کمیته رکن چهارم – در این بولتن به‌طور کلی ۹۵ آسیب‌پذیری وصله شده که ۲۲ مورد از آسیب‌پذیری‌ها حیاتی و جدی هستند. نیمی از آسیب‌پذیری‌های این ماه مربوط به ارتقاء امتیاز هستند.
به گزارش کمیته رکن چهارم،همان‌طور که چند ماه است گفته می‌شود، بولتن امنیتی ماه ژانویه به دو بخش تقسیم شده تا اعمال وصله‌ها برای سازندگان دستگاه‌ها آسان شود. وصله‌ی امنیتی ۱ ژانویه ۲۳ آسیب‌پذیری را برطرف کرده است که مؤلفه‌های مختلف اندروید را تحت تأثیر قرار می‌دهد. در وصله‌های امنیتی ۵ ژانویه نیز ۷۲ آسیب‌پذیری برطرف شده که راه‌اندازها، نرم‌افزار ODM و تجهیزات پیکسل و نکسوس را تحت تأثیر قرار می‌دهند.
از بین ۲۲ آسیب‌پذیری حیاتی، یک آسیب‌پذیری اجرای کد از راه دور با شناسه‌ی CVE-۲۰۱۷-۰۳۸۱ در کارگزار رسانه وصله شده است. کارگزار رسانه یکی از مؤلفه‌های اصلی اندروید است. از تابستان سال ۲۰۱۵ که گوگل برنامه‌های وصله‌ی ماهانه را آغاز کرده، آسیب‌پذیری‌های مهمی در کارگزار رسانه کشف شده است. اولین آسیب‌پذیری که در این مؤلفه کشف شد، آسیب‌پذیری Stagefright است که چند ماه بعد نیز نسخه‌ی دومی از این آسیب‌پذیری کشف شد.
بقیه ۲۱ آسیب‌پذیری حیاتی، آسیب‌پذیری ارتقاء امتیاز است که زیرسامانه‌های حافظه‌ی هسته، بارگذاری‌کننده‌ی بوت کوالکام، پرونده‌های سامانه‌ای هسته، راه‌انداز GPU انویدیا، راه‌انداز MediaTek، راه‌انداز GPU کوالکام و راه‌انداز ویدئو کوالکام را تحت تأثیر قرار می‌دهد. در مشاوره‌نامه‌ی گوگل آمده است که ۳ آسیب‌پذیری حیاتی دیگر نیز در مؤلفه‌های مختلف کوالکام وصله شده است.
از ۲۳ آسیب‌پذیری که در ۱ ژانویه وصله شده، یک مورد حیاتی و ۱۴ مورد با درجه‌ی اهمیت بالا گزارش شده است. این آسیب‌پذیری‌ها عبارتند از:
• آسیب‌پذیری اجرای کد از راه دور در c-ares و Framesequence
• آسیب‌پذیری ارتقاء امتیاز در چارچوب رابط‌های برنامه‌نویسی، کارگزار صوت، libnl و کارگزار رسانه
• آسیب‌پذیری افشای اطلاعات در ارائه‌دهنده‌ی ذخیره‌سازی خارجی
• آسیب‌پذیری منع سرویس در شبکه‌های هسته، کارگزار رسانه و تلفن
در وصله‌های ۱ ژانویه، ۸ مورد آسیب‌پذیری با درجه‌ی اهمیت متوسط نیز وجود داشت که عبارتند از:
• یک آسیب‌پذیری ارتقاء امتیاز در بخش تماس‌ها
• ۲ آسیب‌پذیری افشای اطلاعات در کارگزار رسانه
• ۵ آسیب‌پذیری افشای اطلاعات در کارگزار صوت
همان‌طور که اشاره کردیم در بولتن امنیتی ۵ ژانویه نیز ۷۲ آسیب‌پذیری وصله شده است. گزارش این آسیب‌پذیری بدین شکل است:
• ۱۸ آسیب‌پذیری حیاتی ارتقاء امتیاز
• ۳ آسیب‌پذیری حیاتی در مؤلفه‌های کوالکام
• ۳۳ آسیب‌پذیری با درجه‌ی اهمیت بالا در راه‌اندازها و مؤلفه‌های مختلف
• ۱۸ آسیب‌پذیری با درجه اهمیت متوسط
۶ مورد از آسیب‌پذیری‌های با درجه‌ی اهمیت بالا در مؤلفه‌های کوالکام وجود دارد. ۲۲ آسیب‌پذیری ارتقاء امتیاز نیز دوربین کوالکام، مؤلفه‌های MediaTek، راه‌انداز وای‌فای کوالکام، راه‌انداز GPU کوالکام، راه‌انداز صوت کوالکام، راه‌انداز صفحه نمایش لمسی Synaptics، زیرسامانه‌ی امنیت هسته، زیرسامانه‌ی کارایی هسته، زیرسامانه‌ی صوت هسته، راه‌انداز رادیو کوالکام و راه‌انداز وای‌فای Broadcom را تحت تأثیر قرار می‌دهد.
۵ آسیب‌پذیری دیگر با درجه‌ی اهمیت بالا عبارتند از آسیب‌پذیری افشای اطلاعات در راه‌انداز ویدئویی و بارگذاری‌کننده‌ی بوت انویدیا و آسیب‌پذیری منع سرویس در پرونده‌های سامانه‌ای FUSE کوالکام.
آسیب‌پذیری‌های با درجه اهمیت متوسط در بولتن ۵ ژانویه نیز عبارتند از:
• آسیب‌پذیری ارتقاء امتیاز در راه‌انداز وای‌فای Broadcom
• آسیب‌پذیری افشای اطلاعات در راه‌اندازهای دوربین انویدیا، MediaTek، STMicroelectronics و پردازنده‌ی صوت کوالکام، راه‌انداز ورودی HTC
• آسیب‌پذیری منع سرویس در پرونده‌های سامانه‌ای هسته
• و سایر آسیب‌پذیری‌ها در مؤلفه‌های کوالکام
به گزارش گوگل، تمامی وصله‌های امنیتی ۵ ژانویه و سایر بولتن‌ها که بعداً منتشر می‌شود، باید شامل وصله‌های ۱ ژانویه نیز باشد. تجهیزات تحت پشتیبانی گوگل با قابلیت به‌روزرسانی OTA می‌توانند وصله‌های امنیتی ۵ ژانویه را دریافت کنند.
منبع:asis
