| <html devsite><head> |
| <title>Бюллетень по безопасности Android – август 2017 г.</title> |
| <meta name="project_path" value="/_project.yaml"/> |
| <meta name="book_path" value="/_book.yaml"/> |
| </head> |
| <body> |
| <!-- |
| Copyright 2017 The Android Open Source Project |
| |
| Licensed under the Apache License, Version 2.0 (the "License"); |
| you may not use this file except in compliance with the License. |
| You may obtain a copy of the License at |
| |
| //www.apache.org/licenses/LICENSE-2.0 |
| |
| Unless required by applicable law or agreed to in writing, software |
| distributed under the License is distributed on an "AS IS" BASIS, |
| WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied. |
| See the License for the specific language governing permissions and |
| limitations under the License. |
| --> |
| <p><em>Опубликовано 7 августа 2017 г. | Обновлено 23 августа 2017 г.</em></p> |
| |
| <p>В этом бюллетене содержится информация об уязвимостях в защите устройств Android. Все актуальные проблемы, перечисленные здесь, устранены в исправлении от 5 августа 2017 года или более новом. Информацию о том, как проверить обновления системы безопасности, можно найти в <a href="https://support.google.com/pixelphone/answer/4457705#pixel_phones&nexus_devices">Справочном центре</a>.</p> |
| |
| <p>Мы сообщили партнерам о проблемах, описанных в бюллетене, по крайней мере месяц назад. Исправления уязвимостей доступны в хранилище Android Open Source Project (AOSP). В этом бюллетене также приведены ссылки на исправления вне AOSP.</p> |
| |
| <p>Самая серьезная из этих проблем – критическая уязвимость в Media Framework, которая позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла. <a href="/security/overview/updates-resources.html#severity">Уровень серьезности</a> зависит от того, какой ущерб будет нанесен устройству при атаке с использованием уязвимости, если средства защиты будут отключены разработчиком или взломаны.</p> |
| |
| <p>У нас нет информации о том, что обнаруженные уязвимости эксплуатировались. В разделе <a href="#mitigations">Предотвращение атак</a> рассказывается, как <a href="/security/enhancements/index.html">платформа безопасности</a> и Google Play Защита помогают снизить вероятность атак на Android.</p> |
| |
| <p>Мы рекомендуем всем пользователям установить перечисленные здесь обновления.</p> |
| |
| <p class="note"><strong>Примечание.</strong> Информация о последних автоматических обновлениях (OTA) и образах встроенного ПО для устройств Google находится в разделе <a href="#google-device-updates">Обновления устройств Google</a>.</p> |
| |
| <h2 id="announcements">Объявления</h2> |
| <ul> |
| <li>Мы включили в этот бюллетень сведения о двух обновлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Дополнительную информацию вы найдете в разделе <a href="#questions">Часто задаваемые вопросы</a>. |
| <ul> |
| <li><strong>2017-08-01</strong>: частичное обновление системы безопасности, в котором исправлены все уязвимости уровня 2017-08-01 и более ранние.</li> |
| <li><strong>2017-08-05</strong>: полное обновление системы безопасности, в котором исправлены все уязвимости уровней 2017-08-01 и 2017-08-05, а также более ранние.</li> |
| </ul> |
| </li> |
| </ul> |
| |
| <h2 id="mitigations">Предотвращение атак</h2> |
| |
| <p>Ниже рассказывается, как <a href="/security/enhancements/index.html">платформа безопасности</a> и средства защиты сервисов, например <a href="https://www.android.com/play-protect">Google Play Защита</a>, позволяют снизить вероятность атак на Android.</p> |
| <ul> |
| <li>В новых версиях Android сложнее использовать многие уязвимости, поэтому мы рекомендуем всем пользователям своевременно обновлять систему.</li> |
