Biuletyn bezpieczeństwa Nexusa – wrzesień 2015 r.

Opublikowano 9 września 2015 r.

W ramach naszego procesu comiesięcznego publikowania biuletynów bezpieczeństwa Androida (kompilacja LMY48M) wydaliśmy aktualizację zabezpieczeń dla urządzeń Nexus w ramach aktualizacji przez Internet. Aktualizacje dla urządzeń Nexus i łatki do kodu źródłowego dotyczące tych problemów zostały również udostępnione w repozytorium kodu źródłowego Projektu Android Open Source (AOSP). Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach, która może umożliwiać zdalne uruchamianie kodu na urządzeniu.

Obrazy oprogramowania układowego Nexusa zostały też udostępnione w witrynie Google Developers. W wersjach LMY48M lub nowszych te problemy zostały rozwiązane. Partnerzy zostali poinformowani o tych problemach 13 sierpnia 2015 r. lub wcześniej.

Nie wykryliśmy, aby klienci wykorzystywali nowo zgłoszone problemy. Wyjątkiem jest istniejący problem (CVE-2015-3636). W sekcji Środki zaradcze znajdziesz szczegółowe informacje o zabezpieczeniach platformy bezpieczeństwa Androida oraz o zabezpieczeniach usług,takich jak SafetyNet, które zmniejszają prawdopodobieństwo skutecznego wykorzystania luk w zabezpieczeniach na Androidzie.

Pamiętaj, że obie aktualizacje zabezpieczeń o charakterze krytycznym (CVE-2015-3864 i CVE-2015-3686) dotyczą już ujawnionej luki w zabezpieczeniach. W tej aktualizacji nie ma żadnych nowo ujawnionych krytycznych luk w zabezpieczeniach. Ocena ważności jest oparta na potencjalnym wpływie wykorzystania luki w zabezpieczeniach na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programowania lub że zostały pomyślnie omijane.

Zachęcamy wszystkich klientów do akceptowania tych aktualizacji na swoich urządzeniach.

Złagodzenia

Oto podsumowanie środków zaradczych oferowanych przez platformę bezpieczeństwa Androida i zabezpieczenia usług, takie jak SafetyNet. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach mogą zostać wykorzystane na Androidzie.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania systemu do najnowszej wersji Androida, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą narzędzia Verify Apps i SafetyNet, które ostrzegają przed instalowaniem potencjalnie szkodliwych aplikacji. W Google Play nie można publikować narzędzi do rootowania urządzeń. Aby chronić użytkowników, którzy instalują aplikacje spoza Google Play, weryfikacja aplikacji jest domyślnie włączona i ostrzega użytkowników o znanych aplikacjach do rootowania. Verify Apps próbuje wykrywać i blokować instalację znanych złośliwych aplikacji, które wykorzystują lukę w zabezpieczeniach umożliwiającą podniesienie uprawnień. Jeśli taka aplikacja jest już zainstalowana, Verify Apps powiadomi użytkownika i spróbuje ją usunąć.
  • W odpowiednich przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak mediaserver.

Podziękowania

Dziękujemy zaangażowanym w to badanie naukowcom:

  • Jordan Gruskovnjak z Exodus Intelligence (@jgrusko): CVE-2015-3864
  • Michał Bednarski: CVE-2015-3845
  • Guang Gong z Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
  • Brennan Lautner: CVE-2015-3863
  • jgor (@indiecom): CVE-2015-3860
  • Wish Wu z Trend Micro Inc. (@wish_wu): CVE-2015-3861

Szczegóły luki w zabezpieczeniach

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach opisanych w tym biuletynie. Zawiera opis problemu, uzasadnienie dotyczące jego wagi oraz tabelę z identyfikatorem CVE, powiązanym błędem, wagą, wersjami, których dotyczy problem, oraz datą zgłoszenia. W miarę możliwości połączyliśmy identyfikator błędu z zmianą w AOSP, która rozwiązuje problem. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia do AOSP są połączone z numerami po identyfikatorze błędu.

Luka w zabezpieczeniach umożliwiająca zdalne wykonywanie kodu w usłudze Mediaserver

Podczas przetwarzania pliku multimedialnego i danych w specjalnie spreparowanym pliku luka w zabezpieczeniach w mediaserver może umożliwić osobie przeprowadzającej atak uszkodzenie pamięci i zdalne uruchomienie kodu w ramach procesu mediaserver.

Dotyczy to funkcji, które są częścią systemu operacyjnego, a wiele aplikacji umożliwia ich obsługę z dalsza, zwłaszcza MMS-y i odtwarzanie multimediów w przeglądarce.

Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonywania kodu w kontekście usługi mediaserver. Usługa mediaserver ma dostęp do strumieni audio i wideo, a także do uprawnień, do których aplikacje innych firm zwykle nie mają dostępu.

Ten problem jest związany z już zgłoszonym CVE-2015-3824 (ANDROID-20923261). Pierwotna aktualizacja zabezpieczeń nie była wystarczająca do rozwiązania wariantu tego pierwotnie zgłoszonego problemu.

CVE Błąd w linkach do AOSP Poziom Wersje, których dotyczy problem
CVE-2015-3864 ANDROID-23034759 Krytyczny 5.1 i starsze

Luki w zabezpieczeniach w jądrze umożliwiające podniesienie uprawnień

W przypadku jądra Linuksa luka w zarządzaniu gniazdami pinga może umożliwiać złośliwej aplikacji wykonywanie dowolnego kodu w kontekście jądra.

