Bollettino sulla sicurezza di Nexus - settembre 2015

Pubblicato il 9 settembre 2015

Abbiamo rilasciato un aggiornamento di sicurezza per i dispositivi Nexus tramite un aggiornamento over-the-air (OTA) come parte del nostro processo di rilascio mensile del bollettino sulla sicurezza di Android (Build LMY48M). Gli aggiornamenti per i dispositivi Nexus e le patch del codice sorgente per questi problemi sono stati rilasciati anche nel repository dei sorgenti Android Open Source Project (AOSP). Il più grave di questi problemi è una vulnerabilità critica della sicurezza che potrebbe consentire l'esecuzione di codice in modalità remota su un dispositivo interessato.

Le immagini del firmware del Nexus sono state rilasciate anche sul sito degli sviluppatori di Google . Le build LMY48M o successive risolvono questi problemi. I partner sono stati informati di questi problemi il 13 agosto 2015 o prima.

Non abbiamo rilevato lo sfruttamento da parte dei clienti dei problemi appena segnalati. L'eccezione è il problema esistente (CVE-2015-3636). Fare riferimento alla sezione Mitigazioni per dettagli sulle protezioni della piattaforma di sicurezza Android e sulle protezioni dei servizi come SafetyNet, che riducono la probabilità che le vulnerabilità della sicurezza possano essere sfruttate con successo su Android.

Tieni presente che entrambi gli aggiornamenti critici per la sicurezza (CVE-2015-3864 e CVE-2015-3686) risolvono le vulnerabilità già divulgate. In questo aggiornamento non sono presenti vulnerabilità critiche della sicurezza recentemente divulgate. La valutazione della gravità si basa sull'effetto che lo sfruttamento della vulnerabilità potrebbe avere su un dispositivo interessato, presupponendo che le mitigazioni della piattaforma e del servizio siano disabilitate per scopi di sviluppo o se aggirate con successo.

Incoraggiamo tutti i clienti ad accettare questi aggiornamenti sui propri dispositivi.

Mitigazioni

Questo è un riepilogo delle mitigazioni fornite dalla piattaforma di sicurezza Android e dalle protezioni dei servizi come SafetyNet. Queste funzionalità riducono la probabilità che le vulnerabilità della sicurezza possano essere sfruttate con successo su Android.

• Lo sfruttamento di molti problemi su Android è reso più difficile dai miglioramenti apportati alle versioni più recenti della piattaforma Android. Incoraggiamo tutti gli utenti ad aggiornare all'ultima versione di Android, ove possibile.
• Il team di sicurezza Android sta monitorando attivamente eventuali abusi con Verify Apps e SafetyNet che avviseranno delle applicazioni potenzialmente dannose che stanno per essere installate. Gli strumenti di rooting del dispositivo sono vietati in Google Play. Per proteggere gli utenti che installano applicazioni dall'esterno di Google Play, Verifica app è abilitato per impostazione predefinita e avviserà gli utenti delle applicazioni di rooting note. Verify Apps tenta di identificare e bloccare l'installazione di applicazioni dannose note che sfruttano una vulnerabilità di escalation dei privilegi. Se tale applicazione è già stata installata, Verify Apps avviserà l'utente e tenterà di rimuovere tali applicazioni.
• A seconda dei casi, le applicazioni Google Hangouts e Messenger non trasmettono automaticamente i contenuti multimediali a processi come mediaserver.

Ringraziamenti

Desideriamo ringraziare questi ricercatori per il loro contributo:

• Jordan Gruskovnjak di Exodus Intelligence (@jgrusko): CVE-2015-3864
• Michał Bednarski: CVE-2015-3845
• Guang Gong di Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
• Brennan Lautner: CVE-2015-3863
• jgor (@indiecom): CVE-2015-3860
• Wish Wu di Trend Micro Inc. (@wish_wu): CVE-2015-3861

Dettagli sulla vulnerabilità della sicurezza

Nelle sezioni seguenti forniamo dettagli per ciascuna delle vulnerabilità della sicurezza presenti in questo bollettino. È presente una descrizione del problema, una motivazione relativa alla gravità e una tabella con il CVE, il bug associato, la gravità, le versioni interessate e la data segnalata. Ove disponibile, abbiamo collegato la modifica AOSP che risolveva il problema all'ID del bug. Quando più modifiche riguardano un singolo bug, ulteriori riferimenti AOSP sono collegati a numeri che seguono l'ID del bug.

Vulnerabilità legata all'esecuzione di codice in modalità remota nel Mediaserver

Durante l'elaborazione di file multimediali e dati di un file appositamente predisposto, le vulnerabilità nel mediaserver potrebbero consentire a un utente malintenzionato di causare il danneggiamento della memoria e l'esecuzione di codice in modalità remota come processo del mediaserver.