| <li>Команда, отвечающая за безопасность Android, активно отслеживает злоупотребления с помощью <a href="https://www.android.com/play-protect">Google Play Защиты</a> и предупреждает пользователей об установке <a href="/security/reports/Google_Android_Security_PHA_classifications.pdf">потенциально опасных приложений</a>. Google Play Защита включена по умолчанию на всех устройствах с <a href="http://www.android.com/gms">сервисами Google для мобильных устройств</a>. Она особенно важна, если пользователь устанавливает ПО из сторонних источников.</li> |
| </ul> |
| |
| <h2 id="2017-08-01-details">Описание уязвимостей (обновление системы безопасности 2017-08-01)</h2> |
| |
| <p>В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2017-08-01. Проблемы сгруппированы по компонентам, которые они затрагивают. Для каждого приведены описание и таблица с CVE, ссылками, <a href="#type">типом</a>, <a href="/security/overview/updates-resources.html#severity">уровнем серьезности</a>, а также версиями AOSP (при наличии). Где возможно, мы приводим основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.</p> |
| |
| <h3 id="framework">Framework</h3> |
| <p>Самая серьезная уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла.</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>Ссылки</th> |
| <th>Тип</th> |
| <th>Уровень серьезности</th> |
| <th>Обновленные версии AOSP</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-0712</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/opt/net/wifi/+/e8beda2579d277fb6b27f1792c4ed45c136ee15a">A-37207928</a></td> |
| <td>ПП</td> |
| <td>Средний</td> |
| <td>5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| </tbody></table> |
| <h3 id="libraries">Библиотеки</h3> |
| <p>Самая серьезная уязвимость позволяет злоумышленнику выполнять произвольный код в контексте непривилегированного процесса с помощью специально созданного файла.</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>Ссылки</th> |
| <th>Тип</th> |
| <th>Уровень серьезности</th> |
| <th>Обновленные версии AOSP</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-0713</td> |
| <td><a href="https://android.googlesource.com/platform/external/sfntly/+/a642e3543a4ffdaaf1456768968ae05a205ed4f4">A-32096780</a> [<a href="https://android.googlesource.com/platform/external/sfntly/+/fa6053736808e999483ca0a21fbe16a3075cf2c8">2</a>]</td> |
| <td>УВК</td> |
| <td>Высокий</td> |
| <td>4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| </tbody></table> |
| |
| <h3 id="media-framework">Media Framework</h3> |
| <p>Самая серьезная уязвимость позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла.</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>Ссылки</th> |
| <th>Тип</th> |
| <th>Уровень серьезности</th> |
| <th>Обновленные версии AOSP</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-0714</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/av/+/26557d832fde349721500b47d51467c046794ae9">A-36492637</a></td> |
| <td>УВК</td> |
| <td>Критический</td> |
| <td>4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0715</td> |
| <td><a href="https://android.googlesource.com/platform/external/libavc/+/676c26e6a2ab3b75ab6e8fdd984547219fc1ceb5">A-36998372</a></td> |
| <td>УВК</td> |
| <td>Критический</td> |
| <td>6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0716</td> |
| <td><a href="https://android.googlesource.com/platform/external/libmpeg2/+/d5f52646974c29e6b7d51230b8ddae0c0a9430dc">A-37203196</a></td> |
| <td>УВК</td> |
| <td>Критический</td> |
| <td>6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0718</td> |
| <td><a href="https://android.googlesource.com/platform/external/libmpeg2/+/327496c59fb280273e23353061980dd72b07de1f">A-37273547</a></td> |
| <td>УВК</td> |
| <td>Критический</td> |
| <td>6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0719</td> |
| <td><a href="https://android.googlesource.com/platform/external/libmpeg2/+/f0afcf1943a1844e2a82ac3c5ab4d49427102cd1">A-37273673</a></td> |
| <td>УВК</td> |
| <td>Критический</td> |
