Boletín de seguridad de Nexus: septiembre de 2015

Publicado el 9 de septiembre de 2015

Lanzamos una actualización de seguridad para dispositivos Nexus a través de una actualización inalámbrica (OTA) como parte de nuestro proceso de lanzamiento mensual del Boletín de seguridad de Android (compilación LMY48M). Las actualizaciones para dispositivos Nexus y los parches de código fuente para estos problemas también se lanzaron en el repositorio de código fuente del Proyecto de código abierto de Android (AOSP). El más grave de estos problemas es una vulnerabilidad de seguridad crítica que podría permitir la ejecución remota de código en un dispositivo afectado.

Las imágenes de firmware de Nexus también se lanzaron en el sitio de Google Developers. Las compilaciones LMY48M o posteriores abordan estos problemas. Los socios recibieron una notificación sobre estos problemas el 13 de agosto de 2015 o antes.

No detectamos que los clientes hayan aprovechado los problemas informados recientemente. La excepción es el problema existente (CVE-2015-3636). Consulta la sección Mitigaciones para obtener detalles sobre las protecciones de la plataforma de seguridad de Android y las protecciones de servicios,como SafetyNet, que reducen la probabilidad de que se puedan aprovechar las vulnerabilidades de seguridad en Android.

Ten en cuenta que ambas actualizaciones de seguridad críticas (CVE-2015-3864 y CVE-2015-3686) abordan vulnerabilidades ya divulgadas. No hay vulnerabilidades de seguridad críticas divulgadas recientemente en esta actualización. La evaluación de la gravedad se basa en el efecto que podría tener la explotación de la vulnerabilidad en un dispositivo afectado, suponiendo que las mitigaciones de la plataforma y el servicio estén inhabilitadas con fines de desarrollo o que se hayan omitido correctamente.

Recomendamos a todos los clientes que acepten estas actualizaciones en sus dispositivos.

Mitigaciones

Este es un resumen de las mitigaciones que proporcionan la plataforma de seguridad de Android y las protecciones de servicios, como SafetyNet. Estas capacidades reducen la probabilidad de que se puedan aprovechar con éxito las vulnerabilidades de seguridad en Android.

  • La explotación de muchos problemas en Android se dificulta debido a las mejoras en las versiones más recientes de la plataforma de Android. Recomendamos a todos los usuarios que actualicen a la versión más reciente de Android cuando sea posible.
  • El equipo de seguridad de Android supervisa de forma activa el abuso con Verificar apps y SafetyNet, que advertirán sobre las aplicaciones potencialmente dañinas que se instalarán. En Google Play, se prohíben las herramientas para rootear dispositivos. Para proteger a los usuarios que instalan aplicaciones desde fuera de Google Play, la función Verificar aplicaciones está habilitada de forma predeterminada y les advertirá a los usuarios sobre las aplicaciones de rooting conocidas. Verificar apps intenta identificar y bloquear la instalación de aplicaciones maliciosas conocidas que aprovechan una vulnerabilidad de elevación de privilegios. Si ya se instaló una aplicación de este tipo, Verificar apps notificará al usuario y tratará de quitarla.
  • Según corresponda, las aplicaciones de Google Hangouts y Messenger no pasan contenido multimedia automáticamente a procesos como mediaserver.

Agradecimientos

Queremos agradecer a estos investigadores por sus contribuciones:

  • Jordan Gruskovnjak de Exodus Intelligence (@jgrusko): CVE-2015-3864
  • Michał Bednarski: CVE-2015-3845
  • Guang Gong de Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
  • Brennan Lautner: CVE-2015-3863
  • jgor (@indiecom): CVE-2015-3860
  • Wish Wu de Trend Micro Inc. (@wish_wu): CVE-2015-3861
  • Eric Dalci y Yi Zhang, de Amazon Device Security: CVE-2015-3858

Detalles de la vulnerabilidad de seguridad

En las siguientes secciones, proporcionamos detalles sobre cada una de las vulnerabilidades de seguridad de este boletín. Además de una descripción del problema, se incluye una justificación de la gravedad y una tabla con el número de identificación CVE, el error asociado, la gravedad, las versiones afectadas y la fecha en que se informó. Cuando está disponible, vinculamos el cambio de AOSP que abordó el problema con el ID de error. Cuando varios cambios se relacionan con un solo error, las referencias adicionales de AOSP se vinculan a los números que siguen al ID del error.

Vulnerabilidad de ejecución remota de código en Mediaserver

Durante el procesamiento de datos y archivos multimedia de un archivo creado de forma especial, las vulnerabilidades en mediaserver podrían permitir que un atacante cause daños en la memoria y ejecute código de forma remota como el proceso de mediaserver.

La funcionalidad afectada se proporciona como una parte principal del sistema operativo, y hay varias aplicaciones que permiten que se acceda a ella con contenido remoto, en especial, MMS y la reproducción de contenido multimedia en el navegador.

Este problema se calificó como de gravedad crítica debido a la posibilidad de ejecución remota de código en el contexto del servicio de mediaserver. El servicio de mediaserver tiene acceso a transmisiones de audio y video, así como a privilegios a los que las apps de terceros no pueden acceder normalmente.

Este problema está relacionado con la vulnerabilidad CVE-2015-3824 (ANDROID-20923261), que ya se informó. La actualización de seguridad original no fue suficiente para abordar una variante de este problema informado originalmente.

