diff options
Diffstat (limited to 'zh-tw/security/bulletin/2016-10-01.html')
| -rw-r--r-- | zh-tw/security/bulletin/2016-10-01.html | 48 |
1 files changed, 29 insertions, 19 deletions
diff --git a/zh-tw/security/bulletin/2016-10-01.html b/zh-tw/security/bulletin/2016-10-01.html index 2365f1ba..4e304c47 100644 --- a/zh-tw/security/bulletin/2016-10-01.html +++ b/zh-tw/security/bulletin/2016-10-01.html @@ -22,16 +22,19 @@ <p><em>發佈日期：2016 年 10 月 3 日 | 更新日期：2016 年 10 月 4 日</em> </p> -<p>Android 安全性公告包含會對 Android 裝置造成影響的安全性漏洞，並說明各項相關細節。在這篇公告發佈的同時，Google 已透過 OTA 更新機制發佈了 Nexus 裝置的安全性更新。此外，Nexus 韌體映像檔也已經發佈到 <a href="https://developers.google.com/android/nexus/images">Google Developers 網站</a>上。2016 年 10 月 5 日之後的安全性修補程式等級已解決了這些問題。請參閱<a href="https://support.google.com/nexus/answer/4457705#nexus_devices">說明文件</a>，瞭解如何查看安全性修補程式等級。支援的 Nexus 裝置會透過 2016 年 10 月 5 日的安全性修補程式等級接收單一 OTA 更新。 -</p> <p> -合作夥伴是在 2016 年 9 月 6 日或之前收到有關公告中所述問題的相關通知。這些問題的原始碼修補程式 (如果有對應的修補程式) 已發佈到 Android 開放原始碼計劃 (AOSP) 存放區中。此外，本公告也提供 AOSP 以外的修補程式連結。 +Android 安全性公告羅列了會對 Android 裝置造成影響的安全性漏洞，並說明各項相關細節。在這篇公告發佈的同時，Google 已透過 OTA 更新機制發佈了 Google 裝置的安全性更新。此外，Nexus 韌體映像檔也已經發佈到 <a href="https://developers.google.com/android/nexus/images">Google Developers 網站</a>上。2016 年 10 月 5 日之後的安全性修補程式等級已解決了這些問題。請參閱<a href="https://support.google.com/nexus/answer/4457705#nexus_devices">說明文件</a>，瞭解如何查看安全性修補程式等級。支援的 Nexus 裝置會透過 2016 年 10 月 5 日的安全性修補程式等級接收單一 OTA 更新。 </p> -<p>由於這些問題在最嚴重的情況下可能會讓裝置專用的程式碼在核心環境內執行遠端程式碼，進而導致本機裝置的安全性徹底被破壞，而只能以還原 (Re-flash) 作業系統的方式修復，因此被評定為「最高」等級的安全性漏洞。<a href="/security/overview/updates-resources.html#severity">嚴重程度評定標準</a>是假設平台與服務的因應防護措施基於開發作業的需求而被停用，或是遭到有心人士破解，然後推算當有人惡意運用漏洞時，裝置會受到多大的影響，據此評定漏洞的嚴重程度。 +<p> +合作夥伴是在 2016 年 9 月 6 日或之前收到有關公告中所述問題的相關通知。這些問題的原始碼修補程式 (如果有對應的修補程式) 已發佈到 Android 開放原始碼計劃 (AOSP) 存放區中。此外，本公告也提供 Android 開放原始碼計劃以外的修補程式連結。</p> +<p> +由於這些問題在最嚴重的情況下可能會讓裝置專用的程式碼在核心環境內執行遠端程式碼，進而導致本機裝置的安全性徹底被破壞，而只能以還原 (Re-flash) 作業系統的方式修復，因此被評定為「最高」等級的安全性漏洞。<a href="/security/overview/updates-resources.html#severity">嚴重程度評定標準</a>是假設平台與服務的因應防護措施基於開發作業的需求而被停用，或是遭到有心人士破解，然後推算當有人惡意運用漏洞時，裝置會受到多大的影響，據此評定漏洞的嚴重程度。 </p> -<p>針對這些新發現的漏洞，我們目前尚未收到任何客戶回報相關的漏洞濫用案例。如果您想進一步瞭解 <a href="#mitigations">Android 安全性平台防護措施</a>和服務防護措施 (例如 <a href="/security/enhancements/index.html">SafetyNet</a>) 如何加強 Android 平台的安全性，請參閱 <a href="https://developer.android.com/training/safetynet/index.html">Android 和 Google 服務問題因應措施</a>一節。 +<p> +針對這些新發現的漏洞，我們目前尚未收到任何客戶回報相關的漏洞濫用案例。如果您想進一步瞭解 <a href="#mitigations">Android 安全性平台防護措施</a>和服務防護措施 (例如 <a href="/security/enhancements/index.html">SafetyNet</a>) 如何加強 Android 平台的安全性，請參閱 <a href="https://developer.android.com/training/safetynet/index.html">Android 和 Google 服務問題因應措施</a>一節。 </p> -<p>我們建議所有客戶接受這些裝置更新。 +<p> +我們建議所有客戶接受這些裝置更新。 </p> <h2 id="announcements">公告事項</h2> <ul> @@ -45,7 +48,8 @@ </ul> <h2 id="mitigations">Android 和 Google 服務問題因應措施</h2> -<p>本節概述 <a href="/security/enhancements/index.html">Android 安全性平台</a>和 SafetyNet 等服務防護方案所提供的因應措施。這些措施可有效防範有心人士在 Android 系統上惡意運用安全性漏洞來達到特定目的。 +<p> +本節概述 <a href="/security/enhancements/index.html">Android 安全性平台</a>和 SafetyNet 等服務防護方案所提供的因應措施。這些措施可有效防範有心人士在 Android 系統上惡意運用安全性漏洞來達到特定目的。 </p> <ul> <li>Android 平台持續推出新的版本來強化安全性，因此有心人士越來越難在 Android 系統上找出漏洞加以利用。我們建議所有使用者盡可能更新至最新版的 Android。</li> @@ -149,7 +153,8 @@ ServiceManager 中的權限升級漏洞可能會讓本機惡意應用程式註 </tr> </tbody></table> <h3 id="eopv-in-mediaserver">媒體伺服器中的權限升級漏洞</h3> -<p>媒體伺服器中的權限升級漏洞可能會讓本機惡意應用程式在獲得授權的程序環境內執行任何程式碼。由於有心人士可利用這個漏洞來取得某些進階功能的本機存取權，第三方應用程式通常無法存取這類功能，因此嚴重程度被評定為「高」。 +<p> +媒體伺服器中的權限升級漏洞可能會讓本機惡意應用程式在獲得授權的程序環境內執行任何程式碼。由於有心人士可利用這個漏洞來取得某些進階功能的本機存取權，第三方應用程式通常無法存取這類功能，因此嚴重程度被評定為「高」。 </p> <table> <colgroup><col width="18%" /> @@ -845,7 +850,8 @@ NVIDIA MMC 測試驅動程式中的權限升級漏洞可能會讓本機惡意應 </tr> </tbody></table> <h3 id="eopv-in-mediaserver-2">媒體伺服器中的權限升級漏洞</h3> -<p>媒體伺服器中的權限升級漏洞可能會讓本機惡意應用程式在獲得授權的程序環境內執行任何程式碼。由於有心人士可利用這個漏洞來取得某些進階功能的本機存取權，第三方應用程式通常無法存取這類功能，因此嚴重程度被評定為「高」。 +<p> +媒體伺服器中的權限升級漏洞可能會讓本機惡意應用程式在獲得授權的程序環境內執行任何程式碼。由於有心人士可利用這個漏洞來取得某些進階功能的本機存取權，第三方應用程式通常無法存取這類功能，因此嚴重程度被評定為「高」。 </p> <table> <colgroup><col width="19%" /> @@ -1404,11 +1410,12 @@ Qualcomm 元件 (包括音效驅動程式、IPA 驅動程式和 Wi-Fi 驅動程 <td>2016 年 7 月 14 日</td> </tr> </tbody></table> -<p>* 這個問題的修補程式並未公開提供，而是直接整合在最新的 Nexus 裝置專用驅動程式的安裝檔中。