Bulletin de sécurité Nexus—Août 2015

Publié le 13 août 2015

Nous avons publié une mise à jour de sécurité pour les appareils Nexus via une mise à jour en direct (OTA) dans le cadre de notre processus de publication mensuelle du bulletin de sécurité Android. Les images du micrologiciel Nexus ont également été publiées sur le site Google Developer . Les versions LMY48I ou ultérieures résolvent ces problèmes. Les partenaires ont été informés de ces problèmes le 25 juin 2015 ou avant.

Le plus grave de ces problèmes est une vulnérabilité de sécurité critique qui pourrait permettre l'exécution de code à distance sur un appareil affecté via plusieurs méthodes telles que la messagerie électronique, la navigation Web et les MMS lors du traitement de fichiers multimédias. L' évaluation de la gravité est basée sur l'effet que l'exploitation de la vulnérabilité pourrait avoir sur un appareil affecté, en supposant que les atténuations de la plate-forme et du service sont désactivées à des fins de développement ou si elles sont contournées avec succès.

Atténuations

Il s'agit d'un résumé des mesures d'atténuation fournies par la plate- forme de sécurité Android et les protections de service telles que SafetyNet. Ces fonctionnalités réduisent la probabilité que les vulnérabilités de sécurité puissent être exploitées avec succès sur Android.

• L'exploitation de nombreux problèmes sur Android est rendue plus difficile par les améliorations apportées aux nouvelles versions de la plate-forme Android. Nous encourageons tous les utilisateurs à mettre à jour la dernière version d'Android dans la mesure du possible.
• L'équipe de sécurité Android surveille activement les abus avec Verify Apps et SafetyNet qui avertiront des applications potentiellement dangereuses sur le point d'être installées. Les outils d'enracinement d'appareils sont interdits dans Google Play. Pour protéger les utilisateurs qui installent des applications en dehors de Google Play, Vérifier les applications est activé par défaut et avertira les utilisateurs des applications d'enracinement connues. Vérifier les applications tente d'identifier et de bloquer l'installation d'applications malveillantes connues qui exploitent une vulnérabilité d'élévation de privilèges. Si une telle application a déjà été installée, Verify Apps avertira l'utilisateur et tentera de supprimer ces applications.
• Le cas échéant, Google a mis à jour les applications Hangouts et Messenger afin que les médias ne soient pas automatiquement transmis aux processus vulnérables (tels que mediaserver.)

Remerciements

Nous tenons à remercier ces chercheurs pour leurs contributions :

• Joshua Drake : CVE-2015-1538, CVE-2015-3826
• Ben Hawkes : CVE-2015-3836
• Alexandru Blanda : CVE-2015-3832
• Michal Bednarski : CVE-2015-3831, CVE-2015-3844, CVE-2015-1541
• Alex Copot : CVE-2015-1536
• Alex Eubanks : CVE-2015-0973
• Roee Hay et Or Peles : CVE-2015-3837
• Guang Gong : CVE-2015-3834
• Gal Beniamini : CVE-2015-3835
• Wish Wu* : CVE-2015-3842
• Artem Chaykin : CVE-2015-3843

*Wish est également notre tout premier récipiendaire d' Android Security Rewards !

Débordements d'entiers lors du traitement des atomes MP4

Il existe plusieurs débordements potentiels d'entiers dans libstagefright qui pourraient se produire pendant le traitement de l'atome MP4, entraînant une corruption de la mémoire et potentiellement l'exécution de code à distance en tant que processus du serveur multimédia.

La fonctionnalité concernée est fournie sous la forme d'une API d'application et plusieurs applications lui permettent d'être accessible avec du contenu distant, notamment la lecture de médias par MMS et navigateur.

Ce problème est classé comme étant de gravité critique en raison de la possibilité d'exécution de code à distance en tant que service de serveur multimédia privilégié. Bien que le serveur multimédia soit protégé par SELinux, il a accès aux flux audio et vidéo ainsi qu'à l'accès aux nœuds privilégiés du pilote du noyau sur de nombreux appareils auxquels les applications tierces ne peuvent normalement pas accéder. Notez que selon nos précédentes directives d'évaluation de la gravité, cela a été classé comme une vulnérabilité de gravité élevée et a été signalé aux partenaires en tant que tel. Selon nos nouvelles directives, publiées en juin 2015, il s'agit d'un problème de gravité critique.

Un sous-dépassement d'entier dans le traitement ESDS

Il existe un sous-dépassement potentiel d'entier dans libstagefright qui pourrait se produire pendant le traitement de l'atome ESDS, entraînant une corruption de la mémoire et potentiellement l'exécution de code à distance en tant que processus du serveur multimédia.

