此外，Nexus 固件映像档也已经发布到 Google Developers 网站上。详情请参阅常见问题与解答一节。
我们的合作伙伴在 2015 年 11 月 2 日当天或更早之前已收到有关这些问题的通知和更新资讯。在适用情况下，这些问题的源代码修补程式已经发布到 Android 开放源代码计划 (AOSP) 存放区。
在这些问题中，最严重的就是“最高”等级的安全性漏洞。当系统执行媒体档案时，远端程式码可利用这类漏洞，透过电子邮件、网页浏览活动和多媒体讯息等方法，自动在受影响的装置上执行。严重程度评定标准是假设平台与服务的因应防护措施基于开发作业的需求而被停用，或是遭到有心人士破解，然后推算当有人恶意运用漏洞时，装置会受到多大的影响，据此评定漏洞的严重程度。
针对这些新发现的漏洞，我们目前尚未收到任何客户回报相关的漏洞滥用案例。如果您想进一步了解 Android 安全性平台防护措施和服务防护措施 (例如 SafetyNet) 如何加强 Android 平台的安全性，请参阅因应措施一节。我们建议所有客户接受这些装置更新。
本节概述 Android 安全性平台和 SafetyNet 等服务防护方案所提供的因应措施。这些措施可有效防范有心人士在 Android 系统上恶意运用安全性漏洞来达到特定目的。
Android 平台持续推出新的版本来强化安全性，因此有心人士越来越难在 Android 系统上找出漏洞加以利用。我们建议所有使用者尽可能更新至最新版的 Android。
Android 安全性小组采用“验证应用程序”和 SafetyNet 主动监控滥用情形，这些功能果发现应用程序可能有害，将在安装作业前发出警告。Google Play 禁止发布任何可用于获取装置 Root 权限的工具。为了保护不是在 Google Play 安装应用程序的使用者，“验证应用程序”在预设状态下会自动启用并向使用者发出警告，提醒他们留意目前已知的破解程式 (用于取得 Root 权限的应用程序)。“验证应用程序”会尽可能找出已知会利用权限升级漏洞的恶意应用程序，并封锁这类应用程序的安装程序。如果使用者已安装这类应用程序，“验证应用程序”会通知使用者，并尝试移除该应用程序。
在适用情况下，Google Hangouts 和 Messenger 应用程序不会自动将媒体内容传送给媒体服务器这类的处理程序。
下列各节针对 2015-12-01 安全性修补程式等级适用的各项安全性漏洞提供了详细资讯，另外也附上了问题说明、严重程度评定原因和一份 CVE 资讯表，其中包括了相关错误、严重程度、需要更新的版本和回报日期。假如相关错误有 Android 开放源代码计划变更，该错误 ID 会连结到相对应的变更。如果单一错误有多项相关变更，您可以透过该错误 ID 后面的编号连结开启额外的 Android 开放源代码计划参考资料。
在处理某些特殊的媒体档案及资料时，攻击者可能会利用媒体服务器中的漏洞造成内存出错，并执行远端程式码当做媒体服务器处理程序。
受影响的功能是操作系统的核心部分，而多个应用程序都允许远端内容连到这项功能，其中最常见的内容是多媒体讯息和浏览器中播放的媒体。
由于这个问题可能会让远端程式码在媒体服务器服务环境内执行，因此严重程度被评定为“最高”。媒体服务器服务能够存取音讯和视讯串流，以及第三方应用程序一般无法存取的权限。
在处理特殊的媒体档案时，Skia 元件中的漏洞可能被利用来造成内存出错，并在获得授权的程序中执行远端程式码。当系统执行媒体档案时，远端程式码可能利用这个漏洞，透过电子邮件、网页浏览活动和多媒体讯息等方法，在受影响的装置上执行，因此这个漏洞的严重程度被评定为“最高”。
系统核心中的权限升级漏洞可让本机恶意应用程序在装置根环境内执行任何程式码。由于这个问题可能导致本机装置受到永久性破坏，使装置只能以还原 (Re-flash) 操作系统的方式才能修复，因此严重程度被评定为“最高”。
显示器驱动程式中有多项漏洞，攻击者可能会运用这些漏洞，在系统处理媒体档案时造成内存出错，并在媒体服务器载入的使用者模式驱动程式环境内执行任何程式码。当系统执行媒体档案时，远端程式码可能利用这个漏洞，透过电子邮件、网页浏览活动和多媒体讯息等方法，在受影响的装置上执行，因此这个漏洞的严重程度被评定为“最高”。
