Biuletyn bezpieczeństwa Nexusa – wrzesień 2015 r.

Opublikowano 9 września 2015 r.

W ramach comiesięcznego procesu publikowania Biuletynu bezpieczeństwa w Androidzie (kompilacja LMY48M) udostępniliśmy bezprzewodową aktualizację zabezpieczeń na urządzenia Nexus w trybie OTA (over-the-air). Aktualizacje dla urządzeń Nexus i poprawki kodu źródłowego dotyczące tych problemów zostały też opublikowane w repozytorium kodu źródłowego Projektu Android Open Source (AOSP). Najpoważniejszy z tych problemów to krytyczna luka w zabezpieczeniach, która może umożliwić zdalne wykonanie kodu na urządzeniu, na którym występuje.

Obrazy oprogramowania układowego Nexusa zostały też udostępnione na stronie Google Developers. Te problemy zostały rozwiązane w kompilacjach LMY48M i nowszych. Partnerzy zostali powiadomieni o tych problemach 13 sierpnia 2015 r. lub wcześniej.

Nie wykryliśmy, aby klienci wykorzystywali nowo zgłoszone problemy. Wyjątkiem jest istniejący problem (CVE-2015-3636). W sekcji Zastosowanie środków zaradczych znajdziesz szczegółowe informacje o zabezpieczeniach platformy Android i usługach takich jak SafetyNet, które zmniejszają prawdopodobieństwo wykorzystania luk w zabezpieczeniach Androida.

Pamiętaj, że obie krytyczne aktualizacje zabezpieczeń (CVE-2015-3864 i CVE-2015-3686) dotyczą luk, które zostały już ujawnione. W tej aktualizacji nie ma żadnych nowo ujawnionych krytycznych luk w zabezpieczeniach. Ocena ważności jest oparta na potencjalnym skutku wykorzystania luki w zabezpieczeniach na urządzeniu, którego dotyczy problem, przy założeniu, że środki zapobiegawcze na platformie i w usłudze są wyłączone na potrzeby programistyczne lub zostały skutecznie pominięte.

Zachęcamy wszystkich klientów do zaakceptowania tych aktualizacji na swoich urządzeniach.

Środki ograniczające ryzyko

Oto podsumowanie środków zaradczych zapewnianych przez platformę zabezpieczeń Androida i usługi ochrony, takie jak SafetyNet. Te funkcje zmniejszają prawdopodobieństwo wykorzystania luk w zabezpieczeniach na Androidzie.

  • Wykorzystanie wielu luk w zabezpieczeniach Androida jest utrudnione dzięki ulepszeniom wprowadzonym w nowszych wersjach platformy Androida. Zachęcamy wszystkich użytkowników do aktualizacji do najnowszej wersji Androida, jeśli jest to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje nadużycia za pomocą funkcji weryfikacji aplikacji i SafetyNet, które ostrzegają o potencjalnie szkodliwych aplikacjach, które mają zostać zainstalowane. Narzędzia do rootowania urządzeń są zabronione w Google Play. Aby chronić użytkowników, którzy instalują aplikacje spoza Google Play, funkcja weryfikacji aplikacji jest domyślnie włączona i ostrzega użytkowników o znanych aplikacjach do rootowania. Weryfikacja aplikacji próbuje zidentyfikować i zablokować instalację znanych szkodliwych aplikacji, które wykorzystują lukę w zabezpieczeniach związaną z eskalacją uprawnień. Jeśli taka aplikacja została już zainstalowana, funkcja Weryfikuj aplikacje powiadomi użytkownika i spróbuje usunąć wszystkie takie aplikacje.
  • W odpowiednich przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak mediaserver.