您可以前往 <a href="https://developers.google.com/android/nexus/drivers">Google Developers 網站</a>下載這些驅動程式。 +<p> +* 這個問題的修補程式並未開放給一般使用者下載，相關的更新已直接整合在最新的 Nexus 裝置專用驅動程式的安裝檔中。您可以前往 <a href="https://developers.google.com/android/nexus/drivers">Google Developers 網站</a>下載這些驅動程式。 </p> <h3 id="information-disclosure-vulnerability-in-kernel-components">核心元件中的資訊外洩漏洞</h3> <p> -核心元件 (包括繫結機制、同步處理、藍牙和音效驅動程式) 中的資訊外洩漏洞可能會讓本機惡意應用程式存取其權限等級以外的資料。由於這種攻擊必須先破壞特定獲授權的程序才能執行，因此這個問題的嚴重程度被評定為「中」。 +核心元件 (包括繫結機制、同步處理、藍牙和音效驅動程式) 中的資訊外洩漏洞可能會讓本機惡意應用程式存取其權限等級以外的資料。由於這種攻擊必須先破解具有特定權限的程序才能執行，因此這個問題的嚴重程度被評定為「中」。 </p> <table> <colgroup><col width="19%" /> @@ -1452,11 +1459,12 @@ Qualcomm 元件 (包括音效驅動程式、IPA 驅動程式和 Wi-Fi 驅動程 <td>2016 年 7 月 25 日</td> </tr> </tbody></table> -<p>* 這個問題的修補程式並未公開提供，而是直接整合在最新的 Nexus 裝置專用驅動程式的安裝檔中。您可以前往 <a href="https://developers.google.com/android/nexus/drivers">Google Developers 網站</a>下載這些驅動程式。 +<p> +* 這個問題的修補程式並未開放給一般使用者下載，相關的更新已直接整合在最新的 Nexus 裝置專用驅動程式的安裝檔中。您可以前往 <a href="https://developers.google.com/android/nexus/drivers">Google Developers 網站</a>下載這些驅動程式。 </p> <h3 id="information-disclosure-vulnerability-in-nvidia-profiler">NVIDIA 分析器中的資訊外洩漏洞</h3> <p> -NVIDIA 分析器中的資訊外洩漏洞可能會讓本機惡意應用程式存取其權限等級以外的資料。由於這種攻擊必須先破壞特定獲授權的程序才能執行，因此這個問題的嚴重程度被評定為「中」。 +NVIDIA 分析器中的資訊外洩漏洞可能會讓本機惡意應用程式存取其權限等級以外的資料。由於這種攻擊必須先破解具有特定權限的程序才能執行，因此這個問題的嚴重程度被評定為「中」。 </p> <table> <colgroup><col width="19%" /> @@ -1496,11 +1504,12 @@ NVIDIA 分析器中的資訊外洩漏洞可能會讓本機惡意應用程式存 <td>2016 年 8 月 2 日</td> </tr> </tbody></table> -<p>* 這個問題的修補程式並未公開提供，而是直接整合在最新的 Nexus 裝置專用驅動程式的安裝檔中。您可以前往 <a href="https://developers.google.com/android/nexus/drivers">Google Developers 網站</a>下載這些驅動程式。 +<p> +* 這個問題的修補程式並未開放給一般使用者下載，相關的更新已直接整合在最新的 Nexus 裝置專用驅動程式的安裝檔中。您可以前往 <a href="https://developers.google.com/android/nexus/drivers">Google Developers 網站</a>下載這些驅動程式。 </p> <h3 id="information-disclosure-vulnerability-in-kernel">核心中的資訊外洩漏洞</h3> <p> -繫結機制中的資訊外洩漏洞可能會讓本機惡意應用程式存取其權限等級以外的資料。由於這種攻擊必須先破壞特定獲授權的程序才能執行，因此這個問題的嚴重程度被評定為「中」。 +繫結機制中的資訊外洩漏洞可能會讓本機惡意應用程式存取其權限等級以外的資料。