Ten problem został oceniony jako krytyczny ze względu na możliwość wykonania kodu w usłudze uprzywilejowanej, która może obejść zabezpieczenia urządzenia, co może prowadzić do trwałego naruszenia zabezpieczeń (np. wymagać ponownego flashowania partycji systemowej) na niektórych urządzeniach.

Ten problem został po raz pierwszy publicznie zidentyfikowany 1 maja 2015 r. Wykorzystanie tej luki zostało uwzględnione w licznych narzędziach do „rootowania”, których właściciel urządzenia może używać do modyfikowania oprogramowania układu.

CVE Błędy w linkach do AOSP Poziom Wersje, których dotyczy problem
CVE-2015-3636 ANDROID-20770158 Krytyczny 5.1 i starsze

Luka w zabezpieczeniach związana z podniesieniem uprawnień w Binder

Luka w zabezpieczeniach w Binderze umożliwiająca podniesienie uprawnień może pozwolić złośliwej aplikacji na wykonanie dowolnego kodu w kontekście procesu innej aplikacji.

Ten problem ma wysoki priorytet, ponieważ umożliwia złośliwej aplikacji uzyskanie uprawnień niedostępnych dla aplikacji innej firmy.

CVE Błędy w linkach do AOSP Poziom Wersje, których dotyczy problem
CVE-2015-3845 ANDROID-17312693 Wysoki 5.1 i starsze
CVE-2015-1528 ANDROID-19334482 [2] Wysoki 5.1 i starsze

Luki w zabezpieczeniach związane z podniesieniem uprawnień w magazynie kluczy

Podatność w Keystore umożliwiająca podniesienie uprawnień może pozwolić złośliwej aplikacji na wykonanie dowolnego kodu w kontekście usługi Keystore. Może to umożliwić nieautoryzowane użycie kluczy przechowywanych przez Keystore, w tym kluczy sprzętowych.

Ten problem ma wysoki priorytet, ponieważ może być wykorzystywany do uzyskiwania uprawnień niedostępnych dla aplikacji innych firm.

CVE Błędy w linkach do AOSP Poziom Wersje, których dotyczy problem
CVE-2015-3863 ANDROID-22802399 Wysoki 5.1 i starsze

Luki w zabezpieczeniach związane z podniesieniem uprawnień w regionie

W ramach tej podatności na podniesienie uprawnień w Regionie można utworzyć złośliwą wiadomość do usługi, która pozwoli złośliwej aplikacji wykonać dowolny kod w kontekście docelowej usługi.

Ten problem ma wysoki priorytet, ponieważ może być wykorzystywany do uzyskiwania uprawnień niedostępnych dla aplikacji innych firm.

CVE Błędy w linkach do AOSP Poziom Wersje, których dotyczy problem
CVE-2015-3849 ANDROID-20883006 [2] Wysoki 5.1 i starsze

Luki w zabezpieczeniach umożliwiające podniesienie uprawnień w SMS-ach umożliwiają pomijanie powiadomień

W Androidzie występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić złośliwej aplikacji wysłanie SMS-a, który pomija powiadomienie z ostrzeżeniem o wysokich kosztach.

Ten problem ma wysoki priorytet, ponieważ może być wykorzystywany do uzyskiwania uprawnień niedostępnych dla aplikacji innych firm.

CVE Błędy w linkach do AOSP Poziom Wersje, których dotyczy problem
CVE-2015-3858 ANDROID-22314646 Wysoki 5.1 i starsze

Luki w zabezpieczeniach umożliwiające podniesienie uprawnień na ekranie blokady

Użytkownik z złośliwymi zamiarami może obejść ekran blokady, powodując jego zawieszenie. Ten problem jest klasyfikowany jako luka tylko w Androidzie 5.0 i 5.1. W Androidzie 4.4 można spowodować, aby interfejs użytkownika uległ awarii na ekranie blokady w podobny sposób, ale nie można uzyskać dostępu do ekranu głównego. Aby przywrócić urządzenie do normalnego działania, trzeba je zrestartować.

Ten problem został oceniony jako średnio poważny, ponieważ może umożliwiać osobie z dostępem fizycznym do urządzenia instalowanie aplikacji innych firm bez zatwierdzenia uprawnień przez właściciela urządzenia. Może też umożliwić atakującemu wyświetlanie danych kontaktów, rejestrów połączeń, SMS-ów i innych danych, które są zwykle chronione uprawnieniem o poziomie „niebezpieczne”.

CVE Błędy w linkach do AOSP Poziom Wersje, których dotyczy problem
CVE-2015-3860 ANDROID-22214934 Umiarkowana 5.1 i 5.0

Atak typu DoS w usłudze Mediaserver

Usługa mediaserver zawierała podatność na odmowę usługi, która mogłaby umożliwić lokalnemu atakującemu tymczasowe zablokowanie dostępu do urządzenia.

Ten problem został oceniony jako problem o niskim stopniu ważności, ponieważ użytkownik może uruchomić ponownie urządzenie w trybie awaryjnym, aby usunąć złośliwą aplikację, która wykorzystuje ten problem. Możliwe jest też zdalnie przetworzenie szkodliwego pliku przez mediaserver za pomocą sieci lub MMS-a. W takim przypadku proces mediaserver ulega awarii, a urządzenie pozostaje sprawne.

CVE Błędy w linkach do AOSP Poziom Wersje, których dotyczy problem
CVE-2015-3861 ANDROID-21296336 Niska 5.1 i starsze