Podziękowania

Dziękujemy tym badaczom za ich wkład:

  • Jordan Gruskovnjak z Exodus Intelligence (@jgrusko): CVE-2015-3864
  • Michał Bednarski: CVE-2015-3845
  • Guang Gong z firmy Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
  • Brennan Lautner: CVE-2015-3863
  • jgor (@indiecom): CVE-2015-3860
  • Wish Wu z firmy Trend Micro Inc. (@wish_wu): CVE-2015-3861
  • Eric Dalci i Yi Zhang z Amazon Device Security: CVE-2015-3858

Szczegóły luki w zabezpieczeniach

W sekcjach poniżej znajdziesz szczegółowe informacje o poszczególnych lukach w zabezpieczeniach opisanych w tym biuletynie. Podany jest opis problemu, uzasadnienie poziomu ważności i tabela z identyfikatorem CVE, powiązany błąd, poziom ważności, wersje, których dotyczy problem, i data zgłoszenia. W przypadku dostępności linkujemy zmianę w AOSP, która rozwiązała problem, z identyfikatorem błędu. Jeśli kilka zmian dotyczy jednego błędu, dodatkowe odwołania do AOSP są powiązane z numerami następującymi po identyfikatorze błędu.

Luka w zabezpieczeniach Mediaserver umożliwiająca zdalne wykonanie kodu

Podczas przetwarzania pliku multimedialnego i danych specjalnie spreparowanego pliku luki w zabezpieczeniach serwera multimediów mogą umożliwić hakerowi uszkodzenie pamięci i zdalne wykonanie kodu w ramach procesu serwera multimediów.

Funkcja, której dotyczy problem, jest podstawową częścią systemu operacyjnego i istnieje wiele aplikacji, które umożliwiają dostęp do niej za pomocą treści zdalnych, zwłaszcza MMS-ów i odtwarzania multimediów w przeglądarce.

Problem ma krytyczny poziom ważności, ponieważ umożliwia zdalne wykonywanie kodu w kontekście usługi mediaserver. Usługa mediaserver ma dostęp do strumieni audio i wideo oraz uprawnień, które zwykle nie są dostępne dla aplikacji innych firm.

Ten problem jest związany ze zgłoszonym już CVE-2015-3824 (ANDROID-20923261). Pierwotna aktualizacja zabezpieczeń nie wystarczyła do rozwiązania problemu z wariantem pierwotnie zgłoszonego problemu.

CVE Błąd z linkami AOSP Poziom ważności Wersje, których dotyczy problem
CVE-2015-3864 ANDROID-23034759 Krytyczny 5.1 i starsze

Luka w zabezpieczeniach jądra umożliwiająca podniesienie uprawnień

Luka w obsłudze gniazd ping przez jądro Linuksa umożliwiająca rozszerzenie uprawnień może pozwolić złośliwej aplikacji na wykonanie dowolnego kodu w kontekście jądra.

Problem został oceniony jako krytyczny ze względu na możliwość wykonania kodu w usłudze uprzywilejowanej, co może ominąć zabezpieczenia urządzenia i potencjalnie doprowadzić do trwałego naruszenia bezpieczeństwa (tj. wymagającego ponownego sflashowania partycji systemowej) na niektórych urządzeniach.

Ten problem został po raz pierwszy publicznie zidentyfikowany 1 maja 2015 r. Exploit wykorzystujący tę lukę został uwzględniony w wielu narzędziach do „rootowania”, których właściciel urządzenia może użyć do zmodyfikowania oprogramowania układowego na swoim urządzeniu.

CVE Błędy z linkami do AOSP Poziom ważności Wersje, których dotyczy problem
CVE-2015-3636 ANDROID-20770158 Krytyczny 5.1 i starsze

Luka w zabezpieczeniach Bindera umożliwiająca rozszerzenie uprawnień

Luka w zabezpieczeniach Bindera umożliwiająca rozszerzenie uprawnień może pozwolić złośliwej aplikacji na wykonanie dowolnego kodu w kontekście procesu innej aplikacji.

Problem został oceniony jako poważny, ponieważ umożliwia szkodliwej aplikacji uzyskanie uprawnień niedostępnych dla aplikacji innych firm.

CVE Błędy z linkami do AOSP Poziom ważności Wersje, których dotyczy problem
CVE-2015-3845 ANDROID-17312693 Wysoki 5.1 i starsze
CVE-2015-1528 ANDROID-19334482 [2] Wysoki 5.1 i starsze

Luka w zabezpieczeniach umożliwiająca rozszerzenie uprawnień w magazynie kluczy

Luka w zabezpieczeniach Keystore umożliwiająca rozszerzenie uprawnień może pozwolić złośliwej aplikacji na wykonanie dowolnego kodu w kontekście usługi Keystore. Może to umożliwić nieautoryzowane użycie kluczy przechowywanych przez Keystore, w tym kluczy wspieranych sprzętowo.

