Nexus सुरक्षा बुलेटिन - सितंबर 2015

9 सितंबर, 2015 को पब्लिश किया गया

हमने Android सुरक्षा बुलेटिन की हर महीने की रिलीज़ प्रोसेस (बिल्ड LMY48M) के तहत, Nexus डिवाइसों के लिए सुरक्षा से जुड़ा अपडेट रिलीज़ किया है. यह अपडेट, ओवर-द-एयर (ओटीए) अपडेट के ज़रिए रिलीज़ किया गया है. Nexus डिवाइसों के लिए अपडेट और इन समस्याओं के लिए सोर्स कोड पैच, Android ओपन सोर्स प्रोजेक्ट (AOSP) सोर्स रिपॉज़िटरी में भी रिलीज़ किए गए हैं. इनमें से सबसे गंभीर समस्या, सुरक्षा से जुड़ी एक गंभीर गड़बड़ी है. इसकी वजह से, जिस डिवाइस पर यह गड़बड़ी मौजूद है उस पर रिमोट कोड एक्ज़ीक्यूशन की सुविधा चालू हो सकती है.

Nexus के फ़र्मवेयर की इमेज, Google Developer साइट पर भी रिलीज़ की गई हैं. बिल्ड LMY48M या इसके बाद के वर्शन में, इन समस्याओं को ठीक कर दिया गया है. पार्टनरों को इन समस्याओं के बारे में 13 अगस्त, 2015 या उससे पहले सूचना दी गई थी.

हमें हाल ही में रिपोर्ट की गई समस्याओं का फ़ायदा उठाने वाले किसी ग्राहक का पता नहीं चला है. हालांकि, पहले से मौजूद समस्या (CVE-2015-3636) के लिए ऐसा नहीं किया गया है. Android के सुरक्षा प्लैटफ़ॉर्म की सुरक्षा सुविधाओं और SafetyNet जैसी सेवा की सुरक्षा सुविधाओं के बारे में जानकारी पाने के लिए, जोखिम कम करने की प्रोसेस सेक्शन देखें. इनसे Android पर सुरक्षा से जुड़ी कमज़ोरियों का फ़ायदा उठाए जाने की संभावना कम हो जाती है.

कृपया ध्यान दें कि सुरक्षा से जुड़े दोनों अहम अपडेट (CVE-2015-3864 और CVE-2015-3686), पहले से ज़ाहिर की गई कमियों को ठीक करते हैं. इस अपडेट में, सुरक्षा से जुड़े जोखिम की ऐसी कोई नई आशंका नहीं है जिसके बारे में पहले न बताया गया हो. गंभीरता का आकलन इस आधार पर किया जाता है कि जोखिम का फ़ायदा उठाने पर, डिवाइस पर क्या असर पड़ सकता है. इसके लिए, यह मान लिया जाता है कि डेवलपमेंट के मकसद से, प्लैटफ़ॉर्म और सेवा से जुड़े जोखिम कम करने की प्रोसेस बंद कर दी गई है या उसे बायपास कर दिया गया है.

हम सभी ग्राहकों को सलाह देते हैं कि वे अपने डिवाइसों पर इन अपडेट को स्वीकार करें.

जोखिम कम करने की प्रोसेस

यह Android सुरक्षा प्लैटफ़ॉर्म और SafetyNet जैसी सेवाओं से मिलने वाली सुरक्षा के बारे में खास जानकारी है. इन सुविधाओं की मदद से, Android पर सुरक्षा से जुड़े जोखिमों का फ़ायदा उठाने की संभावना कम हो जाती है.

• Android प्लैटफ़ॉर्म के नए वर्शन में किए गए सुधारों की वजह से, Android पर कई समस्याओं का फ़ायदा उठाना ज़्यादा मुश्किल हो गया है. हम सभी उपयोगकर्ताओं को Android के नए वर्शन पर अपडेट करने का सुझाव देते हैं.
• Android की सुरक्षा टीम, ऐप्लिकेशन की पुष्टि करने की सुविधा और SafetyNet की मदद से, गलत इस्तेमाल पर लगातार नज़र रखती है. इससे, नुकसान पहुंचाने वाले ऐप्लिकेशन इंस्टॉल होने से पहले ही चेतावनी मिल जाती है. Google Play पर, डिवाइस को रूट करने वाले टूल उपलब्ध कराने की अनुमति नहीं है. Google Play के बाहर से ऐप्लिकेशन इंस्टॉल करने वाले उपयोगकर्ताओं को सुरक्षित रखने के लिए, ऐप्लिकेशन की पुष्टि करने की सुविधा डिफ़ॉल्ट रूप से चालू होती है. यह सुविधा, उपयोगकर्ताओं को रूटिंग ऐप्लिकेशन के बारे में चेतावनी देगी. Verify Apps, नुकसान पहुंचाने वाले ऐसे ऐप्लिकेशन की पहचान करने और उन्हें इंस्टॉल होने से रोकने की कोशिश करता है जो प्रिविलेज एस्कलेशन से जुड़े जोखिम का फ़ायदा उठाते हैं. अगर ऐसा कोई ऐप्लिकेशन पहले से इंस्टॉल है, तो 'ऐप्लिकेशन की पुष्टि करें' सुविधा, उपयोगकर्ता को इसकी सूचना देगी और ऐसे ऐप्लिकेशन को हटाने की कोशिश करेगी.
• Google Hangouts और Messenger ऐप्लिकेशन, मीडिया को मीडिया सर्वर जैसी प्रोसेस में अपने-आप पास नहीं करते.

