Boletim de segurança do Nexus: setembro de 2015

Publicado em 9 de setembro de 2015

Lançamos uma atualização de segurança para dispositivos Nexus por uma atualização over-the-air (OTA) como parte do nosso processo de lançamento mensal do Boletim de segurança do Android (versão LMY48M). As atualizações para dispositivos Nexus e os patches de código-fonte para esses problemas também foram lançados no repositório de origem do Android Open Source Project (AOSP). O mais grave desses problemas é uma vulnerabilidade de segurança crítica que pode permitir a execução remota de código em um dispositivo afetado.

As imagens de firmware do Nexus também foram lançadas no Google Developers. As versões LMY48M ou mais recentes resolvem esses problemas. Os parceiros foram notificados sobre esses problemas em 13 de agosto de 2015 ou antes.

Não detectamos exploração dos problemas recém-relatados por parte dos clientes. A exceção é o problema atual (CVE-2015-3636). Consulte a seção Mitigações para saber mais sobre as proteções da plataforma de segurança do Android e as proteções de serviço,como o SafetyNet, que reduzem a probabilidade de que vulnerabilidades de segurança sejam exploradas no Android.

As duas atualizações de segurança críticas (CVE-2015-3864 e CVE-2015-3686) abordam vulnerabilidades já divulgadas. Não há novas vulnerabilidades de segurança críticas divulgadas nesta atualização. A avaliação de gravidade se baseia no efeito que a exploração da vulnerabilidade pode ter em um dispositivo afetado, supondo que as mitigações de plataforma e serviço estejam desativadas para fins de desenvolvimento ou sejam contornadas com sucesso.

Recomendamos que todos os clientes aceitem essas atualizações nos dispositivos.

Mitigações

Este é um resumo das mitigações fornecidas pela plataforma de segurança do Android e pelas proteções de serviço, como o SafetyNet. Esses recursos reduzem a probabilidade de que vulnerabilidades de segurança sejam exploradas com sucesso no Android.

  • As melhorias nas versões mais recentes da plataforma Android dificultam a exploração de muitos problemas. Recomendamos que todos os usuários atualizem para a versão mais recente do Android, se possível.
  • A equipe de segurança do Android está monitorando ativamente o abuso com o recurso Verificar Apps e o SafetyNet, que avisam sobre aplicativos potencialmente nocivos que estão prestes a ser instalados. Ferramentas de rooting de dispositivos são proibidas no Google Play. Para proteger os usuários que instalam aplicativos de fora do Google Play, o recurso Verificar Apps é ativado por padrão e avisa os usuários sobre aplicativos de rooting conhecidos. O recurso Verificar Apps tenta identificar e bloquear a instalação de aplicativos maliciosos conhecidos que exploram uma vulnerabilidade de escalonamento de privilégios. Se um aplicativo desse tipo já tiver sido instalado, o recurso Verificar apps vai notificar o usuário e tentar remover todos os aplicativos desse tipo.
  • Conforme apropriado, os aplicativos Google Hangouts e Messenger não transmitem mídia automaticamente para processos como o mediaserver.

Agradecimentos

Agradecemos a esses pesquisadores pelas contribuições:

  • Jordan Gruskovnjak, da Exodus Intelligence (@jgrusko): CVE-2015-3864
  • Michał Bednarski: CVE-2015-3845
  • Guang Gong da Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
  • Brennan Lautner: CVE-2015-3863
  • jgor (@indiecom): CVE-2015-3860
  • Wish Wu da Trend Micro Inc. (@wish_wu): CVE-2015-3861
  • Eric Dalci e Yi Zhang, da Amazon Device Security: CVE-2015-3858

Detalhes da vulnerabilidade de segurança

Nas seções abaixo, fornecemos detalhes sobre cada uma das vulnerabilidades de segurança neste boletim. Há uma descrição do problema, uma justificativa de gravidade e uma tabela com as vulnerabilidades e exposições comuns, o bug associado, a gravidade, as versões afetadas e a data de relato. Quando disponível, vinculamos a mudança do AOSP que resolveu o problema ao ID do bug. Quando várias mudanças estão relacionadas a um único bug, outras referências do AOSP são vinculadas a números que seguem o ID do bug.

Vulnerabilidade de execução remota de código no Mediaserver

Durante o processamento de dados e arquivos de mídia de um arquivo especialmente criado, vulnerabilidades no mediaserver podem permitir que um invasor cause corrupção de memória e execução remota de código como o processo do mediaserver.

A funcionalidade afetada é fornecida como parte central do sistema operacional, e há vários aplicativos que permitem que ela seja acessada com conteúdo remoto, principalmente MMS e reprodução de mídia no navegador.

Esse problema é classificado como de gravidade crítica devido à possibilidade de execução remota de código no contexto do serviço do mediaserver. O serviço de servidor de mídia tem acesso a streams de áudio e vídeo, além de privilégios que os apps de terceiros normalmente não têm.

Esse problema está relacionado à CVE-2015-3824 (ANDROID-20923261), que já foi relatada. A atualização de segurança original não foi suficiente para resolver uma variante desse problema relatado originalmente.

