Bollettino sulla sicurezza di Nexus: agosto 2015

Pubblicato il 13 agosto 2015

Abbiamo rilasciato un aggiornamento di sicurezza per i dispositivi Nexus tramite un aggiornamento over-the-air (OTA) come parte del nostro processo di rilascio mensile del Bollettino sulla sicurezza Android. Le immagini del firmware Nexus sono state rilasciate anche al sito degli sviluppatori di Google . Le build LMY48I o successive risolvono questi problemi. I partner sono stati informati di questi problemi il 25 giugno 2015 o prima.

Il più grave di questi problemi è una vulnerabilità di sicurezza critica che potrebbe consentire l'esecuzione di codice in modalità remota su un dispositivo interessato tramite più metodi come e-mail, navigazione Web e MMS durante l'elaborazione di file multimediali. La valutazione della gravità si basa sull'effetto che lo sfruttamento della vulnerabilità potrebbe avere su un dispositivo interessato, supponendo che la piattaforma e le attenuazioni del servizio siano disabilitate per scopi di sviluppo o se bypassate correttamente.

Mitigazioni

Questo è un riepilogo delle attenuazioni fornite dalla piattaforma di sicurezza Android e dalle protezioni del servizio come SafetyNet. Queste funzionalità riducono la probabilità che le vulnerabilità della sicurezza possano essere sfruttate con successo su Android.

• Lo sfruttamento per molti problemi su Android è reso più difficile dai miglioramenti nelle versioni più recenti della piattaforma Android. Incoraggiamo tutti gli utenti ad aggiornare all'ultima versione di Android, ove possibile.
• Il team di sicurezza di Android sta monitorando attivamente gli abusi con Verifica app e SafetyNet che avviseranno di applicazioni potenzialmente dannose che stanno per essere installate. Gli strumenti di rooting del dispositivo sono vietati all'interno di Google Play. Per proteggere gli utenti che installano applicazioni al di fuori di Google Play, Verifica app è abilitato per impostazione predefinita e avviserà gli utenti delle applicazioni di rooting note. Verifica app tenta di identificare e bloccare l'installazione di applicazioni dannose note che sfruttano una vulnerabilità di escalation dei privilegi. Se tale applicazione è già stata installata, Verifica app avviserà l'utente e tenterà di rimuovere tali applicazioni.
• Se del caso, Google ha aggiornato le applicazioni Hangouts e Messenger in modo che i contenuti multimediali non vengano trasmessi automaticamente a processi vulnerabili (come mediaserver).

Ringraziamenti

Vorremmo ringraziare questi ricercatori per il loro contributo:

• Joshua Drake: CVE-2015-1538, CVE-2015-3826
• Ben Hawkes: CVE-2015-3836
• Alexandru Blanda: CVE-2015-3832
• Michał Bednarski: CVE-2015-3831, CVE-2015-3844, CVE-2015-1541
• Alex Copot: CVE-2015-1536
• Alex Eubanks: CVE-2015-0973
• Roee Hay e Or Peles: CVE-2015-3837
• Guang Gong: CVE-2015-3834
• Gal Beniamini: CVE-2015-3835
• Desideri Wu*: CVE-2015-3842
• Artem Chaykin: CVE-2015-3843

*Wish è anche il nostro primo destinatario di Android Security Rewards !

Overflow di numeri interi durante l'elaborazione di atomi MP4

Ci sono diversi potenziali overflow di numeri interi in libstagefright che potrebbero verificarsi durante l'elaborazione di atomi di MP4, portando al danneggiamento della memoria e all'esecuzione di codice potenzialmente remota come processo del mediaserver.

La funzionalità interessata viene fornita come un'API dell'applicazione e sono disponibili più applicazioni che consentono di raggiungerla con contenuto remoto, in particolare MMS e riproduzione di file multimediali tramite browser.

Questo problema è considerato di gravità critica a causa della possibilità di esecuzione di codice in modalità remota come servizio mediaserver privilegiato. Sebbene mediaserver sia protetto con SELinux, ha accesso ai flussi audio e video, nonché ai nodi dei dispositivi del driver del kernel privilegiati su molti dispositivi a cui normalmente le app di terze parti non possono accedere. Tieni presente che in base alle nostre precedenti linee guida per la valutazione della gravità, questa è stata classificata come una vulnerabilità di gravità elevata ed è stata segnalata ai partner come tale. In base alle nostre nuove linee guida, pubblicate a giugno 2015, si tratta di un problema di gravità critica.