Acknowledgements

हम इन रिसर्चर को उनके योगदान के लिए धन्यवाद देना चाहते हैं:

• Exodus Intelligence के जॉर्डन ग्रुस्कोवनेक (@jgrusko): CVE-2015-3864
• Michał Bednarski: CVE-2015-3845
• Qihoo 360 Technology Co. Ltd (@oldfresher) के गुआंग गोंग: CVE-2015-1528, CVE-2015-3849
• Brennan Lautner: CVE-2015-3863
• जेगोर (@indiecom): CVE-2015-3860
• Trend Micro Inc. के विश वू (@wish_wu): CVE-2015-3861
• Amazon डिवाइस सिक्योरिटी के एरिक डाल्सी और यी झांग: CVE-2015-3858

सुरक्षा से जुड़े जोखिम की जानकारी

नीचे दिए गए सेक्शन में, हमने इस बुलेटिन में बताई गई सुरक्षा से जुड़ी हर जोखिम की जानकारी दी है. हर समस्या का ब्यौरा दिया गया है. साथ ही, एक टेबल दी गई है जिसमें CVE, उससे जुड़ी गड़बड़ी, गंभीरता, जिन वर्शन पर असर पड़ा है, और समस्या की शिकायत करने की तारीख दी गई है. जहां उपलब्ध हो, हमने उस AOSP बदलाव को बग आईडी से लिंक किया है जिससे समस्या हल हुई हो. जब किसी एक गड़बड़ी से कई बदलाव जुड़े होते हैं, तो गड़बड़ी के आईडी के बाद दिए गए नंबरों से अतिरिक्त एओएसपी रेफ़रंस लिंक किए जाते हैं.

मीडिया सर्वर में रिमोट कोड एक्ज़ीक्यूशन से जुड़ी सुरक्षा की समस्या

खास तौर पर तैयार की गई फ़ाइल के मीडिया फ़ाइल और डेटा प्रोसेसिंग के दौरान, मीडिया सर्वर में मौजूद जोखिमों की वजह से, हमलावर को मेमोरी में गड़बड़ी करने और मीडिया सर्वर प्रोसेस के तौर पर रिमोट कोड एक्ज़ीक्यूशन करने की अनुमति मिल सकती है.

इस समस्या से प्रभावित होने वाली सुविधा, ऑपरेटिंग सिस्टम के मुख्य हिस्से के तौर पर दी जाती है. साथ ही, ऐसे कई ऐप्लिकेशन हैं जो इसे रिमोट कॉन्टेंट के साथ ऐक्सेस करने की अनुमति देते हैं. इनमें खास तौर पर, मल्टीमीडिया मैसेज और मीडिया का ब्राउज़र प्लेबैक शामिल है.

इस समस्या को गंभीर माना गया है, क्योंकि मीडिया सर्वर सेवा के कॉन्टेक्स्ट में रिमोट कोड एक्ज़ीक्यूशन की संभावना है. मीडियासर्वर सेवा के पास ऑडियो और वीडियो स्ट्रीम का ऐक्सेस होता है. साथ ही, इसके पास ऐसे खास अधिकार होते हैं जिन्हें तीसरे पक्ष के ऐप्लिकेशन आम तौर पर ऐक्सेस नहीं कर सकते.

यह समस्या, पहले से रिपोर्ट की गई CVE-2015-3824 (ANDROID-20923261) से जुड़ी है. सुरक्षा से जुड़ा ओरिजनल अपडेट, इस समस्या के वैरिएंट को ठीक करने के लिए काफ़ी नहीं था.