La funzionalità interessata viene fornita come parte fondamentale del sistema operativo ed esistono diverse applicazioni che consentono di raggiungerla con contenuti remoti, in particolare MMS e riproduzione di contenuti multimediali tramite browser.

Questo problema è classificato come grave a causa della possibilità di esecuzione di codice remoto nel contesto del servizio mediaserver. Il servizio mediaserver ha accesso a flussi audio e video, nonché accesso a privilegi a cui normalmente le app di terze parti non possono accedere.

Questo problema è correlato al già segnalato CVE-2015-3824 (ANDROID-20923261). L'aggiornamento per la sicurezza originale non era sufficiente per risolvere una variante del problema segnalato originariamente.

Vulnerabilità dei privilegi di elevazione nel kernel

Una vulnerabilità legata all'aumento dei privilegi nella gestione dei socket ping da parte del kernel Linux potrebbe consentire a un'applicazione dannosa di eseguire codice arbitrario nel contesto del kernel.

Questo problema è classificato come grave a causa della possibilità di esecuzione di codice in un servizio privilegiato che può aggirare le protezioni del dispositivo, portando potenzialmente a una compromissione permanente (ad esempio, richiedendo il re-flashing della partizione di sistema) su alcuni dispositivi.

Questo problema è stato identificato pubblicamente per la prima volta il 1° maggio 2015. Un exploit di questa vulnerabilità è stato incluso in una serie di strumenti di "rooting" che possono essere utilizzati dal proprietario del dispositivo per modificare il firmware sul proprio dispositivo.

Elevazione della vulnerabilità dei privilegi in Binder

Una vulnerabilità legata all'elevazione dei privilegi in Binder potrebbe consentire a un'applicazione dannosa di eseguire codice arbitrario nel contesto del processo di un'altra app.

Questo problema è classificato con gravità elevata perché consente a un'applicazione dannosa di ottenere privilegi non accessibili a un'applicazione di terze parti.

Elevazione della vulnerabilità dei privilegi nel Keystore

Una vulnerabilità che eleva i privilegi in Keystore potrebbe consentire a un'applicazione dannosa di eseguire codice arbitrario nel contesto del servizio keystore. Ciò potrebbe consentire l'uso non autorizzato delle chiavi archiviate da Keystore, comprese le chiavi supportate da hardware.

Questo problema è classificato come di gravità elevata perché può essere utilizzato per ottenere privilegi non accessibili a un'applicazione di terze parti.

Elevazione della vulnerabilità dei privilegi nella regione

Una vulnerabilità relativa all'elevazione dei privilegi nella regione potrebbe, attraverso la creazione di un messaggio dannoso per un servizio, consentire a un'applicazione dannosa di eseguire codice arbitrario nel contesto del servizio di destinazione.

Questo problema è classificato come di gravità elevata perché può essere utilizzato per ottenere privilegi non accessibili a un'applicazione di terze parti.

La vulnerabilità relativa all'elevazione dei privilegi negli SMS consente di ignorare le notifiche

Una vulnerabilità legata all'aumento dei privilegi nel modo in cui Android elabora i messaggi SMS potrebbe consentire a un'applicazione dannosa di inviare un messaggio SMS ignorando la notifica di avviso SMS a tariffa maggiorata.

Questo problema è classificato come di gravità elevata perché può essere utilizzato per ottenere privilegi non accessibili a un'applicazione di terze parti.

Vulnerabilità dell'elevazione dei privilegi nella schermata di blocco

Una vulnerabilità che aumenta i privilegi nella schermata di blocco potrebbe consentire a un utente malintenzionato di aggirare la schermata di blocco causandone l'arresto anomalo. Questo problema è classificato come vulnerabilità solo su Android 5.0 e 5.1. Sebbene sia possibile causare l'arresto anomalo dell'interfaccia utente del sistema dalla schermata di blocco in modo simile sulla versione 4.4, non è possibile accedere alla schermata iniziale e il dispositivo deve essere riavviato per il ripristino.

Questo problema è classificato con gravità moderata perché potenzialmente consente a qualcuno con accesso fisico a un dispositivo di installare app di terze parti senza che il proprietario del dispositivo approvi le autorizzazioni. Può anche consentire all'aggressore di visualizzare dati di contatto, registri telefonici, messaggi SMS e altri dati normalmente protetti con un'autorizzazione di livello "pericoloso".

Vulnerabilità alla negazione del servizio nel Mediaserver

Una vulnerabilità di tipo Denial of Service nel mediaserver potrebbe consentire a un utente malintenzionato locale di bloccare temporaneamente l'accesso a un dispositivo interessato.

Questo problema è classificato con gravità bassa perché un utente potrebbe riavviarsi in modalità provvisoria per rimuovere un'applicazione dannosa che sfrutta questo problema. È anche possibile fare in modo che il mediaserver elabori il file dannoso in remoto tramite il Web o tramite MMS, in tal caso il processo del mediaserver si blocca e il dispositivo rimane utilizzabile.