Un intero underflow nell'elaborazione ESDS

Esiste un potenziale underflow di numeri interi in libstagefright che potrebbe verificarsi durante l'elaborazione di ESDS atom, portando al danneggiamento della memoria e all'esecuzione di codice potenzialmente remota come processo del server multimediale.

La funzionalità interessata viene fornita come un'API dell'applicazione e sono disponibili più applicazioni che consentono di raggiungerla con contenuto remoto, in particolare MMS e riproduzione di file multimediali tramite browser.

Questo problema è considerato di gravità critica a causa della possibilità di esecuzione di codice in modalità remota come servizio mediaserver privilegiato. Sebbene mediaserver sia protetto con SELinux, ha accesso ai flussi audio e video, nonché ai nodi dei dispositivi del driver del kernel privilegiati su molti dispositivi a cui normalmente le app di terze parti non possono accedere. Tieni presente che in base alle nostre precedenti linee guida per la valutazione della gravità, questa è stata classificata come una vulnerabilità di gravità elevata ed è stata segnalata ai partner come tale. In base alle nostre nuove linee guida, pubblicate a giugno 2015, si tratta di un problema di gravità critica.

Overflow di numeri interi in libstagefright durante l'analisi dell'atomo MPEG4 tx3g

Esiste un potenziale overflow di numeri interi in libstagefright che potrebbe verificarsi durante l'elaborazione dei dati MPEG4 tx3g, causando il danneggiamento della memoria e l'esecuzione di codice potenzialmente remota come processo del server multimediale.

La funzionalità interessata viene fornita come un'API dell'applicazione e sono disponibili più applicazioni che consentono di raggiungerla con contenuto remoto, in particolare MMS e riproduzione di file multimediali tramite browser.

Questo problema è considerato di gravità critica a causa della possibilità di esecuzione di codice in modalità remota come servizio mediaserver privilegiato. Sebbene mediaserver sia protetto con SELinux, ha accesso ai flussi audio e video, nonché ai nodi dei dispositivi del driver del kernel privilegiati su molti dispositivi a cui normalmente le app di terze parti non possono accedere.

Tieni presente che in base alle nostre precedenti linee guida per la valutazione della gravità, questa è stata classificata come una vulnerabilità di gravità elevata ed è stata segnalata ai partner come tale. In base alle nostre nuove linee guida, pubblicate a giugno 2015, si tratta di un problema di gravità critica.

Integer underflow in libstagefright durante l'elaborazione di atomi covr MPEG4

Esiste un potenziale underflow di numeri interi in libstagefright che potrebbe verificarsi durante l'elaborazione dei dati MPEG4, portando al danneggiamento della memoria e all'esecuzione di codice potenzialmente remota come processo del server multimediale.

La funzionalità interessata viene fornita come un'API dell'applicazione e sono disponibili più applicazioni che consentono di raggiungerla con contenuto remoto, in particolare MMS e riproduzione di file multimediali tramite browser.

Questo problema è considerato di gravità critica a causa della possibilità di esecuzione di codice in modalità remota come servizio mediaserver privilegiato. Sebbene mediaserver sia protetto con SELinux, ha accesso ai flussi audio e video, nonché ai nodi dei dispositivi del driver del kernel privilegiati su molti dispositivi a cui normalmente le app di terze parti non possono accedere.

Tieni presente che in base alle nostre precedenti linee guida per la valutazione della gravità, questa è stata classificata come una vulnerabilità di gravità elevata ed è stata segnalata ai partner come tale. In base alle nostre nuove linee guida, pubblicate a giugno 2015, si tratta di un problema di gravità critica.

Underflow intero in libstagefright se la dimensione è inferiore a 6 durante l'elaborazione dei metadati 3GPP

Esiste un potenziale underflow di numeri interi in libstagefright che potrebbe verificarsi durante l'elaborazione dei dati 3GPP, causando il danneggiamento della memoria e l'esecuzione di codice potenzialmente remota come processo del server multimediale.

La funzionalità interessata viene fornita come un'API dell'applicazione e sono disponibili più applicazioni che consentono di raggiungerla con contenuto remoto, in particolare MMS e riproduzione di file multimediali tramite browser.

Questo problema è considerato di gravità critica a causa della possibilità di esecuzione di codice in modalità remota come servizio mediaserver privilegiato. Sebbene mediaserver sia protetto con SELinux, ha accesso ai flussi audio e video, nonché ai nodi dei dispositivi del driver del kernel privilegiati su molti dispositivi a cui normalmente le app di terze parti non possono accedere. Tieni presente che in base alle nostre precedenti linee guida per la valutazione della gravità, questa è stata classificata come una vulnerabilità di gravità elevata ed è stata segnalata ai partner come tale. In base alle nostre nuove linee guida, pubblicate a giugno 2015, si tratta di un problema di gravità critica.