CVE	एओएसपी लिंक से जुड़ी गड़बड़ी	गंभीरता	ऐसे वर्शन जिन पर असर पड़ा
CVE-2015-3864	ANDROID-23034759	गंभीर	5.1 और इससे पहले के वर्शन

कर्नेल में खास सुविधाओं का ऐक्सेस से जुड़ी सुरक्षा की कमज़ोरी

Linux कर्नेल के पिंग सॉकेट को मैनेज करने के तरीके में, खास अधिकार पाने से जुड़ी जोखिम की आशंका की वजह से, नुकसान पहुंचाने वाला कोई ऐप्लिकेशन, कर्नेल के संदर्भ में अपनी पसंद का कोड चला सकता है.

इस समस्या को गंभीर की कैटगरी में रखा गया है. ऐसा इसलिए, क्योंकि खास अधिकार वाली सेवा में कोड एक्ज़ीक्यूशन की संभावना है. इससे डिवाइस की सुरक्षा को बायपास किया जा सकता है. साथ ही, कुछ डिवाइसों को हमेशा के लिए नुकसान पहुंच सकता है. जैसे, सिस्टम पार्टिशन को फिर से फ़्लैश करना पड़ सकता है.

इस समस्या का पहली बार सार्वजनिक तौर पर 1 मई, 2015 को पता चला था. इस जोखिम का फ़ायदा उठाने के लिए, कई “रूटिंग” टूल शामिल किए गए हैं. डिवाइस का मालिक, अपने डिवाइस पर फ़र्मवेयर में बदलाव करने के लिए इनका इस्तेमाल कर सकता है.

CVE	एओएसपी लिंक से जुड़ी गड़बड़ियां	गंभीरता	ऐसे वर्शन जिन पर असर पड़ा
CVE-2015-3636	ANDROID-20770158	गंभीर	5.1 और इससे पहले के वर्शन

बाइंडर में एलिवेशन ऑफ़ प्रिविलेज से जुड़ी सुरक्षा की कमज़ोरी

बाइंडर में खास अधिकार मिलने से जुड़ी सुरक्षा की कमज़ोरी की वजह से, नुकसान पहुंचाने वाला कोई ऐप्लिकेशन, किसी दूसरे ऐप्लिकेशन की प्रोसेस के कॉन्टेक्स्ट में अपनी पसंद का कोड चला सकता है.

इस समस्या को गंभीर माना गया है, क्योंकि इसकी वजह से नुकसान पहुंचाने वाला कोई ऐप्लिकेशन, ऐसी सुविधाओं का ऐक्सेस हासिल कर सकता है जो तीसरे पक्ष के ऐप्लिकेशन के लिए उपलब्ध नहीं हैं.

CVE	एओएसपी लिंक से जुड़ी गड़बड़ियां	गंभीरता	ऐसे वर्शन जिन पर असर पड़ा
CVE-2015-3845	ANDROID-17312693	ज़्यादा	5.1 और इससे पहले के वर्शन
CVE-2015-1528	ANDROID-19334482 [2]	ज़्यादा	5.1 और इससे पहले के वर्शन

कीस्टोर में एलिवेशन ऑफ़ प्रिविलेज की सुरक्षा से जुड़ी समस्या

कीस्टोर में खास अधिकार मिलने से जुड़ी सुरक्षा की कमज़ोरी की वजह से, नुकसान पहुंचाने वाला ऐप्लिकेशन, कीस्टोर सेवा के कॉन्टेक्स्ट में अपनी पसंद का कोड चला सकता है. इससे, कीस्टोर में सेव की गई कुंजियों का इस्तेमाल बिना अनुमति के किया जा सकता है. इनमें हार्डवेयर से सुरक्षित कुंजियां भी शामिल हैं.

इस समस्या को गंभीर माना गया है, क्योंकि इसका इस्तेमाल करके ऐसे खास अधिकार हासिल किए जा सकते हैं जो तीसरे पक्ष के ऐप्लिकेशन के लिए उपलब्ध नहीं हैं.

CVE	एओएसपी लिंक से जुड़ी गड़बड़ियां	गंभीरता	ऐसे वर्शन जिन पर असर पड़ा
CVE-2015-3863	ANDROID-22802399	ज़्यादा	5.1 और इससे पहले के वर्शन

रीजन में एलिवेशन ऑफ़ प्रिविलेज की सुरक्षा से जुड़ी समस्या

रीजन में खास अधिकार पाकर नुकसान पहुंचाने की सुविधा देने वाली एक जोखिम की आशंका मौजूद है. इसकी वजह से, नुकसान पहुंचाने वाला कोई ऐप्लिकेशन, टारगेट की गई सेवा के कॉन्टेक्स्ट में अपनी पसंद का कोड चला सकता है. इसके लिए, उसे सेवा को नुकसान पहुंचाने वाला मैसेज भेजना होगा.

इस समस्या को गंभीर माना गया है, क्योंकि इसका इस्तेमाल करके ऐसे खास अधिकार हासिल किए जा सकते हैं जो तीसरे पक्ष के ऐप्लिकेशन के लिए उपलब्ध नहीं हैं.