CVE Bug com links do AOSP Gravidade Versões afetadas
CVE-2015-3864 ANDROID-23034759 Crítico 5.1 e versões anteriores

Vulnerabilidade de elevação de privilégios no kernel

Uma vulnerabilidade de elevação de privilégio no processamento de soquetes de ping do kernel do Linux pode permitir que um aplicativo mal-intencionado execute código arbitrário no contexto do kernel.

Esse problema foi classificado como de gravidade crítica devido à possibilidade de execução de código em um serviço privilegiado que pode ignorar as proteções do dispositivo, o que pode levar ao comprometimento permanente (ou seja, exigir a atualização da partição do sistema) em alguns dispositivos.

Esse problema foi identificado publicamente pela primeira vez em 1º de maio de 2015. Uma exploração dessa vulnerabilidade foi incluída em várias ferramentas de "rooting" que podem ser usadas pelo proprietário do dispositivo para modificar o firmware.

CVE Bugs com links do AOSP Gravidade Versões afetadas
CVE-2015-3636 ANDROID-20770158 Crítico 5.1 e versões anteriores

Vulnerabilidade de elevação de privilégio no Binder

Uma vulnerabilidade de elevação de privilégio no Binder pode permitir que um aplicativo mal-intencionado execute código arbitrário no contexto do processo de outro app.

Esse problema foi classificado como de gravidade alta porque permite que um aplicativo mal-intencionado receba privilégios que não estão acessíveis a um aplicativo de terceiros.

CVE Bugs com links do AOSP Gravidade Versões afetadas
CVE-2015-3845 ANDROID-17312693 Alta 5.1 e versões anteriores
CVE-2015-1528 ANDROID-19334482 [2] Alta 5.1 e versões anteriores

Vulnerabilidade de elevação de privilégio no Keystore

Uma vulnerabilidade de elevação de privilégio no Keystore pode permitir que um aplicativo mal-intencionado execute código arbitrário no contexto do serviço de keystore. Isso pode permitir o uso não autorizado de chaves armazenadas pelo Keystore, incluindo chaves protegidas por hardware.

Esse problema foi classificado como de gravidade alta porque pode ser usado para receber privilégios não acessíveis a um aplicativo de terceiros.

CVE Bugs com links do AOSP Gravidade Versões afetadas
CVE-2015-3863 ANDROID-22802399 Alta 5.1 e versões anteriores

Vulnerabilidade de elevação de privilégio na região

Uma vulnerabilidade de elevação de privilégio na região pode, por meio da criação de uma mensagem maliciosa para um serviço, permitir que um aplicativo malicioso execute um código arbitrário no contexto do serviço de destino.

Esse problema foi classificado como de gravidade alta porque pode ser usado para receber privilégios não acessíveis a um aplicativo de terceiros.

CVE Bugs com links do AOSP Gravidade Versões afetadas
CVE-2015-3849 ANDROID-20883006 [2] Alta 5.1 e versões anteriores

Uma vulnerabilidade de elevação de privilégio no SMS permite que as notificações sejam ignoradas

Uma vulnerabilidade de elevação de privilégio na forma como o Android processa mensagens SMS pode permitir que um aplicativo mal-intencionado envie uma mensagem SMS que ignora a notificação de aviso de SMS com tarifa premium.

Esse problema foi classificado como de gravidade alta porque pode ser usado para receber privilégios não acessíveis a um aplicativo de terceiros.

CVE Bugs com links do AOSP Gravidade Versões afetadas
CVE-2015-3858 ANDROID-22314646 Alta 5.1 e versões anteriores

Vulnerabilidade de elevação de privilégio na tela de bloqueio

Uma vulnerabilidade de elevação de privilégio na tela de bloqueio pode permitir que um usuário mal-intencionado cause uma falha no sistema para ignorar a tela de bloqueio. Esse problema é classificado como uma vulnerabilidade apenas no Android 5.0 e 5.1. Embora seja possível fazer com que a IU do sistema falhe na tela de bloqueio de maneira semelhante no 4.4, a tela inicial não pode ser acessada, e o dispositivo precisa ser reinicializado para se recuperar.

Esse problema foi classificado como de gravidade moderada porque pode permitir que alguém com acesso físico a um dispositivo instale apps de terceiros sem que o proprietário do dispositivo aprove as permissões. Ele também pode permitir que o invasor acesse dados de contato, registros telefônicos, mensagens SMS e outros dados que normalmente são protegidos com uma permissão de nível "perigoso".

CVE Bugs com links do AOSP Gravidade Versões afetadas
CVE-2015-3860 ANDROID-22214934 Moderado 5.1 e 5.0

Vulnerabilidade de negação de serviço no Mediaserver

Uma vulnerabilidade de negação de serviço no mediaserver pode permitir que um invasor local bloqueie temporariamente o acesso a um dispositivo afetado.

Esse problema é classificado como de gravidade baixa porque um usuário pode reiniciar no modo de segurança para remover um aplicativo mal-intencionado que esteja explorando esse problema. Também é possível fazer com que o mediaserver processe o arquivo malicioso remotamente pela Web ou por MMS. Nesse caso, o processo do mediaserver falha, e o dispositivo continua utilizável.

CVE Bugs com links do AOSP Gravidade Versões afetadas
CVE-2015-3861 ANDROID-21296336 Baixo 5.1 e versões anteriores