由於這種攻擊必須先破解具有特定權限的程序才能執行，因此這個問題的嚴重程度被評定為「中」。 </p> <table> <colgroup><col width="19%" /> @@ -1523,7 +1532,8 @@ NVIDIA 分析器中的資訊外洩漏洞可能會讓本機惡意應用程式存 <td>2016 年 8 月 9 日</td> </tr> </tbody></table> -<p>* 這個問題的修補程式並未公開提供，而是直接整合在最新的 Nexus 裝置專用驅動程式的安裝檔中。您可以前往 <a href="https://developers.google.com/android/nexus/drivers">Google Developers 網站</a>下載這些驅動程式。 +<p> +* 這個問題的修補程式並未開放給一般使用者下載，相關的更新已直接整合在最新的 Nexus 裝置專用驅動程式的安裝檔中。您可以前往 <a href="https://developers.google.com/android/nexus/drivers">Google Developers 網站</a>下載這些驅動程式。 </p> <h3 id="dosv-in-kernel-networking-subsystem">核心網路子系統中的拒絕服務漏洞</h3> <p> @@ -1548,7 +1558,7 @@ NVIDIA 分析器中的資訊外洩漏洞可能會讓本機惡意應用程式存 <a href="http://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=75ff39ccc1bd5d3c455b6822ab09e533c551f758">上游程式庫核心</a></td> <td>中</td> <td>Nexus 5X、Nexus 6、Nexus 6P、Nexus 9、Nexus Player、Pixel C、Android One</td> - <td>2016 年 7 月 16 日</td> + <td>2016 年 7 月 12 日</td> </tr> </tbody></table> <h3 id="dosv-in-kernel-sound-driver">核心音效驅動程式中的拒絕服務漏洞</h3> @@ -1661,7 +1671,7 @@ NVIDIA 分析器中的資訊外洩漏洞可能會讓本機惡意應用程式存 </strong> </p> <p> -2016 年 10 月 1 日之後的安全性修補程式等級已解決了所有與 2016-10-01 安全修補字串等級相關的問題。2016 年 10 月 5 日之後的安全性修補程式等級已解決了所有與 2016-10-05 安全修補字串等級相關的問題。如要查看安全性修補程式等級的操作說明，請造訪<a href="https://support.google.com/nexus/answer/4457705">說明中心</a>。提供這些更新的裝置製造商應將修補程式字串等級設定為：[ro.build.version.security_patch]:[2016-10-01] 或 [ro.build.version.security_patch]:[2016-10-05]。 +2016-10-01 之後的安全性修補程式等級已解決了所有與 2016-10-01 安全修補字串等級相關的問題。2016-10-05 之後的安全性修補程式等級已解決了所有與 2016-10-05 安全修補字串等級相關的問題。如要查看安全性修補程式等級的操作說明，請造訪<a href="https://support.google.com/nexus/answer/4457705">說明中心</a>。提供這些更新的裝置製造商應將修補程式字串等級設定為：[ro.build.version.security_patch]:[2016-10-01] 或 [ro.build.version.security_patch]:[2016-10-05]。 </p> <p> <strong>2. 為什麼這篇公告設有兩個安全性修補程式等級字串？</strong> @@ -1687,7 +1697,7 @@ NVIDIA 分析器中的資訊外洩漏洞可能會讓本機惡意應用程式存 <p> <strong>4. 參考資料欄底下列出的識別碼代表什麼意義？</strong> </p> -<p>資安漏洞詳情表格中「參考資料」<em></em>欄底下的項目可能會包含一個前置字串，用以表示該參考資料值所屬的機構或公司。這些前置字元代表的意義如下： +<p>資安漏洞詳情表格中「參考資料」<em></em>欄底下的項目可能會包含一個前置字串，用以表示該參考資料值所屬的機構或公司。這些前置字串代表的意義如下： </p> <table> <tbody><tr> |