חדשות האבטחה של Android – פברואר 2024

פורסם ב-5 בפברואר 2024

ב-Android Security Bulletin מפורטות פרצות אבטחה שמשפיעות על מכשירי Android. רמות תיקוני האבטחה של 2024-02-05 ואילך פותרות את כל הבעיות האלה. כדי לדעת איך בודקים את רמת תיקון האבטחה של מכשיר, אפשר לעיין במאמר בנושא בדיקה ועדכון של גרסת Android.

שותפי Android מקבלים הודעה על כל הבעיות לפחות חודש לפני הפרסום. תיקונים של קוד המקור לבעיות האלה פורסמו במאגר של פרויקט הקוד הפתוח של Android ‏ (AOSP) ומקושרים לפרסום הזה. העלון הזה כולל גם קישורים לתיקונים מחוץ ל-AOSP.

הבעיה החמורה ביותר היא נקודת חולשה קריטית באבטחה ברכיב המערכת, שעלולה להוביל להרצת קוד מרחוק ללא צורך בהרשאות ביצוע נוספות. הערכת החומרה מבוססת על ההשפעה האפשרית של ניצול הפגיעות על מכשיר מושפע, בהנחה שהפלטפורמה והאמצעים לצמצום הסיכון של השירות מושבתים למטרות פיתוח, או אם הם עוקפו בהצלחה.

בקטע אמצעי ההגנה של Android ו-Google Play Protect מפורטים אמצעי ההגנה של פלטפורמת האבטחה של Android ושל Google Play Protect, שמשפרים את האבטחה של פלטפורמת Android.

אמצעי הגנה ב-Android ובשירותי Google

זהו סיכום של אמצעי ההגנה שמוצעים על ידי פלטפורמת האבטחה של Android ושירותי ההגנה, כמו Google Play Protect. היכולות האלה מצמצמות את הסיכוי שנקודות חולשה באבטחה ינוצלו לרעה ב-Android.

  • השיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של הרבה בעיות ב-Android. מומלץ לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
  • צוות האבטחה של Android עוקב באופן פעיל אחרי התנהלות פוגעת באמצעות Google Play Protect ומזהיר משתמשים מפני אפליקציות שעלולות להזיק. ‫Google Play Protect מופעל כברירת מחדל במכשירים עם שירותי Google לנייד, והוא חשוב במיוחד למשתמשים שמתקינים אפליקציות ממקורות אחרים ולא מחנות Google Play.

‫2024-02-01 פרטים על פגיעות ברמת תיקון האבטחה

בקטעים הבאים מפורטות כל נקודות החולשה באבטחה שרלוונטיות לרמת התיקון 2024-02-01. נקודות החולשה מקובצות לפי הרכיב שהן משפיעות עליו. בטבלאות הבאות מתוארות הבעיות, כולל מזהה CVE, הפניות משויכות, סוג נקודת החולשה, חומרת הבעיה וגרסאות AOSP מעודכנות (אם רלוונטי). אם יש שינוי ציבורי שפותר את הבעיה, אנחנו מקשרים אותו למזהה הבאג, כמו רשימת השינויים של AOSP. אם כמה שינויים קשורים לאותו באג, הפניות הנוספות מקושרות למספרים שאחרי מזהה הבאג. יכול להיות שמכשירים עם Android 10 ואילך יקבלו עדכוני אבטחה וגם עדכוני מערכת של Google Play.

Framework

נקודת החולשה החמורה ביותר בקטע הזה עלולה להוביל להסלמת הרשאות מקומית ללא צורך בהרשאות ביצוע נוספות.

CVE קובצי עזר סוג מידת החומרה גרסאות AOSP מעודכנות
CVE-2024-0029 A-305664128 EoP רחב 13
CVE-2024-0034 A-298094386 EoP רחב ‫11, 12, 12L, 13
CVE-2024-0036 A-230492947 EoP רחב ‫11, 12, 12L, 13, 14
CVE-2024-0038 A-309426390 EoP רחב 14
CVE-2024-0041 A-300741186 EoP רחב 14
CVE-2024-0040 A-300007708 מזהה רחב ‫11, 12, 12L, 13, 14

מערכת

הפרצה החמורה ביותר בקטע הזה עלולה להוביל להרצת קוד מרחוק ללא צורך בהרשאות הרצה נוספות.

CVE קובצי עזר סוג מידת החומרה גרסאות AOSP מעודכנות
CVE-2024-0031 A-297524203 RCE קריטית ‫11, 12, 12L, 13, 14
CVE-2024-0014 A-304082474 EoP רחב ‫11, 12, 12L, 13, 14
CVE-2024-0033 A-294609150 [2] EoP רחב ‫11, 12, 12L, 13, 14
CVE-2024-0035 A-300903792 EoP רחב ‫11, 12, 12L, 13, 14
CVE-2023-40093 A-279055389 [2] מזהה רחב ‫11, 12, 12L, 13, 14
CVE-2024-0030 A-276898739 מזהה רחב ‫11, 12, 12L, 13, 14

עדכוני מערכת של Google Play

אין בעיות אבטחה שמתוקנות בעדכוני המערכת של Google Play (Project Mainline) החודש.