La fonctionnalité concernée est fournie sous la forme d'une API d'application et plusieurs applications lui permettent d'être accessible avec du contenu distant, notamment la lecture de médias par MMS et navigateur.

Ce problème est classé comme étant de gravité critique en raison de la possibilité d'exécution de code à distance en tant que service de serveur multimédia privilégié. Bien que le serveur multimédia soit protégé par SELinux, il a accès aux flux audio et vidéo ainsi qu'à l'accès aux nœuds privilégiés du pilote du noyau sur de nombreux appareils auxquels les applications tierces ne peuvent normalement pas accéder. Notez que selon nos précédentes directives d'évaluation de la gravité, cela a été classé comme une vulnérabilité de gravité élevée et a été signalé aux partenaires en tant que tel. Selon nos nouvelles directives, publiées en juin 2015, il s'agit d'un problème de gravité critique.

Débordement d'entier dans libstagefright lors de l'analyse de l'atome MPEG4 tx3g

Il existe un débordement potentiel d'entier dans libstagefright qui pourrait se produire lors du traitement des données MPEG4 tx3g, entraînant une corruption de la mémoire et potentiellement l'exécution de code à distance en tant que processus du serveur multimédia.

La fonctionnalité concernée est fournie sous la forme d'une API d'application et plusieurs applications lui permettent d'être accessible avec du contenu distant, notamment la lecture de médias par MMS et navigateur.

Ce problème est classé comme étant de gravité critique en raison de la possibilité d'exécution de code à distance en tant que service de serveur multimédia privilégié. Bien que le serveur multimédia soit protégé par SELinux, il a accès aux flux audio et vidéo ainsi qu'à l'accès aux nœuds privilégiés du pilote du noyau sur de nombreux appareils auxquels les applications tierces ne peuvent normalement pas accéder.

Notez que selon nos précédentes directives d'évaluation de la gravité, cela a été classé comme une vulnérabilité de gravité élevée et a été signalé aux partenaires en tant que tel. Selon nos nouvelles directives, publiées en juin 2015, il s'agit d'un problème de gravité critique.

Sous-dépassement d'entier dans libstagefright lors du traitement d'atomes MPEG4 covr

Il existe un sous-dépassement potentiel d'entier dans libstagefright qui pourrait se produire pendant le traitement des données MPEG4, entraînant une corruption de la mémoire et potentiellement l'exécution de code à distance en tant que processus du serveur multimédia.

La fonctionnalité concernée est fournie sous la forme d'une API d'application et plusieurs applications lui permettent d'être accessible avec du contenu distant, notamment la lecture de médias par MMS et navigateur.

Ce problème est classé comme étant de gravité critique en raison de la possibilité d'exécution de code à distance en tant que service de serveur multimédia privilégié. Bien que le serveur multimédia soit protégé par SELinux, il a accès aux flux audio et vidéo ainsi qu'à l'accès aux nœuds privilégiés du pilote du noyau sur de nombreux appareils auxquels les applications tierces ne peuvent normalement pas accéder.

Notez que selon nos précédentes directives d'évaluation de la gravité, cela a été classé comme une vulnérabilité de gravité élevée et a été signalé aux partenaires en tant que tel. Selon nos nouvelles directives, publiées en juin 2015, il s'agit d'un problème de gravité critique.

Sous-dépassement d'entier dans libstagefright si la taille est inférieure à 6 lors du traitement des métadonnées 3GPP

Il existe un sous-dépassement potentiel d'entier dans libstagefright qui pourrait se produire pendant le traitement des données 3GPP, entraînant une corruption de la mémoire et potentiellement l'exécution de code à distance en tant que processus du serveur multimédia.

La fonctionnalité concernée est fournie sous la forme d'une API d'application et plusieurs applications lui permettent d'être accessible avec du contenu distant, notamment la lecture de médias par MMS et navigateur.

Ce problème est classé comme étant de gravité critique en raison de la possibilité d'exécution de code à distance en tant que service de serveur multimédia privilégié. Bien que le serveur multimédia soit protégé par SELinux, il a accès aux flux audio et vidéo ainsi qu'à l'accès aux nœuds privilégiés du pilote du noyau sur de nombreux appareils auxquels les applications tierces ne peuvent normalement pas accéder. Notez que selon nos précédentes directives d'évaluation de la gravité, cela a été classé comme une vulnérabilité de gravité élevée et a été signalé aux partenaires en tant que tel. Selon nos nouvelles directives, publiées en juin 2015, il s'agit d'un problème de gravité critique.

