Bulletin de sécurité Nexus – septembre 2015

Publié le 9 septembre 2015

Nous avons publié une mise à jour de sécurité pour les appareils Nexus via une mise à jour OTA (Over-The-Air) dans le cadre de notre processus de publication mensuelle du bulletin sur la sécurité d'Android (version LMY48M). Les mises à jour pour les appareils Nexus et les correctifs du code source pour ces problèmes ont également été publiés dans le dépôt source du Projet Android Open Source (AOSP). Le problème le plus grave est une faille de sécurité critique qui pourrait permettre l'exécution de code à distance sur un appareil concerné.

Les images du micrologiciel Nexus ont également été publiées sur le site Google Developers. Les versions LMY48M ou ultérieures résolvent ces problèmes. Les partenaires ont été informés de ces problèmes le 13 août 2015 ou avant.

Nous n'avons pas détecté d'exploitation par les clients des problèmes récemment signalés. La seule exception est le problème existant (CVE-2015-3636). Consultez la section Atténuations pour en savoir plus sur les protections de la plate-forme de sécurité Android et les protections de services telles que SafetyNet, qui réduisent la probabilité que des failles de sécurité soient exploitées sur Android.

Veuillez noter que les deux mises à jour de sécurité critiques (CVE-2015-3864 et CVE-2015-3686) corrigent des failles déjà divulguées. Aucune faille de sécurité critique n'a été signalée dans cette mise à jour. L'évaluation de la gravité est basée sur l'impact que l'exploitation de la faille pourrait avoir sur un appareil concerné, en supposant que les mesures d'atténuation de la plate-forme et du service soient désactivées à des fins de développement ou qu'elles soient contournées.

Nous encourageons tous les clients à accepter ces mises à jour sur leurs appareils.

Stratégies d'atténuation

Voici un résumé des mesures d'atténuation fournies par la plate-forme de sécurité Android et les protections de service telles que SafetyNet. Ces fonctionnalités réduisent la probabilité que des failles de sécurité puissent être exploitées sur Android.

  • L'exploitation de nombreux problèmes sur Android est rendue plus difficile par les améliorations apportées aux versions plus récentes de la plate-forme Android. Nous encourageons tous les utilisateurs à passer à la dernière version d'Android, si possible.
  • L'équipe de sécurité Android surveille activement les utilisations abusives avec les fonctionnalités Vérifier les applications et SafetyNet, qui avertissent les utilisateurs lorsqu'une application potentiellement dangereuse est sur le point d'être installée. Les outils de rootage d'appareils sont interdits sur Google Play. Pour protéger les utilisateurs qui installent des applications en dehors de Google Play, la fonctionnalité Vérifier les applications est activée par défaut et les avertit de la présence d'applications de rootage connues. Verify Apps tente d'identifier et de bloquer l'installation d'applications malveillantes connues qui exploitent une faille d'élévation des privilèges. Si une telle application a déjà été installée, la fonctionnalité Vérifier les applications en informe l'utilisateur et tente de la supprimer.
  • Le cas échéant, les applications Google Hangouts et Messenger ne transmettent pas automatiquement les contenus multimédias à des processus tels que mediaserver.

Remerciements

Nous tenons à remercier les chercheurs suivants pour leurs contributions :

  • Jordan Gruskovnjak d'Exodus Intelligence (@jgrusko) : CVE-2015-3864
  • Michał Bednarski : CVE-2015-3845
  • Guang Gong de Qihoo 360 Technology Co. Ltd (@oldfresher) : CVE-2015-1528, CVE-2015-3849
  • Brennan Lautner : CVE-2015-3863
  • jgor (@indiecom) : CVE-2015-3860
  • Wish Wu de Trend Micro Inc. (@wish_wu) : CVE-2015-3861
  • Eric Dalci et Yi Zhang d'Amazon Device Security : CVE-2015-3858

Détails de la faille de sécurité

Dans les sections ci-dessous, nous fournissons des détails sur chacune des failles de sécurité de ce bulletin. Vous trouverez une description du problème, une explication de la gravité, ainsi qu'un tableau contenant l'ID de la faille CVE, le bug associé, la gravité, les versions concernées et la date de signalement. Le cas échéant, nous avons associé la modification AOSP qui a résolu le problème à l'ID du bug. Lorsque plusieurs modifications sont liées à un même bug, les références AOSP supplémentaires sont associées aux numéros qui suivent l'ID du bug.

Vulnérabilité d'exécution de code à distance dans Mediaserver

Lors du traitement des fichiers multimédias et des données d'un fichier spécialement conçu, des failles dans le serveur multimédia peuvent permettre à un pirate informatique de corrompre la mémoire et d'exécuter du code à distance en tant que processus du serveur multimédia.

La fonctionnalité concernée est fournie en tant que partie essentielle du système d'exploitation, et plusieurs applications permettent d'y accéder avec du contenu distant, notamment les MMS et la lecture de contenus multimédias dans le navigateur.

Ce problème est considéré comme critique, car il peut permettre l'exécution de code à distance dans le contexte du service mediaserver. Le service mediaserver a accès aux flux audio et vidéo, ainsi qu'à des droits auxquels les applications tierces ne peuvent normalement pas accéder.

Ce problème est lié à la faille CVE-2015-3824 (ANDROID-20923261), qui a déjà été signalée. La mise à jour de sécurité d'origine n'était pas suffisante pour résoudre une variante de ce problème signalé à l'origine.

