Buletin Keamanan Nexus - September 2015

Dipublikasikan 9 September 2015

Kami telah merilis update keamanan ke perangkat Nexus melalui update over-the-air (OTA) sebagai bagian dari proses Rilis Bulanan Android Security Bulletin (Build LMY48M). Update untuk perangkat Nexus dan patch kode sumber untuk masalah ini juga telah dirilis ke repositori sumber Project Open Source Android (AOSP). Masalah yang paling parah adalah kerentanan keamanan penting yang dapat memungkinkan eksekusi kode jarak jauh di perangkat yang terpengaruh.

Image firmware Nexus juga telah dirilis ke situs Developer Google. Build LMY48M atau yang lebih baru mengatasi masalah ini. Partner telah diberi tahu tentang masalah ini pada 13 Agustus 2015 atau sebelumnya.

Kami belum mendeteksi eksploitasi pelanggan terhadap masalah yang baru dilaporkan. Pengecualian adalah masalah yang ada (CVE-2015-3636). Lihat bagian Mitigasi untuk mengetahui detail tentang perlindungan platform keamanan Android, dan perlindungan layanan seperti SafetyNet, yang mengurangi kemungkinan kerentanan keamanan berhasil dieksploitasi di Android.

Perlu diperhatikan bahwa Update keamanan penting (CVE-2015-3864 dan CVE-2015-3686) mengatasi kerentanan yang telah diungkapkan. Tidak ada kerentanan keamanan Kritis yang baru diungkapkan dalam update ini. Penilaian keparahan berdasarkan efek yang mungkin akan ditimbulkan oleh eksploitasi kerentanan pada perangkat yang terpengaruh, dengan asumsi mitigasi platform dan layanan dinonaktifkan untuk tujuan pengembangan atau jika berhasil diabaikan.

Sebaiknya semua pelanggan menyetujui update ini ke perangkat mereka.

Mitigasi

Ini adalah ringkasan mitigasi yang disediakan oleh platform keamanan Android dan perlindungan layanan seperti SafetyNet. Kemampuan ini mengurangi kemungkinan kerentanan keamanan berhasil dieksploitasi di Android.

  • Eksploitasi untuk banyak masalah di Android menjadi lebih sulit karena peningkatan di platform Android versi yang lebih baru. Sebaiknya semua pengguna mengupdate ke versi Android terbaru jika memungkinkan.
  • Tim Android Security secara aktif memantau penyalahgunaan dengan Verify Apps dan SafetyNet yang akan memperingatkan tentang aplikasi yang berpotensi berbahaya yang akan diinstal. Alat rooting perangkat dilarang di Google Play. Untuk melindungi pengguna yang menginstal aplikasi dari luar Google Play, Verifikasi Aplikasi diaktifkan secara default dan akan memperingatkan pengguna tentang aplikasi rooting yang diketahui. Verify Apps mencoba mengidentifikasi dan memblokir penginstalan aplikasi berbahaya yang diketahui mengeksploitasi kerentanan eskalasi hak istimewa. Jika aplikasi tersebut telah diinstal, Verifikasi Aplikasi akan memberi tahu pengguna dan mencoba menghapus aplikasi tersebut.
  • Sesuai kebutuhan, aplikasi Google Hangouts dan Messenger tidak otomatis meneruskan media ke proses seperti mediaserver.

Ucapan Terima Kasih

Kami ingin mengucapkan terima kasih kepada para peneliti berikut atas kontribusi mereka:

  • Jordan Gruskovnjak dari Exodus Intelligence (@jgrusko): CVE-2015-3864
  • Michał Bednarski: CVE-2015-3845
  • Guang Gong dari Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
  • Brennan Lautner: CVE-2015-3863
  • jgor (@indiecom): CVE-2015-3860
  • Wish Wu dari Trend Micro Inc. (@wish_wu): CVE-2015-3861

Detail Kerentanan Keamanan

Di bagian di bawah, kami memberikan detail untuk setiap kerentanan keamanan dalam buletin ini. Terdapat deskripsi masalah, alasan tingkat keparahan, dan tabel dengan CVE, bug terkait, tingkat keparahan, versi yang terpengaruh, dan tanggal dilaporkan. Jika tersedia, kami telah menautkan perubahan AOSP yang mengatasi masalah tersebut ke ID bug. Jika beberapa perubahan terkait dengan satu bug, referensi AOSP tambahan akan ditautkan ke angka yang mengikuti ID bug.

Kerentanan Eksekusi Kode Jarak Jauh di Mediaserver

Selama pemrosesan file media dan data dari file yang dibuat secara khusus, kerentanan di mediaserver dapat memungkinkan penyerang menyebabkan kerusakan memori dan eksekusi kode jarak jauh saat proses mediaserver.

Fungsi yang terpengaruh disediakan sebagai bagian inti dari sistem operasi dan ada beberapa aplikasi yang memungkinkannya dijangkau dengan konten jarak jauh, terutama MMS dan pemutaran media browser.

Masalah ini dinilai sebagai Keparahan kritis karena kemungkinan eksekusi kode jarak jauh dalam konteks layanan mediaserver. Layanan mediaserver memiliki akses ke streaming audio dan video serta akses ke hak istimewa yang biasanya tidak dapat diakses oleh aplikasi pihak ketiga.