‫2024-02-05 פרטים על פגיעות ברמת תיקון האבטחה

בקטעים הבאים מפורטות כל נקודות החולשה באבטחה שרלוונטיות לרמת התיקון 2024-02-05. נקודות החולשה מקובצות לפי הרכיב שהן משפיעות עליו. בטבלאות הבאות מתוארות הבעיות, כולל מזהה CVE, הפניות משויכות, סוג נקודת החולשה, חומרת הבעיה וגרסאות AOSP מעודכנות (אם רלוונטי). אם יש שינוי ציבורי שפותר את הבעיה, אנחנו מקשרים אותו למזהה הבאג, כמו רשימת השינויים של AOSP. אם כמה שינויים קשורים לאותו באג, הפניות הנוספות מקושרות למספרים שאחרי מזהה הבאג.

רכיבים של זרוע תותבת

נקודות החולשה האלה משפיעות על רכיבי Arm, ופרטים נוספים זמינים ישירות מ-Arm. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Arm.

CVE קובצי עזר מידת החומרה רכיב משנה
CVE-2023-5091
 A-298150556 * רחב מאלי
CVE-2023-5249
 A-301630648 * רחב מאלי
CVE-2023-5643
 A-308188986 * רחב מאלי

רכיבי MediaTek

נקודות החולשה האלה משפיעות על רכיבי MediaTek, ופרטים נוספים זמינים ישירות מ-MediaTek. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי MediaTek.

CVE קובצי עזר מידת החומרה רכיב משנה
CVE-2024-20011
 A-314698315
M-ALPS08441146 * 		רחב alac decoder
CVE-2024-20006
 A-314707751
M-ALPS08477148 * 		רחב DA
CVE-2024-20007
 A-314698312
M-ALPS08441369 * 		רחב מפענח mp3
CVE-2024-20009
 A-314698313
M-ALPS08441150 * 		רחב alac decoder
CVE-2024-20010
 A-314698314
M-ALPS08358560 * 		רחב keyInstall
CVE-2023-32841
 A-317829109
M-MOLY01128524 * 		רחב מודם 5G
CVE-2023-32842
 A-317826159
M-MOLY01130256 * 		רחב מודם 5G
CVE-2023-32843
 A-317829110
M-MOLY01130204 * 		רחב מודם 5G
CVE-2024-20003
 A-317829112
M-MOLY01191612 * 		רחב מודם 5G

רכיבי Unisoc

נקודות החולשה האלה משפיעות על רכיבי Unisoc, ופרטים נוספים זמינים ישירות מ-Unisoc. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Unisoc.

CVE קובצי עזר מידת החומרה רכיב משנה
CVE-2023-49667
 A-314033392
U-2455269 * 		רחב בועה
CVE-2023-49668
 A-314032846
U-2455269 * 		רחב בועה

רכיבי Qualcomm

נקודות החולשה האלה משפיעות על רכיבי Qualcomm, והן מתוארות בפירוט נוסף בעדכון האבטחה הדחוף או בהתראת האבטחה המתאימים של Qualcomm. חברת Qualcomm מספקת ישירות את הערכת חומרת הבעיות האלה.

CVE קובצי עזר מידת החומרה רכיב משנה
CVE-2023-43513
 A-303101658
QC-CR#3545432 [2] 		רחב בועה
CVE-2023-43516
 A-309461150
QC-CR#3536092 		רחב וידאו
CVE-2023-43520
 A-309461173
QC-CR#3575335 		רחב WLAN
CVE-2023-43534
 A-309461218
QC-CR#3575491
QC-CR#3578829 		רחב WLAN

רכיבים של Qualcomm עם מקור סגור

הפגיעויות האלה משפיעות על רכיבים של Qualcomm בקוד סגור, והן מתוארות בפירוט נוסף בעדכון האבטחה או בהתראת האבטחה המתאימים של Qualcomm. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Qualcomm.

CVE קובצי עזר מידת החומרה רכיב משנה
CVE-2023-33046
 A-295038516 * רחב רכיב מקור סגור
CVE-2023-33049
 A-295039556 * רחב רכיב מקור סגור
CVE-2023-33057
 A-295039728 * רחב רכיב מקור סגור
CVE-2023-33058
 A-295038658 * רחב רכיב מקור סגור
CVE-2023-33060
 A-295039022 * רחב רכיב מקור סגור
CVE-2023-33072
 A-295038660 * רחב רכיב מקור סגור
CVE-2023-33076
 A-295039588 * רחב רכיב מקור סגור
CVE-2023-43518
 A-309460837 * רחב רכיב מקור סגור
CVE-2023-43519
 A-309461083 * רחב רכיב מקור סגור
CVE-2023-43522
 A-309461138 * רחב רכיב מקור סגור
CVE-2023-43523
 A-309460866 * רחב רכיב מקור סגור
CVE-2023-43533
 A-309461430 * רחב רכיב מקור סגור
CVE-2023-43536
 A-309461332 * רחב רכיב מקור סגור

שאלות ותשובות נפוצות

בקטע הזה תמצאו תשובות לשאלות נפוצות שעשויות להתעורר אחרי קריאת ההודעה הזו.