* 这个问题的修补程式并未放在 Android 开放源代码计划中，相关的更新已直接整合在最新的 Nexus 装置专用驱动程式的安装档中。您可以前往 Google Developers 网站下载这些驱动程式。
Android 蓝牙元件中的漏洞可让远端程式码执行。不过，攻击者必须手动完成多个必要步骤，才能利用这个漏洞。要成功利用这个漏洞执行远端程式码，攻击者必须先启用个人局域网络 (PAN) 设定档 (例如，透过蓝牙网络共用功能)，并进行装置配对。远端程式码可透过蓝牙服务的权限执行。只有邻近本机且成功配对的装置才会受到这个问题影响。
由于攻击者必须先手动完成多个步骤，而且其位置必须邻近本机，并且先前曾获得对目标装置进行配对的权限，才能远端执行任何程式码，因此这个漏洞的严重程度被评定为“高”。
* 这个问题的修补程式并未放在 AOSP 中，而是包含在最新的 Nexus 装置专用驱动程式的安装档中。您可以前往 Google Developers 网站下载这些驱动程式。
libstagefright 中有多项漏洞，本机恶意应用程序可加以利用，在媒体服务器服务环境内执行任何程式码。由于这个问题可用于取得进阶功能 (例如 Signature 或 SignatureOrSystem 等第三方应用程序无法存取的权限)，因此严重程度被评定为“高”。
使用闹钟应用程序设定闹钟时，应用程序可能会利用 SystemUI 元件中的漏洞执行更高权限等级的工作。由于这个问题可用于取得进阶功能 (例如 Signature 或 SignatureOrSystem 等第三方应用程序无法存取的权限)，因此严重程度被评定为“高”。
Android 原生架构程式库中的资讯外泄漏洞可让有心人士用来规避系统中用于防范攻击者恶意运用平台的安全措施。由于这些问题也能用来取得更高权限的功能 (例如 Signature 或 SignatureOrSystem 等第三方应用程序无法存取的权限)，因此严重程度被评定为“高”。
Wi-Fi 连线中的权限升级漏洞可能会让本机恶意应用程序在进阶系统服务环境内执行任何程式码。由于这个问题可用于取得进阶功能 (例如 Signature 或 SignatureOrSystem 等第三方应用程序无法存取的权限)，因此严重程度被评定为“高”。
系统服务器元件中的权限升级漏洞可让本机恶意应用程序取得服务相关资讯的存取权。由于这个问题可用于取得进阶功能 (例如 Signature 或 SignatureOrSystem 等第三方应用程序无法存取的权限)，因此严重程度被评定为“高”。
在系统与媒体服务器进行通讯时，libstagefright 中的一些资讯外泄漏洞可让有心人士用来规避系统中用于防范攻击者恶意运用平台的安全措施。由于这些问题也能用来取得更高权限的功能 (例如 Signature 或 SignatureOrSystem 等第三方应用程序无法存取的权限)，因此严重程度被评定为“高”。
音讯元件中的漏洞可能会在系统处理音讯档案时遭到恶意运用。在处理某些特殊的档案时，本机恶意应用程序可能会利用这项漏洞造成资讯外泄。由于这个问题可用于取得进阶功能 (例如 Signature 或 SignatureOrSystem 等第三方应用程序无法存取的权限)，因此严重程度被评定为“高”。
媒体架构在与媒体服务器进行通讯时产生的资讯外泄漏洞可让有心人士用来规避系统中用于防范攻击者恶意运用平台的安全措施。由于这个问题也能用来取得某些进阶权限 (例如 Signature 或 SignatureOrSystem 等第三方应用程序无法存取的权限)，因此严重程度被评定为“高”。
Wi-Fi 元件中的漏洞可让攻击者造成 Wi-Fi 服务泄漏资讯。由于这个问题可用于取得进阶功能 (例如 Signature 或 SignatureOrSystem 等第三方应用程序无法存取的权限)，因此严重程度被评定为“高”。
系统服务器中的权限升级漏洞可让本机恶意应用程序取得 Wi-Fi 服务相关资讯的存取权。由于这个问题可用于不当取得“危险的”权限，因此严重程度被评定为“中”。
如果您在阅读这篇公告后有任何疑问，建议您查看本节的常见问题。
1. 如何判断我目前的装置软件版本是否已修正这些问题？
请参阅 Nexus 说明文件，了解如何查看安全性修补程式等级。提供这些更新的装置制造商应将修补程式字串等级设定为： [ro.build.version.security_patch]:[2015-12-01]