| <td>6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0720</td> |
| <td><a href="https://android.googlesource.com/platform/external/libhevc/+/84732aaa4255955b8fefc39efee9b369181a6861">A-37430213</a></td> |
| <td>УВК</td> |
| <td>Критический</td> |
| <td>5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0721</td> |
| <td><a href="https://android.googlesource.com/platform/external/libmpeg2/+/08a0d1ab6277770babbedab6ce7e7e2481869ad0">A-37561455</a></td> |
| <td>УВК</td> |
| <td>Критический</td> |
| <td>6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0722</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/av/+/26557d832fde349721500b47d51467c046794ae9">A-37660827</a></td> |
| <td>УВК</td> |
| <td>Критический</td> |
| <td>4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0723</td> |
| <td><a href="https://android.googlesource.com/platform/external/libavc/+/fe5ade4c86e2f5a86eab6c6593981d02f4c1710b">A-37968755</a></td> |
| <td>УВК</td> |
| <td>Критический</td> |
| <td>6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0745</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/av/+/b6ec3bbba36a3816a936f1e31984529b875b3618">A-37079296</a></td> |
| <td>УВК</td> |
| <td>Критический</td> |
| <td>4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0724</td> |
| <td><a href="https://android.googlesource.com/platform/external/libmpeg2/+/08a0d1ab6277770babbedab6ce7e7e2481869ad0">A-36819262</a></td> |
| <td>ОО</td> |
| <td>Высокий</td> |
| <td>6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0725</td> |
| <td><a href="https://android.googlesource.com/platform/external/skia/+/59372f5412036ce87285e91fd2dd53e37ff990e4">A-37627194</a></td> |
| <td>ОО</td> |
| <td>Высокий</td> |
| <td>7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0726</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/av/+/8995285da14e1303ae7357bf8162cbec13e65b68">A-36389123</a></td> |
| <td>ОО</td> |
| <td>Высокий</td> |
| <td>4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0727</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/native/+/39dfabd43cbe57f92b771c0110a5c2d976b6c44f">A-33004354</a></td> |
| <td>ПП</td> |
| <td>Высокий</td> |
| <td>7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0728</td> |
| <td><a href="https://android.googlesource.com/platform/external/libhevc/+/314a0d038e6ae24bef80fff0b542965aed78ae96">A-37469795</a></td> |
| <td>ОО</td> |
| <td>Высокий</td> |
| <td>5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0729</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/av/+/96974782cd914120272a026ebc263dd38098f392">A-37710346</a></td> |
| <td>ПП</td> |
| <td>Высокий</td> |
| <td>5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0730</td> |
| <td><a href="https://android.googlesource.com/platform/external/libavc/+/efd28f6c36d40d0a8dd92f344e1d9a992b315c36">A-36279112</a></td> |
| <td>ОО</td> |
| <td>Высокий</td> |
| <td>6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0731</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/av/+/c10183960909f074a265c134cd4087785e7d26bf">A-36075363</a></td> |
| <td>ПП</td> |
| <td>Высокий</td> |
| <td>4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0732</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/av/+/bf153fbedc2333b14e90826d22f08d10e832db29">A-37504237</a></td> |
| <td>ПП</td> |
| <td>Высокий</td> |
| <td>6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0733</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/base/+/6f357fd589e115a74aae25b1ac325af6121cdadf">A-38391487</a></td> |
| <td>ОО</td> |
| <td>Высокий</td> |
| <td>5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0734</td> |
| <td><a href="https://android.googlesource.com/platform/external/libavc/+/f6650b34ef27d6da8cdccd42e0f76fe756a9375b">A-38014992</a></td> |
| <td>ОО</td> |
| <td>Высокий</td> |
| <td>6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0735</td> |