CVE	एओएसपी लिंक से जुड़ी गड़बड़ियां	गंभीरता	ऐसे वर्शन जिन पर असर पड़ा
CVE-2015-3849	ANDROID-20883006 [2]	ज़्यादा	5.1 और इससे पहले के वर्शन

एसएमएस में एलिवेशन ऑफ़ प्रिविलेज की सुरक्षा से जुड़ी गड़बड़ी की वजह से, सूचनाओं को बायपास किया जा सकता है

Android जिस तरह से एसएमएस प्रोसेस करता है उसमें मौजूद सुरक्षा से जुड़ी एक जोखिम भरी गड़बड़ी की वजह से, नुकसान पहुंचाने वाला कोई ऐप्लिकेशन, प्रीमियम-रेट वाले एसएमएस की चेतावनी वाली सूचना को बायपास करके एसएमएस भेज सकता है.

इस समस्या को गंभीर माना गया है, क्योंकि इसका इस्तेमाल करके ऐसे खास अधिकार हासिल किए जा सकते हैं जो तीसरे पक्ष के ऐप्लिकेशन के लिए उपलब्ध नहीं हैं.

CVE	एओएसपी लिंक से जुड़ी गड़बड़ियां	गंभीरता	ऐसे वर्शन जिन पर असर पड़ा
CVE-2015-3858	ANDROID-22314646	ज़्यादा	5.1 और इससे पहले के वर्शन

लॉकस्क्रीन में एलिवेशन ऑफ़ प्रिविलेज की सुरक्षा से जुड़ी समस्या

लॉकस्क्रीन में एलिवेशन ऑफ़ प्रिविलेज की जोखिम की आशंका की वजह से, नुकसान पहुंचाने वाला उपयोगकर्ता, लॉकस्क्रीन को क्रैश करके उसे बायपास कर सकता है. इस समस्या को सिर्फ़ Android 5.0 और 5.1 पर जोखिम के तौर पर कैटगरी में रखा गया है. हालांकि, 4.4 पर इसी तरह से लॉकस्क्रीन से सिस्टम यूज़र इंटरफ़ेस (यूआई) को क्रैश किया जा सकता है, लेकिन होम स्क्रीन को ऐक्सेस नहीं किया जा सकता. साथ ही, डिवाइस को वापस चालू करने के लिए उसे रीबूट करना होगा.

इस समस्या को सामान्य गंभीरता वाली समस्या के तौर पर रेट किया गया है. इसकी वजह यह है कि अगर किसी व्यक्ति के पास डिवाइस का ऐक्सेस है, तो वह डिवाइस के मालिक की अनुमति के बिना तीसरे पक्ष के ऐप्लिकेशन इंस्टॉल कर सकता है. इससे हमलावर को संपर्क डेटा, फ़ोन लॉग, एसएमएस, और अन्य डेटा देखने की अनुमति भी मिल सकती है. आम तौर पर, इस डेटा को "खतरनाक" लेवल की अनुमति से सुरक्षित किया जाता है.

CVE	एओएसपी लिंक से जुड़ी गड़बड़ियां	गंभीरता	ऐसे वर्शन जिन पर असर पड़ा
CVE-2015-3860	ANDROID-22214934	सामान्य	5.1 और 5.0

मीडिया सर्वर में सेवा में रुकावट (डीओएस) की समस्या

मीडिया सर्वर में सेवा में रुकावट डालने वाली सुरक्षा से जुड़ी एक गड़बड़ी की वजह से, स्थानीय हमलावर कुछ समय के लिए, प्रभावित डिवाइस का ऐक्सेस ब्लॉक कर सकता है.

इस समस्या को कम गंभीर माना गया है. इसकी वजह यह है कि उपयोगकर्ता, नुकसान पहुंचाने वाले उस ऐप्लिकेशन को हटाने के लिए, डिवाइस को सेफ़ मोड में रीबूट कर सकता है जो इस समस्या का फ़ायदा उठा रहा है. यह भी संभव है कि वेब या मल्टीमीडिया मैसेज के ज़रिए, नुकसान पहुंचाने वाली फ़ाइल को प्रोसेस करने के लिए, मीडिया सर्वर को रिमोट तरीके से ट्रिगर किया जाए. ऐसे में, मीडिया सर्वर की प्रोसेस क्रैश हो जाती है और डिवाइस का इस्तेमाल किया जा सकता है.

CVE	एओएसपी लिंक से जुड़ी गड़बड़ियां	गंभीरता	ऐसे वर्शन जिन पर असर पड़ा
CVE-2015-3861	ANDROID-21296336	कम	5.1 और इससे पहले के वर्शन