Overflow di numeri interi nell'elaborazione di libstagefright atomi covr MPEG4 quando chunk_data_size è SIZE_MAX

Esiste un potenziale overflow di numeri interi in libstagefright che potrebbe verificarsi durante l'elaborazione dei dati MPEG4 covr, portando al danneggiamento della memoria e all'esecuzione di codice potenzialmente remota come processo del server multimediale.

La funzionalità interessata viene fornita come un'API dell'applicazione e sono disponibili più applicazioni che consentono di raggiungerla con contenuto remoto, in particolare MMS e riproduzione di file multimediali tramite browser.

Questo problema è considerato di gravità critica a causa della possibilità di esecuzione di codice in modalità remota come servizio mediaserver privilegiato. Sebbene mediaserver sia protetto con SELinux, ha accesso ai flussi audio e video, nonché ai nodi dei dispositivi del driver del kernel privilegiati su molti dispositivi a cui normalmente le app di terze parti non possono accedere. Tieni presente che in base alle nostre precedenti linee guida per la valutazione della gravità, questa è stata classificata come una vulnerabilità di gravità elevata ed è stata segnalata ai partner come tale. In base alle nostre nuove linee guida, pubblicate a giugno 2015, si tratta di un problema di gravità critica.

Overflow del buffer in Sonivox Parse_wave

C'è un potenziale overflow del buffer in Sonivox che potrebbe verificarsi durante l'elaborazione dei dati XMF, portando al danneggiamento della memoria e all'esecuzione di codice potenzialmente remota come processo del server multimediale.

La funzionalità interessata viene fornita come un'API dell'applicazione e sono disponibili più applicazioni che consentono di raggiungerla con contenuto remoto, in particolare MMS e riproduzione di file multimediali tramite browser.

Questo problema è considerato di gravità critica a causa della possibilità di esecuzione di codice in modalità remota come servizio mediaserver privilegiato. Sebbene mediaserver sia protetto con SELinux, ha accesso ai flussi audio e video, nonché ai nodi dei dispositivi del driver del kernel privilegiati su molti dispositivi a cui normalmente le app di terze parti non possono accedere. Tieni presente che in base alle nostre precedenti linee guida per la valutazione della gravità, questa è stata classificata come una vulnerabilità di gravità elevata ed è stata segnalata ai partner come tale. In base alle nostre nuove linee guida, pubblicate a giugno 2015, si tratta di un problema di gravità critica.

Overflow del buffer in libstagefright MPEG4Extractor.cpp

Ci sono diversi buffer overflow in libstagefright che potrebbero verificarsi durante l'elaborazione di MP4, portando al danneggiamento della memoria e all'esecuzione di codice potenzialmente remota come processo del server multimediale.

La funzionalità interessata viene fornita come un'API dell'applicazione e sono disponibili più applicazioni che consentono di raggiungerla con contenuto remoto, in particolare MMS e riproduzione di file multimediali tramite browser.

Questo problema è considerato di gravità critica a causa della possibilità di esecuzione di codice in modalità remota come servizio mediaserver privilegiato. Sebbene mediaserver sia protetto con SELinux, ha accesso ai flussi audio e video, nonché ai nodi dei dispositivi del driver del kernel privilegiati su molti dispositivi a cui normalmente le app di terze parti non possono accedere.

Inizialmente questo problema è stato segnalato come exploit locale (non accessibile in remoto). Tieni presente che in base alle nostre precedenti linee guida per la valutazione della gravità, questa è stata valutata come una vulnerabilità di gravità moderata ed è stata segnalata ai partner come tale. In base alle nostre nuove linee guida, pubblicate a giugno 2015, si tratta di un problema di gravità critica.

Overflow del buffer nel mediaserver BpMediaHTTPConnection

Esiste un potenziale overflow del buffer in BpMediaHTTPConnection durante l'elaborazione dei dati forniti da un'altra applicazione, che porta al danneggiamento della memoria e potenzialmente all'esecuzione di codice come processo del server multimediale.

La funzionalità interessata viene fornita come API dell'applicazione. Non crediamo che il problema sia sfruttabile a distanza.

Questo problema è classificato come livello di gravità Alta a causa della possibilità di esecuzione di codice come servizio mediaserver privilegiato, da un'applicazione locale. Sebbene mediaserver sia protetto con SELinux, ha accesso ai flussi audio e video, nonché ai nodi dei dispositivi del driver del kernel privilegiati su molti dispositivi a cui normalmente le app di terze parti non possono accedere.