CVE Bug avec les liens AOSP Gravité Versions concernées
CVE-2015-3864 ANDROID-23034759 Critique 5.1 et versions antérieures

Faille liée à l'élévation des privilèges dans le noyau

Une faille d'élévation des privilèges dans la gestion des sockets ping par le kernel Linux pourrait permettre à une application malveillante d'exécuter du code arbitraire dans le contexte du kernel.

Ce problème est considéré comme critique, car il peut permettre l'exécution de code dans un service privilégié, ce qui peut contourner les protections de l'appareil et potentiellement entraîner une compromission permanente (c'est-à-dire nécessitant de reflasher la partition système) sur certains appareils.

Ce problème a été identifié publiquement pour la première fois le 1er mai 2015. Une exploitation de cette faille a été incluse dans un certain nombre d'outils de "rooting" qui peuvent être utilisés par le propriétaire de l'appareil pour modifier le micrologiciel de son appareil.

CVE Bugs liés aux liens AOSP Gravité Versions concernées
CVE-2015-3636 ANDROID-20770158 Critique 5.1 et versions antérieures

Faille d'élévation des privilèges dans Binder

Une faille d'élévation des privilèges dans Binder pourrait permettre à une application malveillante d'exécuter du code arbitraire dans le contexte du processus d'une autre application.

Ce problème est considéré comme d'un niveau de gravité élevé, car il permet à une application malveillante d'obtenir des droits non accessibles à une application tierce.

CVE Bugs liés aux liens AOSP Gravité Versions concernées
CVE-2015-3845 ANDROID-17312693 Élevée 5.1 et versions antérieures
CVE-2015-1528 ANDROID-19334482 [2] Élevée 5.1 et versions antérieures

Faille d'élévation des privilèges dans Keystore

Une faille d'élévation des privilèges dans Keystore pourrait permettre à une application malveillante d'exécuter du code arbitraire dans le contexte du service Keystore. Cela pourrait permettre l'utilisation non autorisée de clés stockées par Keystore, y compris de clés intégrées au matériel.

Ce problème est considéré comme d'un niveau de gravité élevé, car il peut être utilisé pour obtenir des droits d'accès non accessibles à une application tierce.

CVE Bugs liés aux liens AOSP Gravité Versions concernées
CVE-2015-3863 ANDROID-22802399 Élevée 5.1 et versions antérieures

Faille d'élévation des privilèges dans Region

Une faille d'élévation des privilèges dans Region pourrait, via la création d'un message malveillant envoyé à un service, permettre à une application malveillante d'exécuter du code arbitraire dans le contexte du service cible.

Ce problème est considéré comme d'un niveau de gravité élevé, car il peut être utilisé pour obtenir des droits d'accès non accessibles à une application tierce.

CVE Bugs liés aux liens AOSP Gravité Versions concernées
CVE-2015-3849 ANDROID-20883006 [2] Élevée 5.1 et versions antérieures

Une faille d'élévation des privilèges dans les SMS permet de contourner les notifications

Une faille d'élévation des privilèges dans la façon dont Android traite les SMS pourrait permettre à une application malveillante d'envoyer un SMS qui contourne la notification d'avertissement concernant les SMS surtaxés.

Ce problème est considéré comme d'un niveau de gravité élevé, car il peut être utilisé pour obtenir des droits d'accès non accessibles à une application tierce.

CVE Bugs liés aux liens AOSP Gravité Versions concernées
CVE-2015-3858 ANDROID-22314646 Élevée 5.1 et versions antérieures

Faille d'élévation des privilèges dans l'écran de verrouillage

Une faille d'élévation des privilèges dans l'écran de verrouillage pourrait permettre à un utilisateur malveillant de contourner l'écran de verrouillage en provoquant son plantage. Ce problème n'est classé comme une faille que sur Android 5.0 et 5.1. Bien qu'il soit possible de provoquer un plantage de l'interface utilisateur du système à partir de l'écran de verrouillage de manière similaire sur la version 4.4, l'écran d'accueil n'est pas accessible et l'appareil doit être redémarré pour être restauré.

Ce problème est considéré comme de gravité modérée, car il permet potentiellement à une personne ayant un accès physique à un appareil d'installer des applications tierces sans que le propriétaire de l'appareil n'approuve les autorisations. Il peut également permettre au pirate informatique d'afficher les données de contact, les journaux téléphoniques, les SMS et d'autres données qui sont normalement protégées par une autorisation de niveau "dangereux".

CVE Bugs liés aux liens AOSP Gravité Versions concernées
CVE-2015-3860 ANDROID-22214934 Modéré 5.1 et 5.0

Vulnérabilité de déni de service dans Mediaserver

Une faille de déni de service dans mediaserver pourrait permettre à un pirate informatique local de bloquer temporairement l'accès à un appareil concerné.

Ce problème est considéré comme de gravité faible, car un utilisateur peut redémarrer en mode sans échec pour supprimer une application malveillante qui exploite ce problème. Il est également possible de forcer le serveur multimédia à traiter le fichier malveillant à distance via le Web ou par MMS. Dans ce cas, le processus du serveur multimédia plante, mais l'appareil reste utilisable.

CVE Bugs liés aux liens AOSP Gravité Versions concernées
CVE-2015-3861 ANDROID-21296336 Faible 5.1 et versions antérieures