (*) 代表什麼意義?</strong> |
| </p> |
| <p> |
| 在「參考資料」<em></em>欄中 Android 錯誤 ID 旁邊標上星號 (*) 代表該問題並未公開,相關的更新通常是直接整合在最新的 Nexus 裝置專用驅動程式的安裝檔中。您可以前往 <a href="//developers.google.com/android/nexus/drivers">Google Developers 網站</a>下載這些驅動程式。 |
| </p> |
| <p> |
| <strong>6. 為什麼安全性漏洞會分別刊載在這份安全性公告和裝置/合作夥伴安全性公告 (例如 Pixel/Nexus 公告)?</strong> |
| </p> |
| <p>為了宣告 Android 裝置最新的安全性修補程式等級,我們必須先在這份安全性公告中刊載相關的安全性漏洞。裝置/合作夥伴安全性公告所刊載的其他安全性漏洞並未強制規定宣告安全性修補程式等級。我們鼓勵 Android 裝置和晶片製造商透過自己的網站刊載修正方法,例如 <a href="//security.samsungmobile.com/securityUpdate.smsb">Samsung</a>、<a href="//lgsecurity.lge.com/security_updates.html">LGE</a> 或是 <a href="/security/bulletin/pixel/">Pixel/Nexus</a> 安全性公告。 |
| </p> |
| <h2 id="versions">版本</h2> |
| <table> |
| <colgroup><col width="25%" /> |
| <col width="25%" /> |
| <col width="50%" /> |
| </colgroup><tbody><tr> |
| <th>版本</th> |
| <th>日期</th> |
| <th>附註</th> |
| </tr> |
| <tr> |
| <td>1.0</td> |
| <td>2017 年 11 月 6 日</td> |
| <td>發佈公告。</td> |
| </tr> |
| <tr> |
| <td>1.1</td> |
| <td>2017 年 11 月 8 日</td> |
| <td>修訂公告內容 (加入 AOSP 連結)。</td> |
| </tr> |
| </tbody></table> |
| |
| </body></html> |