2412394_ja-JP

是

Android オートモーティブ 16.0.0_1.3.0向けのセキュリティアップデート済みプリビルドで、カーネルやU-Bootビルドを壊さずに提供されました

こんにちは、

NXPの Android オートモーティブ 16.0.0_1.3.0をカーネル6.12 と、NXPが文書化したプリビルドのリビジョンを使用しています。

プラットフォーム/Prebuilts/Clang/Host/Linux-x86 66acdd82ee62e4AAAA4248F03191C59DFED9DB193 カーネル/prebuilts/build-tools 3c5e4f14b451ec85167c38b917d2459687abd7f4 プラットフォーム/prebuilts/rust 5156e7f81ae254c79ee736e44C960e75AD685C67 プラットフォーム/prebuilts/clang-tools 17329f6590e2872dcf04a0c96a176be089470cd9

これらは本リリースのNXP Android Automotiveユーザーガイドに記載された改訂版です。

ビルドはこれらのリビジョンで動作しますが、当社のコンテナ脆弱性スキャンでは、 提供されたAndroidプリビルト内でいくつかのHIGHかつCRITICALな発見が報告されています。

例えば、Clangのプリビルド版にはGoの標準ライブラリが組み込まれています。clang-r536225/bin/clang のスキャン結果は以下のとおりです。

合計: 22 高: 21 重大: 1 Go stdlib バージョン: v1.23.2 例: CVE-2025-68121 crypto/tls - 証明書の検証が正しく行われていない

同様の検出パターンは、clang++ および clang-tidy、そして組み込みの Go バージョンが v1.23.4 である新しい clang-r547379 バイナリでも見られます。

NXPが固定しているkernel/prebuilts/build-toolsにも、同じGo-stdlib検出パターンを持つ、影響を受けるsoong_zipバイナリが含まれています。

Rustのプリビルド版には、出荷されるCargoロックファイルに含まれる発見事項も含まれています。例えば、以下のとおりです。

thin-vec 0.2.13 CVE-2026-6654 は 0.2.16 で修正されました。 hashbrown 0.15.0 GHSA-wwq9-3cpr-mm53 は 0.15.1 で修正されました。

これらのプリビルドはNXPカーネル/U-Bootビルド環境の一部であり、 Android Automotive 16.0.0_1.3.0 / カーネル6.12との互換性を維持したいため、ドキュメント化されたリビジョンを任意の新しいAOSPコミットで置き換えるつもりはありません。

これらのプリビルド製品に対応する、NXPが推奨する、または互換性が確認されている新しいコミットIDはありますか？

特に、以下の項目に関する最新の改訂版を求めています。

platform/prebuilts/clang/host/linux-x86 カーネル/prebuilts/build-tools platform/prebuilts/rust platform/prebuilts/clang-tools

NXP社、あるいはコミュニティの誰かが、これらの改訂版を既に更新し、以下の内容が引き続き正常に動作することを確認しましたか？

理想的には、更新されたプリビルト車と完全なAndroid Automotiveビルドがまだ動作するかどうかの確認も望んでいます。

セキュリティ調査結果を恒久的に抑制するよりも、影響を受けたプリビルトを更新したいと考えています。

参考までに、失敗した脆弱性スキャンログを添付しました。これには、影響を受けるClang、カーネルビルドツール、およびRustのプリビルド版に関する完全な調査結果が含まれており、検出された組み込みバージョンと利用可能な修正バージョンも含まれています。

ありがとうございます。

Android

Re: Security-updated prebuilts for Android Automotive 16.0.0_1.3.0 without breaking kernel/U-Boot bu

こんにちは、

ご指摘いただいた件について調査中です。進捗状況は随時ご連絡いたします。

よろしくお願いします。

Re: Security-updated prebuilts for Android Automotive 16.0.0_1.3.0 without breaking kernel/U-Boot bu

こんにちは、

社内チームから以下の回答が寄せられました。

推奨/互換性のある新しいコミット ID はありません。

プラットフォーム/プリビルト/CLANG/ホスト/Linux-x86
kernel/prebuilts/build-tools
プラットフォーム/プレビルド/錆
プラットフォーム/プレビルド/クラングツール

そしてAndroid 16.0のオートモーティブ向け1.3.0リリースバージョンです。

Android 16.0 オートモーティブ 1.3.0は2026年5月21日にリリースされましたが、それ以降はアップデートはありません。Androidオートモーティブのアップデートは行っていません。次回のAndroid オートモーティブリリースに取り組んでいます => Android 16.0 automotive 2.1.0Linuxカーネル6.18.yをベースにし、最新のLinuxカーネルビルドツールを用いています。
AA16.0 2.1.0の外部リリース日は2026年10月13日です。