| <td><a href="https://android.googlesource.com/platform/external/libavc/+/fe5ade4c86e2f5a86eab6c6593981d02f4c1710b">A-38239864</a> [<a href="https://android.googlesource.com/platform/external/libavc/+/490bed0e7dce49296d50bb519348c6a87de8a8ef">2</a>]</td> |
| <td>ОО</td> |
| <td>Высокий</td> |
| <td>6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0736</td> |
| <td><a href="https://android.googlesource.com/platform/external/libavc/+/dfbbb54f14f83d45ad06a91aa76ed8260eb795d5">A-38487564</a></td> |
| <td>ОО</td> |
| <td>Высокий</td> |
| <td>6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0687</td> |
| <td><a href="https://android.googlesource.com/platform/external/libavc/+/17b46beeae7421f76d894f14696ba4db9023287c">A-35583675</a></td> |
| <td>ОО</td> |
| <td>Высокий</td> |
| <td>6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0737</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/av/+/77e075ddd6d8cae33832add5225ee8f8c77908f0">A-37563942</a></td> |
| <td>ПП</td> |
| <td>Высокий</td> |
| <td>4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0805</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/av/+/77e075ddd6d8cae33832add5225ee8f8c77908f0">A-37237701</a></td> |
| <td>ПП</td> |
| <td>Высокий</td> |
| <td>4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0738</td> |
| <td><a href="https://android.googlesource.com/platform/frameworks/av/+/1d919d737b374b98b900c08c9d0c82fe250feb08">A-37563371</a> [<a href="https://android.googlesource.com/platform/hardware/qcom/audio/+/234848dd6756c5d636f5a103e51636d60932983c">2</a>]</td> |
| <td>РИ</td> |
| <td>Средний</td> |
| <td>4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0739</td> |
| <td><a href="https://android.googlesource.com/platform/external/libhevc/+/e6e353a231f746743866d360b88ef8ced367bcb1">A-37712181</a></td> |
| <td>РИ</td> |
| <td>Средний</td> |
| <td>5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2</td> |
| </tr> |
| </tbody></table> |
| <h2 id="2017-08-05-details">Описание уязвимостей (обновление системы безопасности 2017-08-05)</h2> |
| <p>В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2017-08-05. Проблемы сгруппированы по компонентам, которые они затрагивают. Для каждого приведена таблица с CVE, ссылками, <a href="#type">типом</a>, <a href="/security/overview/updates-resources.html#severity">уровнем серьезности</a>, а также версиями AOSP (при наличии). Где возможно, мы приводим основную ссылку на опубликованное изменение, связанное с идентификатором ошибки (например, список AOSP), и дополнительные ссылки в квадратных скобках.</p> |
| |
| <h3 id="broadcom-components">Компоненты Broadcom</h3> |
| <p>Самая серьезная уязвимость позволяет злоумышленнику выполнять произвольный код в контексте непривилегированного процесса с помощью специально созданного файла.</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>Ссылки</th> |
| <th>Тип</th> |
| <th>Уровень серьезности</th> |
| <th>Компонент</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-0740</td> |
| <td>A-37168488<a href="#asterisk">*</a><br /> |
| B-RB#116402</td> |
| <td>УВК</td> |
| <td>Средний</td> |
| <td>Сетевой драйвер</td> |
| </tr> |
| </tbody></table> |
| <h3 id="kernel-components">Компоненты ядра</h3> |
| <p>Самая серьезная уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса.</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>Ссылки</th> |
| <th>Тип</th> |
| <th>Уровень серьезности</th> |
| <th>Компонент</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-10661</td> |
| <td>A-36266767<br /> |
| <a href="https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux-stable.git/commit/?id=1e38da300e1e395a15048b0af1e5305bd91402f6">Upstream kernel</a></td> |
| <td>ПП</td> |
| <td>Высокий</td> |
| <td>Файловая система</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0750</td> |
| <td>A-36817013<a href="#asterisk">*</a></td> |
| <td>ПП</td> |
| <td>Средний</td> |
