【討論】Google 發(fā)布新的 Android 關(guān)鍵安全補(bǔ)丁
Google 在昨天發(fā)布了新的 Android 安全補(bǔ)丁報告。
報告中，谷歌稱已經(jīng)修復(fù)一系列Android中嚴(yán)重漏洞，包括在媒體服務(wù)器遠(yuǎn)程執(zhí)行代碼的缺陷（RCE）和升級后與各種驅(qū)動程序兼容問題 (EoP)。
在本月的Nexus安全公告中，發(fā)布19個漏洞目前已更新16個安全補(bǔ)丁。這些漏洞是在去年七月發(fā)布的Stagefright中被發(fā)現(xiàn)的，該問題一度影響數(shù)十億設(shè)備。
安全公告顯示，這些漏洞七個被評為嚴(yán)重，十個被評為高，和兩個中等。雖然許多這些缺陷都是EoP問題，谷歌也馬上提出了解決方案，修復(fù)了信息遭到泄露的手機(jī)設(shè)備，緩解了媒體服務(wù)器遠(yuǎn)程執(zhí)行代碼（EoP）漏洞問題。
幸運(yùn)的是，谷歌表示，暫時沒有收到新的漏洞報告。
在本次安全更新中，解決了受到Stagefright和Stagefright2.0平臺組件漏洞影響的媒體服務(wù)。本月，谷歌發(fā)布新版的安全補(bǔ)丁中也將解決這兩個RCE問題（CVE-2016-0815和CVE-2016-0816）。涉及到的版本有Android4.4.4，5.0.2， 5.1.1，6.0和6.0.1。
同時，也發(fā)布了4個針對EoP漏洞的安全補(bǔ)丁，分別是Conscrypt（CVE-2016-0818）、高通公司性能組件（CVE-2016-0819）、聯(lián)發(fā)科Wi-Fi驅(qū)動程序（CVE-2016-0820）、Keyring組件（CVE-2016-0728）。聯(lián)發(fā)科Wi-Fi驅(qū)動程序安全補(bǔ)丁主要針對Android 6.0.1，其他三個補(bǔ)丁主要針對Android 4.4.4，5.0.2，5.1.1，6.0和6.0.1。
在Conscrypt該漏洞可能允許特定類型的無效*的，由中間*頒發(fā)機(jī)構(gòu)（CA）頒發(fā)，所以攻擊者可能會制造假的認(rèn)證，從而發(fā)起攻擊。其他三個可能使惡意應(yīng)用程序在內(nèi)核中執(zhí)行任意代碼，從而導(dǎo)致設(shè)備永久的損壞。
在三月的Nexus安全公告解決了10高危漏洞，主要是內(nèi)核（CVE-2016-0821）漏洞，藍(lán)牙（CVE-2016-0830），聯(lián)發(fā)科的連接驅(qū)動程序（CVE-2016-0822），2個媒體服務(wù)EoP漏洞（CVE-2016-082*CVE-2016-0827）。
谷歌還修復(fù)了內(nèi)核信息泄露漏洞（CVE-2016-0823），libstagefright（CVE-2016-0824）的Widevine（CVE-2016-0825）漏洞，和媒體服務(wù)器（CVE-2016-0828和CVE-2016-0829）漏洞。大多數(shù)這些漏洞影響到Android6.0和6.0.1版本。
在2015年8月，谷歌曾聯(lián)合三星、*莓等廠商定期更新Nexus設(shè)備。
;){kind=link}