Débordement d'entier dans libstagefright traitant les atomes covr MPEG4 lorsque chunk_data_size est SIZE_MAX

Il existe un débordement potentiel d'entier dans libstagefright qui pourrait se produire pendant le traitement des données MPEG4 covr, entraînant une corruption de la mémoire et potentiellement l'exécution de code à distance en tant que processus du serveur multimédia.

La fonctionnalité concernée est fournie sous la forme d'une API d'application et plusieurs applications lui permettent d'être accessible avec du contenu distant, notamment la lecture de médias par MMS et navigateur.

Ce problème est classé comme étant de gravité critique en raison de la possibilité d'exécution de code à distance en tant que service de serveur multimédia privilégié. Bien que le serveur multimédia soit protégé par SELinux, il a accès aux flux audio et vidéo ainsi qu'à l'accès aux nœuds privilégiés du pilote du noyau sur de nombreux appareils auxquels les applications tierces ne peuvent normalement pas accéder. Notez que selon nos précédentes directives d'évaluation de la gravité, cela a été classé comme une vulnérabilité de gravité élevée et a été signalé aux partenaires en tant que tel. Selon nos nouvelles directives, publiées en juin 2015, il s'agit d'un problème de gravité critique.

Débordement de tampon dans Sonivox Parse_wave

Il existe un débordement de tampon potentiel dans Sonivox qui pourrait se produire pendant le traitement des données XMF, entraînant une corruption de la mémoire et potentiellement l'exécution de code à distance en tant que processus du serveur multimédia.

La fonctionnalité concernée est fournie sous la forme d'une API d'application et plusieurs applications lui permettent d'être accessible avec du contenu distant, notamment la lecture de médias par MMS et navigateur.

Ce problème est classé comme étant de gravité critique en raison de la possibilité d'exécution de code à distance en tant que service de serveur multimédia privilégié. Bien que le serveur multimédia soit protégé par SELinux, il a accès aux flux audio et vidéo ainsi qu'à l'accès aux nœuds privilégiés du pilote du noyau sur de nombreux appareils auxquels les applications tierces ne peuvent normalement pas accéder. Notez que selon nos précédentes directives d'évaluation de la gravité, cela a été classé comme une vulnérabilité de gravité élevée et a été signalé aux partenaires en tant que tel. Selon nos nouvelles directives, publiées en juin 2015, il s'agit d'un problème de gravité critique.

La mémoire tampon déborde dans libstagefright MPEG4Extractor.cpp

Il existe plusieurs débordements de tampon dans libstagefright qui pourraient se produire pendant le traitement MP4, entraînant une corruption de la mémoire et potentiellement l'exécution de code à distance en tant que processus du serveur multimédia.

La fonctionnalité concernée est fournie sous la forme d'une API d'application et plusieurs applications lui permettent d'être accessible avec du contenu distant, notamment la lecture de médias par MMS et navigateur.

Ce problème est classé comme étant de gravité critique en raison de la possibilité d'exécution de code à distance en tant que service de serveur multimédia privilégié. Bien que le serveur multimédia soit protégé par SELinux, il a accès aux flux audio et vidéo ainsi qu'à l'accès aux nœuds privilégiés du pilote du noyau sur de nombreux appareils auxquels les applications tierces ne peuvent normalement pas accéder.

Initialement, ce problème a été signalé comme un exploit local (non accessible à distance). Notez que selon nos précédentes directives d'évaluation de la gravité, cela a été classé comme une vulnérabilité de gravité modérée et a été signalé aux partenaires en tant que tel. Selon nos nouvelles directives, publiées en juin 2015, il s'agit d'un problème de gravité critique.

Débordement de tampon dans le serveur multimédia BpMediaHTTPConnection

Il existe un débordement de mémoire tampon potentiel dans BpMediaHTTPConnection lors du traitement des données fournies par une autre application, entraînant une corruption de la mémoire et potentiellement l'exécution de code en tant que processus du serveur multimédia.

La fonctionnalité concernée est fournie sous la forme d'une API d'application. Nous ne pensons pas que le problème soit exploitable à distance.

Ce problème est classé comme étant de gravité élevée en raison de la possibilité d'exécution de code en tant que service de serveur multimédia privilégié, à partir d'une application locale. Bien que le serveur multimédia soit protégé par SELinux, il a accès aux flux audio et vidéo ainsi qu'à l'accès aux nœuds privilégiés du pilote du noyau sur de nombreux appareils auxquels les applications tierces ne peuvent normalement pas accéder.