| <td>Файловая система</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-10662</td> |
| <td>A-36815012<br /> |
| <a href="https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux-stable.git/commit/?id=b9dd46188edc2f0d1f37328637860bb65a771124">Upstream kernel</a></td> |
| <td>ПП</td> |
| <td>Средний</td> |
| <td>Файловая система</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-10663</td> |
| <td>A-36588520<br /> |
| <a href="https://sourceforge.net/p/linux-f2fs/mailman/message/35835945/">Upstream kernel</a></td> |
| <td>ПП</td> |
| <td>Средний</td> |
| <td>Файловая система</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0749</td> |
| <td>A-36007735<a href="#asterisk">*</a></td> |
| <td>ПП</td> |
| <td>Средний</td> |
| <td>Ядро Linux</td> |
| </tr> |
| </tbody></table> |
| <h3 id="mediatek-components">Компоненты MediaTek</h3> |
| <p>Самая серьезная уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса.</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>Ссылки</th> |
| <th>Тип</th> |
| <th>Уровень серьезности</th> |
| <th>Компонент</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-0741</td> |
| <td>A-32458601<a href="#asterisk">*</a><br /> |
| M-ALPS03007523</td> |
| <td>ПП</td> |
| <td>Высокий</td> |
| <td>Драйвер графического процессора</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0742</td> |
| <td>A-36074857<a href="#asterisk">*</a><br /> |
| M-ALPS03275524</td> |
| <td>ПП</td> |
| <td>Средний</td> |
| <td>Видеодрайвер</td> |
| </tr> |
| </tbody></table> |
| <h3 id="qualcomm-components">Компоненты Qualcomm</h3> |
| <p>Самая серьезная уязвимость позволяет локальному вредоносному ПО выполнять произвольный код в контексте привилегированного процесса.</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>Ссылки</th> |
| <th>Тип</th> |
| <th>Уровень серьезности</th> |
| <th>Компонент</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-0746</td> |
| <td>A-35467471<a href="#asterisk">*</a><br /> |
| QC-CR#2029392</td> |
| <td>ПП</td> |
| <td>Средний</td> |
| <td>Драйвер усилителя</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0747</td> |
| <td>A-32524214<a href="#asterisk">*</a><br /> |
| QC-CR#2044821</td> |
| <td>ПП</td> |
| <td>Средний</td> |
| <td>Проприетарный компонент</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9678</td> |
| <td>A-35258962<a href="#asterisk">*</a><br /> |
| QC-CR#2028228</td> |
| <td>ПП</td> |
| <td>Средний</td> |
| <td>Видеодрайвер</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9691</td> |
| <td>A-33842910<a href="#asterisk">*</a><br /> |
| QC-CR#1116560</td> |
| <td>ПП</td> |
| <td>Средний</td> |
| <td>Драйвер MobiCore (Trustonic)</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9684</td> |
| <td>A-35136547<a href="#asterisk">*</a><br /> |
| QC-CR#2037524</td> |
| <td>ПП</td> |
| <td>Средний</td> |
| <td>USB-драйвер</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9682</td> |
| <td>A-36491445<a href="#asterisk">*</a><br /> |
| QC-CR#2030434</td> |
| <td>РИ</td> |
| <td>Средний</td> |
| <td>Драйвер графического процессора</td> |
| </tr> |
| </tbody></table> |
| |
| <h2 id="google-device-updates">Обновления устройств Google</h2> |
| <p>В таблице указаны обновление системы безопасности, которые находится в последнем автоматическом обновлении (OTA) и <a href="https://developers.google.com/android/nexus/images">образах встроенного ПО для устройств Google</a>.</p> |
| |
| <table> |
| <tbody><tr> |
| <th>Устройство</th> |
| <th>Обновление системы безопасности</th> |
| </tr> |
| <tr> |
| <td>Pixel/Pixel XL</td> |
| <td>5 августа 2017 г.</td> |
| </tr> |
| <tr> |
| <td>Nexus 5X</td> |
| <td>5 августа 2017 г.</td> |
| </tr> |
| <tr> |
| <td>Nexus 6</td> |
| <td>5 августа 2017 г.</td> |
| </tr> |
| <tr> |
| <td>Nexus 6P</td> |
| <td>5 августа 2017 г.</td> |
| </tr> |
| <tr> |
| <td>Nexus 9</td> |
| <td>5 августа 2017 г.</td> |
| </tr> |