Problem ma wysoki poziom ważności, ponieważ może zostać wykorzystany do uzyskania uprawnień niedostępnych dla aplikacji innych firm.

CVE Błędy z linkami do AOSP Poziom ważności Wersje, których dotyczy problem
CVE-2015-3863 ANDROID-22802399 Wysoki 5.1 i starsze

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w regionie

Luka w zabezpieczeniach Regionu umożliwiająca rozszerzenie uprawnień może, poprzez utworzenie szkodliwej wiadomości do usługi, pozwolić szkodliwej aplikacji na wykonanie dowolnego kodu w kontekście usługi docelowej.

Problem ma wysoki poziom ważności, ponieważ może zostać wykorzystany do uzyskania uprawnień niedostępnych dla aplikacji innych firm.

CVE Błędy z linkami do AOSP Poziom ważności Wersje, których dotyczy problem
CVE-2015-3849 ANDROID-20883006 [2] Wysoki 5.1 i starsze

Luka w zabezpieczeniach SMS-ów umożliwiająca podniesienie uprawnień i pominięcie powiadomień

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w sposób, w jaki Android przetwarza SMS-y, może pozwolić złośliwej aplikacji na wysłanie SMS-a, który omija powiadomienie z ostrzeżeniem o SMS-ie premium.

Problem ma wysoki poziom ważności, ponieważ może zostać wykorzystany do uzyskania uprawnień niedostępnych dla aplikacji innych firm.

CVE Błędy z linkami do AOSP Poziom ważności Wersje, których dotyczy problem
CVE-2015-3858 ANDROID-22314646 Wysoki 5.1 i starsze

Luka w zabezpieczeniach ekranu blokady umożliwiająca rozszerzenie uprawnień

Luka w zabezpieczeniach ekranu blokady umożliwiająca podniesienie uprawnień może pozwolić złośliwemu użytkownikowi na obejście ekranu blokady przez spowodowanie jego awarii. Ten problem jest klasyfikowany jako luka w zabezpieczeniach tylko na Androidzie 5.0 i 5.1. Chociaż w podobny sposób można spowodować awarię interfejsu systemu z poziomu ekranu blokady w systemie 4.4, nie można uzyskać dostępu do ekranu głównego, a urządzenie trzeba ponownie uruchomić, aby przywrócić jego działanie.

Problem został oceniony jako umiarkowanie poważny, ponieważ potencjalnie umożliwia osobie mającej fizyczny dostęp do urządzenia instalowanie aplikacji innych firm bez zgody właściciela urządzenia. Może też umożliwić atakującemu wyświetlanie danych kontaktowych, rejestrów połączeń, SMS-ów i innych danych, które zwykle są chronione uprawnieniami na poziomie „niebezpieczne”.

CVE Błędy z linkami do AOSP Poziom ważności Wersje, których dotyczy problem
CVE-2015-3860 ANDROID-22214934 Umiarkowana 5.1 i 5.0

Luka w zabezpieczeniach serwera multimediów umożliwiająca atak typu DoS

Luka w zabezpieczeniach serwera multimediów typu atak typu DoS może umożliwić lokalnemu atakującemu tymczasowe zablokowanie dostępu do urządzenia, którego dotyczy problem.

Problem ma niską wagę, ponieważ użytkownik może uruchomić urządzenie w trybie awaryjnym, aby usunąć szkodliwą aplikację, która wykorzystuje tę lukę. Możliwe jest też zdalne przetworzenie szkodliwego pliku przez mediaserver przez internet lub MMS. W takim przypadku proces mediaserver ulega awarii, ale urządzenie nadal działa.

CVE Błędy z linkami do AOSP Poziom ważności Wersje, których dotyczy problem
CVE-2015-3861 ANDROID-21296336 Niski 5.1 i starsze