Vulnérabilité dans libpng : Overflow dans png_Read_IDAT_data

Il existe un débordement de mémoire tampon potentiel qui pourrait se produire lors de la lecture des données IDAT dans la fonction png_read_IDAT_data() dans libpng, entraînant une corruption de la mémoire et potentiellement l'exécution de code à distance dans une application utilisant cette méthode.

La fonctionnalité concernée est fournie sous la forme d'une API d'application. Il peut y avoir des applications qui permettent d'y accéder avec du contenu distant, notamment des applications de messagerie et des navigateurs.

Ce problème est classé comme étant de gravité élevée en raison de la possibilité d'exécution de code à distance en tant qu'application non privilégiée.

Débordement memcpy() exploitable à distance dans p2p_add_device() dans wpa_supplicant

Lorsque wpa_supplicant fonctionne en mode WLAN Direct, il est vulnérable à l'exécution potentielle de code à distance en raison d'un débordement dans la méthode p2p_add_device(). Une exploitation réussie pourrait entraîner l'exécution de code en tant qu'utilisateur « wifi » dans Android.

Il existe plusieurs mesures d'atténuation qui peuvent affecter l'exploitation réussie de ce problème :

- WLAN Direct n'est pas activé par défaut sur la plupart des appareils Android

- L'exploitation nécessite qu'un attaquant soit à proximité locale (à portée WiFi)

- Le processus wpa_supplicant s'exécute en tant qu'utilisateur 'wifi' qui a un accès limité au système

- L'exploitation à distance est atténuée par l'ASLR sur les appareils Android 4.1 et versions ultérieures.

- Le processus wpa_supplicant est étroitement limité par la politique SELinux sur Android 5.0 et supérieur

Ce problème est classé comme étant de gravité élevée en raison de la possibilité d'exécution de code à distance. Bien que le service "wifi" ait des capacités qui ne sont normalement pas accessibles aux applications tierces, ce qui pourrait le qualifier de critique, nous pensons que les capacités limitées et le niveau d'atténuation justifient de réduire la gravité à élevée.

Corruption de la mémoire dans la désérialisation OpenSSLX509Certificate

Une application locale malveillante peut envoyer un Intent qui, lorsqu'il est désérialisé par l'application réceptrice, peut décrémenter une valeur à une adresse mémoire arbitraire, entraînant une corruption de la mémoire et potentiellement l'exécution de code dans l'application réceptrice.

Ce problème est classé comme étant de gravité élevée car il peut être utilisé pour obtenir des privilèges non accessibles à une application tierce.

Débordement de tampon dans le serveur multimédia BnHDCP

Il existe un débordement d'entier potentiel dans libstagefright lors du traitement de données fournies par une autre application, entraînant une corruption de la mémoire (tas) et potentiellement l'exécution de code en tant que processus du serveur multimédia.

Ce problème est classé comme étant de gravité élevée car il peut être utilisé pour obtenir des privilèges non accessibles à une application tierce. Bien que le serveur multimédia soit protégé par SELinux, il a accès aux flux audio et vidéo ainsi qu'à l'accès aux nœuds privilégiés du pilote du noyau sur de nombreux appareils auxquels les applications tierces ne peuvent normalement pas accéder.

Notez que selon nos précédentes directives d'évaluation de la gravité, cela a été classé comme une vulnérabilité de gravité modérée et a été signalé aux partenaires en tant que tel. Selon nos nouvelles directives, publiées en juin 2015, il s'agit d'une vulnérabilité de gravité élevée.

Débordement de tampon dans libstagefright OMXNodeInstance::emptyBuffer

Il existe un débordement de mémoire tampon potentiel dans libstagefright lors du traitement de données fournies par une autre application, entraînant une corruption de la mémoire et potentiellement l'exécution de code en tant que processus du serveur multimédia.

Ce problème est classé comme étant de gravité élevée car il peut être utilisé pour obtenir des privilèges non accessibles à une application tierce. Bien que le serveur multimédia soit protégé par SELinux, il a accès aux flux audio et vidéo ainsi qu'à l'accès aux nœuds privilégiés du pilote du noyau sur de nombreux appareils auxquels les applications tierces ne peuvent normalement pas accéder.

Notez que selon nos précédentes directives d'évaluation de la gravité, cela a été classé comme une vulnérabilité de gravité modérée et a été signalé aux partenaires en tant que tel. Selon nos nouvelles directives, publiées en juin 2015, il s'agit d'une vulnérabilité de gravité élevée.