| <tr> |
| <td>Nexus Player</td> |
| <td>5 августа 2017 г.</td> |
| </tr> |
| <tr> |
| <td>Pixel С</td> |
| <td>5 августа 2017 г.</td> |
| </tr> |
| </tbody></table> |
| <p>В обновления устройств Google также включены исправления для следующих уязвимостей системы безопасности (если применимо):</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="19%" /> |
| <col width="9%" /> |
| <col width="14%" /> |
| <col width="39%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>Ссылки</th> |
| <th>Тип</th> |
| <th>Уровень серьезности</th> |
| <th>Компонент</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-0744</td> |
| <td>A-34112726<a href="#asterisk">*</a><br /> |
| N-CVE-2017-0744</td> |
| <td>ПП</td> |
| <td>Низкий</td> |
| <td>Аудиодрайвер</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9679</td> |
| <td>A-35644510<a href="#asterisk">*</a><br /> |
| QC-CR#2029409</td> |
| <td>РИ</td> |
| <td>Низкий</td> |
| <td>Драйвер процессора</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9680</td> |
| <td>A-35764241<a href="#asterisk">*</a><br /> |
| QC-CR#2030137</td> |
| <td>РИ</td> |
| <td>Низкий</td> |
| <td>Драйвер процессора</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0748</td> |
| <td>A-35764875<a href="#asterisk">*</a><br /> |
| QC-CR#2029798</td> |
| <td>РИ</td> |
| <td>Низкий</td> |
| <td>Аудиодрайвер</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9681</td> |
| <td>A-36386593<a href="#asterisk">*</a><br /> |
| QC-CR#2030426</td> |
| <td>РИ</td> |
| <td>Низкий</td> |
| <td>Радиодрайвер</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9693</td> |
| <td>A-36817798<a href="#asterisk">*</a><br /> |
| QC-CR#2044820</td> |
| <td>РИ</td> |
| <td>Низкий</td> |
| <td>Сетевой драйвер</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9694</td> |
| <td>A-36818198<a href="#asterisk">*</a><br /> |
| QC-CR#2045470</td> |
| <td>РИ</td> |
| <td>Низкий</td> |
| <td>Сетевой драйвер</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0751</td> |
| <td>A-36591162<a href="#asterisk">*</a><br /> |
| QC-CR#2045061</td> |
| <td>ПП</td> |
| <td>Низкий</td> |
| <td>Драйвер Qualcomm для шифрования</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9692</td> |
| <td>A-36731152<a href="#asterisk">*</a><br /> |
| QC-CR#2021707</td> |
| <td>ОО</td> |
| <td>Низкий</td> |
| <td>Графический драйвер</td> |
| </tr> |
| </tbody></table> |
| <h2 id="acknowledgements">Благодарности</h2> |
| <p>Благодарим всех, кто помог обнаружить уязвимости:</p> |
| |
| <table> |
| <colgroup><col width="17%" /> |
| <col width="83%" /> |
| </colgroup><tbody><tr> |
| <th>CVE</th> |
| <th>Специалисты</th> |
| </tr> |
| <tr> |
| <td>CVE-2017-0741, CVE-2017-0742, CVE-2017-0751</td> |
| <td>Баоцзэн Дин (<a href="https://twitter.com/sploving1">@sploving</a>), Чэнмин Ян и Ян Сун из Alibaba Mobile Security Group</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9682</td> |
| <td>Билли Лау из Android Security</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0739</td> |
| <td><a href="mailto:shaodacheng2016@gmail.com">Дачэн Шао</a>, Хунли Хань (<a href="https://twitter.com/HexB1n">@HexB1n</a>), Минцзянь Чжоу (<a href="https://twitter.com/Mingjian_Zhou">@Mingjian_Zhou</a>) и Сюйсянь Цзян из <a href="http://c0reteam.org">C0RE Team</a></td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9691, CVE-2017-0744</td> |
| <td>Гэнцзя Чэнь (<a href="https://twitter.com/chengjia4574">@chengjia4574</a>) и <a href="http://weibo.com/jfpan">pjf</a> из IceSword Lab, Qihoo 360 Technology Co. Ltd.</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0727</td> |
| <td>Гуан Гун (龚广) (<a href="https://twitter.com/oldfresher">@oldfresher</a>) из Alpha Team, Qihoo 360 Technology Co. Ltd.</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0737</td> |