CVE Error con vínculos del AOSP Gravedad Versiones afectadas
CVE-2015-3864 ANDROID-23034759 Crítico 5.1 y versiones anteriores

Vulnerabilidad de elevación de privilegios en el kernel

Una vulnerabilidad de elevación de privilegios en el manejo de sockets de ping del kernel de Linux podría permitir que una aplicación maliciosa ejecute código arbitrario en el contexto del kernel.

Este problema se calificó como de gravedad crítica debido a la posibilidad de ejecución de código en un servicio con privilegios que puede omitir las protecciones del dispositivo, lo que podría provocar un compromiso permanente (es decir, requerir que se vuelva a escribir la partición del sistema) en algunos dispositivos.

Este problema se identificó públicamente por primera vez el 1 de mayo de 2015. Se incluyó un exploit de esta vulnerabilidad en varias herramientas de “rooteo” que el propietario del dispositivo puede usar para modificar el firmware de su dispositivo.

CVE Errores con vínculos del AOSP Gravedad Versiones afectadas
CVE-2015-3636 ANDROID-20770158 Crítico 5.1 y versiones anteriores

Vulnerabilidad de elevación de privilegios en Binder

Una vulnerabilidad de elevación de privilegios en Binder podría permitir que una aplicación maliciosa ejecute código arbitrario en el contexto del proceso de otra app.

Este problema se considera de gravedad alta porque permite que una aplicación maliciosa obtenga privilegios a los que no puede acceder una aplicación de terceros.

CVE Errores con vínculos del AOSP Gravedad Versiones afectadas
CVE-2015-3845 ANDROID-17312693 Alta 5.1 y versiones anteriores
CVE-2015-1528 ANDROID-19334482 [2] Alta 5.1 y versiones anteriores

Vulnerabilidad de elevación de privilegios en Keystore

Una vulnerabilidad de elevación de privilegios en Keystore podría permitir que una aplicación maliciosa ejecute código arbitrario dentro del contexto del servicio de Keystore. Esto podría permitir el uso no autorizado de claves almacenadas por el almacén de claves, incluidas las claves guardadas en hardware.

Este problema se considera de gravedad alta porque se puede usar para obtener privilegios a los que no puede acceder una aplicación de terceros.

CVE Errores con vínculos del AOSP Gravedad Versiones afectadas
CVE-2015-3863 ANDROID-22802399 Alta 5.1 y versiones anteriores

Vulnerabilidad de elevación de privilegios en la región

Una vulnerabilidad de elevación de privilegios en Region podría, a través de la creación de un mensaje malicioso para un servicio, permitir que una aplicación maliciosa ejecute código arbitrario dentro del contexto del servicio de destino.

Este problema se considera de gravedad alta porque se puede usar para obtener privilegios a los que no puede acceder una aplicación de terceros.

CVE Errores con vínculos del AOSP Gravedad Versiones afectadas
CVE-2015-3849 ANDROID-20883006 [2] Alta 5.1 y versiones anteriores

La vulnerabilidad de elevación de privilegios en SMS permite omitir las notificaciones

Una vulnerabilidad de elevación de privilegios en la forma en que Android procesa los mensajes SMS podría permitir que una aplicación maliciosa envíe un mensaje SMS que omita la notificación de advertencia de SMS de tarifa premium.

Este problema se considera de gravedad alta porque se puede usar para obtener privilegios a los que no puede acceder una aplicación de terceros.

CVE Errores con vínculos del AOSP Gravedad Versiones afectadas
CVE-2015-3858 ANDROID-22314646 Alta 5.1 y versiones anteriores

Vulnerabilidad de elevación de privilegios en la pantalla de bloqueo

Una vulnerabilidad de elevación de privilegios en la pantalla de bloqueo podría permitir que un usuario malicioso la omita provocando una falla. Este problema se clasifica como una vulnerabilidad solo en Android 5.0 y 5.1. Si bien es posible provocar que la IU del sistema falle desde la pantalla de bloqueo de manera similar en la versión 4.4, no se puede acceder a la pantalla principal y se debe reiniciar el dispositivo para recuperarlo.

Este problema se considera de gravedad moderada porque podría permitir que alguien con acceso físico a un dispositivo instale apps de terceros sin que el propietario del dispositivo apruebe los permisos. También puede permitir que el atacante vea datos de contacto, registros telefónicos, mensajes SMS y otros datos que normalmente están protegidos con un permiso de nivel "peligroso".

CVE Errores con vínculos del AOSP Gravedad Versiones afectadas
CVE-2015-3860 ANDROID-22214934 Moderado 5.1 y 5.0

Vulnerabilidad de denegación del servicio en Mediaserver

Una vulnerabilidad de denegación del servicio en el servidor de contenido multimedia podría permitir que un atacante local bloquee temporalmente el acceso a un dispositivo afectado.

Este problema se califica como de gravedad baja porque un usuario podría reiniciar el dispositivo en modo seguro para quitar una aplicación maliciosa que esté aprovechando este problema. También es posible hacer que el servidor de contenido multimedia procese el archivo malicioso de forma remota a través de la Web o por MMS. En ese caso, el proceso del servidor de contenido multimedia falla y el dispositivo sigue funcionando.

CVE Errores con vínculos del AOSP Gravedad Versiones afectadas
CVE-2015-3861 ANDROID-21296336 Baja 5.1 y versiones anteriores