Débordement de tas dans le serveur multimédia AudioPolicyManager :: getInputForAttr()

Il y a un débordement de tas dans le service de politique audio de mediaserver qui pourrait permettre à une application locale d'exécuter du code arbitraire dans le processus de mediaserver.

La fonctionnalité concernée est fournie sous la forme d'une API d'application. Nous ne pensons pas que le problème soit exploitable à distance.

Ce problème est classé comme étant de gravité élevée en raison de la possibilité d'exécution de code en tant que service de serveur multimédia privilégié, à partir d'une application locale. Bien que le serveur multimédia soit protégé par SELinux, il a accès aux flux audio et vidéo ainsi qu'à l'accès aux nœuds privilégiés du pilote du noyau sur de nombreux appareils auxquels les applications tierces ne peuvent normalement pas accéder.

Les applications peuvent intercepter ou émuler les commandes SIM vers la téléphonie

Il existe une vulnérabilité dans le framework SIM Toolkit (STK) qui pourrait permettre aux applications d'intercepter ou d'émuler certaines commandes STK SIM vers le sous-système de téléphonie d'Android.

Ce problème est classé comme étant de gravité élevée, car il pourrait permettre à une application non privilégiée d'accéder à des fonctionnalités ou à des données normalement protégées par une autorisation de niveau "signature" ou "système".

Vulnérabilité dans Bitmap unmarshalling

Un débordement d'entier dans Bitmap_createFromParcel() pourrait permettre à une application de planter le processus system_server ou de lire les données de la mémoire à partir de system_server.

Ce problème est classé comme étant de gravité modérée en raison de la possibilité de fuite de données sensibles du processus system_server vers un processus local non privilégié. Bien que ce type de vulnérabilité soit normalement classé comme étant de gravité élevée, la gravité a été réduite car les données divulguées lors d'une attaque réussie ne peuvent pas être contrôlées par le processus d'attaque et la conséquence d'une attaque infructueuse est de rendre l'appareil temporairement inutilisable ( nécessitant un redémarrage).

AppWidgetServiceImpl peut créer IntentSender avec les privilèges système

Il existe une vulnérabilité dans AppWidgetServiceImpl dans l'application Paramètres qui permet à une application de s'accorder une autorisation URI en spécifiant FLAG_GRANT_READ/WRITE_URI_PERMISSION. Par exemple, cela pourrait être exploité pour lire des données de contact sans la permission READ_CONTACTS.

Ceci est classé comme une vulnérabilité de gravité modérée car il peut permettre à une application locale d'accéder à des données normalement protégées par des autorisations avec un niveau de protection "dangereux".

Contournement de l'atténuation des restrictions sur getRecentTasks()

Une application locale peut déterminer de manière fiable l'application de premier plan, en contournant la restriction getRecentTasks() introduite dans Android 5.0.

Ceci est classé comme une vulnérabilité de gravité modérée, car il peut permettre à une application locale d'accéder à des données normalement protégées par des autorisations avec un niveau de protection "dangereux".

Nous pensons que cette vulnérabilité a été décrite publiquement pour la première fois sur Stack Overflow .

ActivityManagerService.getProcessRecordLocked() peut charger une application UID système dans le mauvais processus

La méthode getProcessRecordLocked() d'ActivityManager ne vérifie pas correctement que le nom du processus d'une application correspond au nom du package correspondant. Dans certains cas, cela peut permettre à ActivityManager de charger le mauvais processus pour certaines tâches.

Les implications sont qu'une application peut empêcher le chargement des paramètres ou injecter des paramètres pour les fragments de paramètres. Nous ne pensons pas que cette vulnérabilité puisse être utilisée pour exécuter du code arbitraire en tant qu'utilisateur "système".

Alors que la possibilité d'accéder à des fonctionnalités normalement uniquement accessibles au "système" serait considérée comme une gravité élevée, nous avons évalué celle-ci comme modérée en raison du niveau d'accès limité accordé par la vulnérabilité.

Lecture illimitée du tampon dans libstagefright lors de l'analyse des métadonnées 3GPP

Un sous-dépassement d'entier lors de l'analyse des données 3GPP peut entraîner une opération de lecture dépassant un tampon, provoquant le blocage du serveur multimédia.

Ce problème était à l'origine classé comme étant de gravité élevée et a été signalé aux partenaires en tant que tel, mais après une enquête plus approfondie, il a été rétrogradé à une gravité faible car l'impact se limite au plantage du serveur multimédia.

Révisions

• 13 août 2015 : Publié à l'origine