| <td><a href="mailto:arnow117@gmail.com">Ханьсян Вэнь</a>, Минцзянь Чжоу (<a href="https://twitter.com/Mingjian_Zhou">@Mingjian_Zhou</a>) и Сюйсянь Цзян из <a href="http://c0reteam.org">C0RE Team</a></td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0748</td> |
| <td>Хао Чэнь и Гуан Гун из Alpha Team, Qihoo 360 Technology Co. Ltd.</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0731</td> |
| <td>Хунли Хань (<a href="https://twitter.com/HexB1n">@HexB1n</a>), Минцзянь Чжоу (<a href="https://twitter.com/Mingjian_Zhou">@Mingjian_Zhou</a>) и Сюйсянь Цзян из <a href="http://c0reteam.org">C0RE Team</a></td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9679</td> |
| <td>Нейтан Крэнделл (<a href="https://twitter.com/natecray">@natecray</a>) из Tesla's Product Security Team</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0726</td> |
| <td><a href="mailto:jiych.guru@gmail.com">Niky1235</a> (<a href="https://twitter.com/jiych_guru">@jiych_guru</a>)</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9684, CVE-2017-9694, CVE-2017-9693, CVE-2017-9681, CVE-2017-0738, CVE-2017-0728</td> |
| <td>Пэнфэй Дин (丁鹏飞), Чэньфу Бао (包沉浮) и Ленкс Вэй (韦韬) из Baidu X-Lab (百度安全实验室)</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9680</td> |
| <td><a href="https://twitter.com/ScottyBauer1">Скотт Бауэр</a></td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0724</td> |
| <td>Севен Шэнь (<a href="https://twitter.com/lingtongshen">@lingtongshen</a>) из Trend Micro</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0732, CVE-2017-0805</td> |
| <td>Тимоти Беккер из CSS Inc.</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-10661</td> |
| <td>Тун Линь (<a href="mailto:segfault5514@gmail.com">segfault5514@gmail.com</a>), Юань-Цун Ло (<a href="mailto:computernik@gmail.com">computernik@gmail.com</a>) и Сюйсянь Цзян из <a href="http://c0reteam.org">C0RE Team</a></td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0712</td> |
| <td>Валерио Костаманья (<a href="https://twitter.com/vaio_co">@vaio_co</a>) и Марко Бартоли (<a href="https://twitter.com/wsxarcher">@wsxarcher</a>)</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0716</td> |
| <td>Василий Васильев</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0750, CVE-2017-0713, CVE-2017-0715, CVE-2017-10662, CVE-2017-10663</td> |
| <td>V.E.O (<a href="https://twitter.com/vysea">@VYSEa</a>) из <a href="http://blog.trendmicro.com/trendlabs-security-intelligence/category/mobile/">команды по изучению угроз для мобильных устройств</a>, <a href="http://www.trendmicro.com">Trend Micro</a></td> |
| </tr> |
| <tr> |
| <td>CVE-2017-9678</td> |
| <td>Янь Чжоу из Eagleye team, SCC, Huawei</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0749, CVE-2017-0746</td> |
| <td>Юнган Го (<a href="https://twitter.com/guoygang">@guoygang</a>) из IceSword Lab, Qihoo 360 Technology Co. Ltd.</td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0729</td> |
| <td>Юнкэ Ван из <a href="http://xlab.tencent.com">Tencent's Xuanwu Lab</a></td> |
| </tr> |
| <tr> |
| <td>CVE-2017-0714, CVE-2017-0719, CVE-2017-0718, CVE-2017-0722, CVE-2017-0725, CVE-2017-0720, CVE-2017-0745</td> |
| <td><a href="http://weibo.com/ele7enxxh">Цзыно Хань</a> из Chengdu Security Response Center, Qihoo 360 Technology Co. Ltd.</td> |
| </tr> |
| </tbody></table> |
| <h2 id="questions">Часто задаваемые вопросы</h2> |
| <p>В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.</p> |
| |
| <p><strong>1. Как определить, установлено ли на устройство обновление, в котором устранены перечисленные проблемы? |
| </strong></p> |
| |
| <p>Информацию о том, как проверить обновления системы безопасности, можно найти в <a href="https://support.google.com/pixelphone/answer/4457705#pixel_phones&nexus_devices">Справочном центре</a>.</p> |
| <ul> |
| <li>В исправлении от 1 августа 2017 года или более новом устранены все проблемы, связанные с обновлением 2017-08-01.</li> |