Masalah ini terkait dengan CVE-2015-3824 (ANDROID-20923261) yang telah dilaporkan. Update keamanan asli tidak memadai untuk mengatasi varian masalah yang awalnya dilaporkan ini.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang Terpengaruh
CVE-2015-3864 ANDROID-23034759 Kritis 5.1 dan yang lebih lama

Kerentanan Hak Istimewa Elevasi di Kernel

Kerentanan peningkatan hak istimewa dalam penanganan soket ping kernel Linux dapat memungkinkan aplikasi berbahaya mengeksekusi kode arbitrer dalam konteks kernel.

Masalah ini diberi rating sebagai tingkat keparahan Kritis karena kemungkinan eksekusi kode dalam layanan dengan hak istimewa yang dapat mengabaikan perlindungan perangkat, yang berpotensi menyebabkan kompromi permanen (yaitu, memerlukan flash ulang partisi sistem) di beberapa perangkat.

Masalah ini pertama kali diidentifikasi secara publik pada 01 Mei 2015. Eksploitasi kerentanan ini telah disertakan dalam sejumlah alat “rooting” yang dapat digunakan oleh pemilik perangkat untuk mengubah firmware di perangkat mereka.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang Terpengaruh
CVE-2015-3636 ANDROID-20770158 Kritis 5.1 dan yang lebih lama

Kerentanan Elevasi Hak Istimewa di Binder

Kerentanan peningkatan hak istimewa di Binder dapat memungkinkan aplikasi jahat menjalankan kode arbitrer dalam konteks proses aplikasi lain.

Masalah ini diberi rating Keparahan tinggi karena memungkinkan aplikasi berbahaya mendapatkan hak istimewa yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang Terpengaruh
CVE-2015-3845 ANDROID-17312693 Tinggi 5.1 dan yang lebih lama
CVE-2015-1528 ANDROID-19334482 [2] Tinggi 5.1 dan yang lebih lama

Kerentanan Elevasi Hak Istimewa di Keystore

Kerentanan peningkatan hak istimewa di Keystore dapat memungkinkan aplikasi jahat mengeksekusi kode arbitrer dalam konteks layanan keystore. Hal ini dapat memungkinkan penggunaan kunci yang tidak sah yang disimpan oleh Keystore, termasuk kunci yang didukung hardware.

Masalah ini diberi rating Keparahan tinggi karena dapat digunakan untuk mendapatkan hak istimewa yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang Terpengaruh
CVE-2015-3863 ANDROID-22802399 Tinggi 5.1 dan yang lebih lama

Kerentanan Elevasi Hak Istimewa di Region

Kerentanan elevasi hak istimewa di Region dapat, melalui pembuatan pesan berbahaya ke layanan, memungkinkan aplikasi berbahaya mengeksekusi kode arbitrer dalam konteks layanan target.

Masalah ini diberi rating Keparahan tinggi karena dapat digunakan untuk mendapatkan hak istimewa yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang Terpengaruh
CVE-2015-3849 ANDROID-20883006 [2] Tinggi 5.1 dan yang lebih lama

Kerentanan Elevasi Hak Istimewa di SMS memungkinkan pengabaian notifikasi

Kerentanan elevasi hak istimewa dalam cara Android memproses pesan SMS dapat memungkinkan aplikasi berbahaya mengirim pesan SMS yang mengabaikan notifikasi peringatan SMS tarif premium.

Masalah ini diberi rating Keparahan tinggi karena dapat digunakan untuk mendapatkan hak istimewa yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang Terpengaruh
CVE-2015-3858 ANDROID-22314646 Tinggi 5.1 dan yang lebih lama

Kerentanan Elevasi Hak Istimewa di Layar Kunci

Kerentanan elevasi hak istimewa di Lockscreen dapat memungkinkan pengguna jahat mengabaikan layar kunci dengan menyebabkannya error. Masalah ini diklasifikasikan sebagai kerentanan hanya di Android 5.0 dan 5.1. Meskipun dapat menyebabkan UI Sistem mengalami error dari layar kunci dengan cara yang serupa di 4.4, layar utama tidak dapat diakses dan perangkat harus dimulai ulang untuk memulihkan.

Masalah ini diberi rating sebagai Keparahan sedang karena berpotensi memungkinkan seseorang dengan akses fisik ke perangkat menginstal aplikasi pihak ketiga tanpa pemilik perangkat menyetujui izin. Hal ini juga dapat memungkinkan penyerang melihat data kontak, log telepon, pesan SMS, dan data lainnya yang biasanya dilindungi dengan izin tingkat "berbahaya".

CVE Bug pada link AOSP Tingkat Keparahan Versi yang Terpengaruh
CVE-2015-3860 ANDROID-22214934 Sedang 5.1 dan 5.0

Kerentanan Denial of Service di Mediaserver

Kerentanan denial of service di mediaserver dapat memungkinkan penyerang lokal memblokir akses ke perangkat yang terpengaruh untuk sementara.

Masalah ini diberi rating sebagai Tingkat keparahan rendah karena pengguna dapat memulai ulang ke mode aman untuk menghapus aplikasi berbahaya yang mengeksploitasi masalah ini. Anda juga dapat menyebabkan mediaserver memproses file berbahaya dari jarak jauh melalui web atau melalui MMS. Dalam hal ini, proses mediaserver akan error dan perangkat tetap dapat digunakan.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang Terpengaruh
CVE-2015-3861 ANDROID-21296336 Rendah 5.1 dan yang lebih lama