1. איך אפשר לדעת אם המכשיר שלי עודכן כדי לפתור את הבעיות האלה?

כדי לדעת איך בודקים את רמת תיקון האבטחה של מכשיר, אפשר לעיין במאמר בנושא בדיקה ועדכון של גרסת Android.

  • רמות תיקון האבטחה מ-2024-02-01 ואילך מטפלות בכל הבעיות שקשורות לרמת תיקון האבטחה מ-2024-02-01.
  • רמות תיקון האבטחה מ-2024-02-05 ואילך מטפלות בכל הבעיות שמשויכות לרמת תיקון האבטחה מ-2024-02-05 ולכל רמות התיקון הקודמות.

יצרני מכשירים שכוללים את העדכונים האלה צריכים להגדיר את הרמה של מחרוזת התיקון כך:

  • ‪[ro.build.version.security_patch]:[2024-02-01]
  • ‫[ro.build.version.security_patch]:[2024-02-05]

במכשירים מסוימים עם Android 10 ואילך, עדכון מערכת Google Play יכלול מחרוזת תאריך שתואמת לרמה של תיקוני האבטחה מ-2024-02-01. במאמר הזה מוסבר איך להתקין עדכוני אבטחה.

2. למה בפרסום הזה יש שתי רמות של תיקוני אבטחה?

במאמר הזה יש שני רמות של תיקוני אבטחה, כדי שלשותפי Android תהיה גמישות לתקן במהירות קבוצת משנה של פגיעויות שדומות בכל מכשירי Android. מומלץ לשותפי Android לפתור את כל הבעיות שמופיעות בפרסום הזה ולהשתמש ברמת תיקון האבטחה העדכנית ביותר.

  • מכשירים שמשתמשים ברמת תיקון האבטחה 2024-02-01 חייבים לכלול את כל הבעיות שמשויכות לרמת תיקון האבטחה הזו, וגם תיקונים לכל הבעיות שדווחו בפרסומים קודמים בנושא אבטחה.
  • מכשירים שמשתמשים ברמת תיקון האבטחה 2024-02-05 או חדשה יותר חייבים לכלול את כל התיקונים הרלוונטיים בפרסום הזה (ובפרסומים קודמים) בנושא אבטחה.

אנחנו ממליצים לשותפים לאגד את התיקונים לכל הבעיות שהם מטפלים בהן בעדכון אחד.

3. מה המשמעות של הערכים בעמודה Type (סוג)?

הערכים בעמודה Type בטבלה של פרטי נקודת החולשה מפנים לסיווג של נקודת החולשה באבטחה.

קיצור הגדרה
RCE ביצוע קוד מרחוק
EoP העלאת רמת ההרשאה
מזהה גילוי נאות לגבי מידע
DoS התקפת מניעת שירות (DoS)
לא רלוונטי הסיווג לא זמין

4. מה המשמעות של הערכים בעמודה הפניות?

הערכים בעמודה References בטבלה של פרטי הפגיעות עשויים להכיל קידומת שמזהה את הארגון שאליו שייך ערך ההפניה.

תחילית חומרי עזר
A-‎ מזהה הבאג ב-Android
QC- מספר סימוכין של Qualcomm
M-‎ מספר סימוכין של MediaTek
N- מספר סימוכין של NVIDIA
B-‎ מספר סימוכין של Broadcom
U-‎ מספר סימוכין של UNISOC

5. מה המשמעות של הכוכבית (*) לצד מזהה הבאג ב-Android בעמודה References?

בעיות שלא זמינות לציבור מסומנות בכוכבית (*) ליד מזהה ההפניה המתאים. העדכון לבעיה הזו בדרך כלל כלול במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Pixel שזמינים באתר Google Developers.

6. למה פגיעויות האבטחה מחולקות בין העלון הזה לבין עלונים בנושא אבטחה של מכשירים או שותפים, כמו העלון של Pixel?

כדי להצהיר על הרמה העדכנית ביותר של תיקוני אבטחה במכשירי Android, צריך לתקן את נקודות החולשה באבטחה שמתועדות בחדשות האבטחה האלה. לא נדרש תיעוד של נקודות חולשה נוספות באבטחה שמופיעות בפרסומים בנושא אבטחה של המכשיר או השותף כדי להצהיר על רמה של תיקוני אבטחה. יצרנים של מכשירי Android וערכות שבבים עשויים לפרסם גם פרטים על פגיעויות אבטחה שספציפיות למוצרים שלהם, כמו Google,‏ Huawei,‏ LGE,‏ Motorola,‏ Nokia או Samsung.

גרסאות

גרסה תאריך הערות
1.0 ‫5 בפברואר 2024 הודעה לציבור פורסמה.