| <li>В исправлении от 5 августа 2017 года или более новом устранены все проблемы, связанные с обновлением 2017-08-05. |
| </li> |
| </ul> |
| <p>Производители устройств, позволяющие установить эти обновления, должны присвоить им один из этих уровней:</p> |
| <ul> |
| <li>[ro.build.version.security_patch]:[2017-08-01]</li> |
| <li>[ro.build.version.security_patch]:[2017-08-05]</li> |
| </ul> |
| <p><strong>2. Почему в этом бюллетене говорится о двух обновлениях системы безопасности?</strong></p> |
| |
| <p>Мы включили в этот бюллетень сведения о двух обновлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Рекомендуем партнерам Android исправить все вышеперечисленные проблемы и установить последнее обновление системы безопасности.</p> |
| <ul> |
| <li>На устройствах с установленным обновлением от 1 августа 2017 года должны быть исправлены все проблемы, упомянутые в соответствующем разделе этого бюллетеня, а также в предыдущих выпусках.</li> |
| <li>На устройствах с установленным обновлением от 5 августа 2017 года или более новым должны быть исправлены все проблемы, упомянутые в этом бюллетене и предыдущих выпусках.</li> |
| </ul> |
| <p>Рекомендуем партнерам собрать все исправления проблем в одно обновление.</p> |
| |
| <p id="type"><strong>3. Что означают сокращения в столбце <em>Тип</em>?</strong></p> |
| |
| <p>В этом столбце указан тип уязвимости по следующей классификации:<em></em></p> |
| |
| <table> |
| <colgroup><col width="25%" /> |
| <col width="75%" /> |
| </colgroup><tbody><tr> |
| <th>Сокращение</th> |
| <th>Описание</th> |
| </tr> |
| <tr> |
| <td>УВК</td> |
| <td>Удаленное выполнение кода</td> |
| </tr> |
| <tr> |
| <td>ПП</td> |
| <td>Повышение привилегий</td> |
| </tr> |
| <tr> |
| <td>РИ</td> |
| <td>Раскрытие информации</td> |
| </tr> |
| <tr> |
| <td>ОО</td> |
| <td>Отказ в обслуживании</td> |
| </tr> |
| <tr> |
| <td>Н/Д</td> |
| <td>Классификация недоступна</td> |
| </tr> |
| </tbody></table> |
| <p><strong>4. На что указывают записи в столбце <em>Ссылки</em>?</strong></p> |
| |
| <p>В таблицах с описанием уязвимостей есть столбец <em>Ссылки</em>. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:</p> |
| |
| <table> |
| <colgroup><col width="25%" /> |
| <col width="75%" /> |
| </colgroup><tbody><tr> |
| <th>Префикс</th> |
| <th>Значение</th> |
| </tr> |
| <tr> |
| <td>A-</td> |
| <td>Идентификатор ошибки Android</td> |
| </tr> |
| <tr> |
| <td>QC-</td> |
| <td>Ссылочный номер Qualcomm</td> |
| </tr> |
| <tr> |
| <td>M-</td> |
| <td>Ссылочный номер MediaTek</td> |
| </tr> |
| <tr> |
| <td>N-</td> |
| <td>Ссылочный номер NVIDIA</td> |
| </tr> |
| <tr> |
| <td>B-</td> |
| <td>Ссылочный номер Broadcom</td> |
| </tr> |
| </tbody></table> |
| <p id="asterisk"><strong>5. Что означает символ * рядом с идентификатором ошибки Android в столбце <em>Ссылки</em>?</strong></p> |
| |
| <p>Символ <a href="#asterisk">*</a> означает, что исправление для уязвимости не опубликовано.<em></em> Необходимое обновление содержится в последних бинарных драйверах для устройств Nexus, которые можно скачать на <a href="https://developers.google.com/android/nexus/drivers">сайте для разработчиков</a>.</p> |
| |
| <h2 id="versions">Версии</h2> |
| <table> |
| <colgroup><col width="25%" /> |
| <col width="25%" /> |
| <col width="50%" /> |
| </colgroup><tbody><tr> |
| <th>Версия</th> |
| <th>Дата</th> |
| <th>Примечания</th> |
| </tr> |
| <tr> |
| <td>1.0</td> |
| <td>7 августа 2017 г.</td> |
| <td>Бюллетень опубликован.</td> |
| </tr> |
| <tr> |
| <td>1.1</td> |
| <td>8 августа 2017 г.</td> |
| <td>Добавлены ссылки на AOSP и обновлен раздел благодарностей.</td> |
| </tr> |
| <tr> |
| <td>1.2</td> |
| <td>14 августа 2017 г.</td> |
| <td>Добавлена информация об уязвимости CVE-2017-0687.</td> |
| </tr> |
| <tr> |
| <td>1.2</td> |
| <td>23 августа 2017 г.</td> |
| <td>Добавлена информация об уязвимости CVE-2017-0805.</td> |
| </tr> |
| </tbody></table> |
| |
| </body></html> |