Vulnerabilità in libpng: overflow in png_Read_IDAT_data

Esiste un potenziale overflow del buffer che potrebbe verificarsi durante la lettura dei dati IDAT all'interno della funzione png_read_IDAT_data() in libpng, causando il danneggiamento della memoria e l'esecuzione potenzialmente remota di codice all'interno di un'applicazione che utilizza questo metodo.

La funzionalità interessata viene fornita come API dell'applicazione. Potrebbero esserci applicazioni che consentono di raggiungerlo con contenuto remoto, in particolare applicazioni di messaggistica e browser.

Questo problema è classificato come di gravità elevata a causa della possibilità di esecuzione di codice in modalità remota come applicazione senza privilegi.

Overflow di memcpy() sfruttabile in remoto in p2p_add_device() in wpa_supplicant

Quando wpa_supplicant funziona in modalità WLAN Direct, è vulnerabile alla potenziale esecuzione di codice remoto a causa di un overflow nel metodo p2p_add_device(). Lo sfruttamento riuscito potrebbe comportare l'esecuzione di codice come utente "wifi" in Android.

Ci sono diverse mitigazioni che possono influenzare lo sfruttamento di successo di questo problema:

- WLAN Direct non è abilitato per impostazione predefinita sulla maggior parte dei dispositivi Android

- Lo sfruttamento richiede che un utente malintenzionato sia localmente vicino (entro la portata del Wi-Fi)

- Il processo wpa_supplicant viene eseguito come utente 'wifi' che ha accesso limitato al sistema

- Lo sfruttamento remoto è mitigato da ASLR su dispositivi Android 4.1 e successivi.

- Il processo wpa_supplicant è strettamente vincolato dalla politica di SELinux su Android 5.0 e versioni successive

Questo problema è classificato come Elevata gravità a causa della possibilità di esecuzione di codice in modalità remota. Sebbene il servizio "wifi" abbia funzionalità che normalmente non sono accessibili alle app di terze parti che potrebbero classificarlo come Critico, riteniamo che le capacità limitate e il livello di mitigazione giustifichino la riduzione della gravità a Alta.

Corruzione della memoria nella deserializzazione del certificato OpenSSLX509

Un'applicazione locale dannosa può inviare un Intento che, se deserializzato dall'applicazione ricevente, può decrementare un valore in un indirizzo di memoria arbitrario, causando il danneggiamento della memoria e potenzialmente l'esecuzione di codice all'interno dell'applicazione ricevente.

Questo problema è classificato come severità elevata perché può essere utilizzato per ottenere privilegi non accessibili a un'applicazione di terze parti.

Overflow del buffer nel mediaserver BnHDCP

Esiste un potenziale overflow di numeri interi in libstagefright durante l'elaborazione dei dati forniti da un'altra applicazione, che porta al danneggiamento della memoria (heap) e potenzialmente all'esecuzione di codice come processo del server multimediale.

Questo problema è classificato come severità elevata perché può essere utilizzato per ottenere privilegi non accessibili a un'applicazione di terze parti. Sebbene mediaserver sia protetto con SELinux, ha accesso ai flussi audio e video, nonché ai nodi dei dispositivi del driver del kernel privilegiati su molti dispositivi a cui normalmente le app di terze parti non possono accedere.

Tieni presente che in base alle nostre precedenti linee guida per la valutazione della gravità, questa è stata valutata come una vulnerabilità di gravità moderata ed è stata segnalata ai partner come tale. In base alle nostre nuove linee guida, pubblicate a giugno 2015, si tratta di una vulnerabilità di gravità elevata.

Overflow del buffer in libstagefright OMXNodeInstance::emptyBuffer

Esiste un potenziale overflow del buffer in libstagefright durante l'elaborazione dei dati forniti da un'altra applicazione, che porta al danneggiamento della memoria e potenzialmente all'esecuzione di codice come processo del server multimediale.

Questo problema è classificato come severità elevata perché può essere utilizzato per ottenere privilegi non accessibili a un'applicazione di terze parti. Sebbene mediaserver sia protetto con SELinux, ha accesso ai flussi audio e video, nonché ai nodi dei dispositivi del driver del kernel privilegiati su molti dispositivi a cui normalmente le app di terze parti non possono accedere.

Tieni presente che in base alle nostre precedenti linee guida per la valutazione della gravità, questa è stata valutata come una vulnerabilità di gravità moderata ed è stata segnalata ai partner come tale. In base alle nostre nuove linee guida, pubblicate a giugno 2015, si tratta di una vulnerabilità di gravità elevata.

