Сентябрьское обновление для Android состоит из трех наборов патчей для 55 уязвимостей

Рекомендуем почитать:

Хакер #307. Угон сессий Windows

• Содержание выпуска
• Подписка на «Хакер»-60%

Компания Google представила сентябрьский набор патчей для Android. На этот раз обновления были разделены сразу на три категории: 19 исправлений адресованы уязвимостям на уровне ОС и приложений, еще 26 патчей устраняют 28 уязвимостей, преимущественно на уровне драйверов, а еще два патча были выпущены отдельно от остальных и адресованы проблеме QuadRooter, которой подвержены устройства, работающих на базе железа Qualcomm.

Год назад Google изменила свою политику обновлений, и теперь в настройках ОС можно увидеть так называемый «Android security patch level», то есть уровень пропатченности устройства. Затем, в мае 2016 года, исправления, ранее выходившие под общим названием Nexus Security Bulletin, были переименованы в Android Security Bulletin, так как обновления все же адресуются всем Android-устройствам, а не только собственным девайсам компании. В июле 2016 года переименованный бюллетень был разделе надвое: одна часть исправлений теперь была предназначена для файлов ядра Android, тогда как вторая содержала патчи для драйверов и компонентов, характерных для определенных устройств.

В этом месяце Goolge, по сути, добавила еще одну категорию, третью. Теперь проверка Android security patch level может вызвать у пользователя недоумение и вот почему. Сентябрьские патчи первой категории получат все пользователи, — это уровень пропатченности 2016-09-01. Патчи второй категории получат только пользователи некоторых устройств со специфическими драйверами, и это уровень 2016-09-05. Но теперь есть еще и третья категория патчей, которая и вовсе предназначена только для пользователей определенного железа и чипсетов, и это уровень 2016-09-06.

Первый, общий набор патчей устраняет 25 уязвимостей, включая две критические. Исправления, в частности, уже в который раз адресованы многострадальному компоненту Media Server, который напрямую связан с уязвимостью Stagefright. Также критическая RCE-уязвимость исправлена в LibUtils.

*Проблема не распространяется на устройства Nexus с установленным Android 7.0 и всеми доступными обновлениями. 

Второй набор, самый большой из вышедших, представлен 26 бюллетенями для 28 различных уязвимостей, включая четыре критические. Все критические исправления связаны с эскалацией привилегий в ядре и адресованы проблемам в подсистемах netfilter и networking, а также багу USB-драйвере. Прочие исправления, получившие высокий уровень важности, тоже преимущественно устраняют уязвимости, связанные с повышением привилегий в различных драйверах. Равно как и в прошлом месяце, собственные патчи получили продукты Qualcomm, а также Nvidia и Synaptics.

Третий набор состоит всего из двух патчей, одна из проблем имеет критический статус опасности, а вторая просто высокий. Оба бага (CVE-2016-5340 и CVE-2016-2059) относятся к проблеме QuadRooter, о которой официально рассказали в начале августа 2016 года на конференции DEF CON. Напомню, что по оценкам экспертов, QuadRooter представляет опасность для почти 900 миллионов Android-устройств, работающих с железом Qualcomm. В комплексе все четыре уязвимости QuadRooter позволяют злоумышленнику получить полный контроль над устройством жертвы. Тогда как уязвимости CVE-2016-2503 и CVE-2016-2504 были устранены еще минувшим летом, до оставшихся двух проблем очередь дошла только сейчас.