Overflow dell'heap nel server multimediale AudioPolicyManager::getInputForAttr()

È presente un overflow dell'heap nel servizio di politica audio di mediaserver che potrebbe consentire a un'applicazione locale di eseguire codice arbitrario nel processo di mediaserver.

La funzionalità interessata viene fornita come API dell'applicazione. Non crediamo che il problema sia sfruttabile a distanza.

Questo problema è classificato come livello di gravità Alta a causa della possibilità di esecuzione di codice come servizio mediaserver privilegiato, da un'applicazione locale. Sebbene mediaserver sia protetto con SELinux, ha accesso ai flussi audio e video, nonché ai nodi dei dispositivi del driver del kernel privilegiati su molti dispositivi a cui normalmente le app di terze parti non possono accedere.

Le applicazioni possono intercettare o emulare i comandi SIM alla telefonia

Esiste una vulnerabilità nel framework SIM Toolkit (STK) che potrebbe consentire alle app di intercettare o emulare determinati comandi STK SIM nel sottosistema di telefonia di Android.

Questo problema è classificato con una gravità elevata perché potrebbe consentire a un'app senza privilegi di accedere a funzionalità o dati normalmente protetti da un'autorizzazione a livello di "firma" o "sistema".

Vulnerabilità nell'annullamento del marshalling di bitmap

Un integer overflow in Bitmap_createFromParcel() potrebbe consentire a un'app di arrestare in modo anomalo il processo system_server o leggere i dati di memoria da system_server.

Questo problema è classificato come di gravità moderata a causa della possibilità di divulgare dati sensibili dal processo system_server a un processo locale senza privilegi. Sebbene questo tipo di vulnerabilità venga normalmente classificato come Elevata gravità, la gravità è stata ridotta perché i dati trapelati in un attacco riuscito non possono essere controllati dal processo di attacco e la conseguenza di un attacco non riuscito è rendere il dispositivo temporaneamente inutilizzabile ( che richiede un riavvio).

AppWidgetServiceImpl può creare IntentSender con privilegi di sistema

È presente una vulnerabilità in AppWidgetServiceImpl nell'app Impostazioni che consente a un'app di concedersi un'autorizzazione URI specificando FLAG_GRANT_READ/WRITE_URI_PERMISSION. Ad esempio, questo potrebbe essere sfruttato per leggere i dati di contatto senza l'autorizzazione READ_CONTACTS.

Questa è classificata come una vulnerabilità di gravità moderata perché può consentire a un'app locale di accedere a dati normalmente protetti da autorizzazioni con un livello di protezione "pericoloso".

Mitigazione bypass delle restrizioni su getRecentTasks()

Un'applicazione locale può determinare in modo affidabile l'applicazione in primo piano, aggirando la restrizione getRecentTasks() introdotta in Android 5.0.

Questa è classificata come una vulnerabilità di gravità moderata perché può consentire a un'app locale di accedere a dati normalmente protetti da autorizzazioni con un livello di protezione "pericoloso".

Riteniamo che questa vulnerabilità sia stata descritta pubblicamente per la prima volta su Stack Overflow .

ActivityManagerService.getProcessRecordLocked() potrebbe caricare un'applicazione UID di sistema nel processo errato

Il metodo getProcessRecordLocked() di ActivityManager non verifica correttamente che il nome del processo di un'applicazione corrisponda al nome del pacchetto corrispondente. In alcuni casi, questo può consentire a ActivityManager di caricare il processo sbagliato per determinate attività.

Le implicazioni sono che un'app può impedire il caricamento delle impostazioni o iniettare parametri per frammenti di impostazioni. Non crediamo che questa vulnerabilità possa essere utilizzata per eseguire codice arbitrario come utente del "sistema".

Sebbene la capacità di accedere a funzionalità normalmente accessibili solo al "sistema" sia classificata come severità elevata, questa è stata valutata come moderata a causa del livello limitato di accesso concesso dalla vulnerabilità.

Buffer illimitato letto in libstagefright durante l'analisi dei metadati 3GPP

Un numero intero insufficiente durante l'analisi dei dati 3GPP può comportare un'operazione di lettura che sovraccarica un buffer, causando l'arresto anomalo del mediaserver.

Questo problema è stato originariamente classificato come di gravità Alta ed è stato segnalato ai partner come tale, ma dopo ulteriori indagini è stato declassato a gravità Bassa poiché l'impatto è limitato all'arresto anomalo del mediaserver.

Revisioni

• 13 agosto 2015: pubblicato originariamente