กระดานข่าวสารด้านความปลอดภัยของ Nexus - กันยายน 2015

เผยแพร่เมื่อ 9 กันยายน 2015

เราได้เผยแพร่การอัปเดตความปลอดภัยไปยังอุปกรณ์ Nexus ผ่านการอัปเดตแบบ Over-The-Air (OTA) ซึ่งเป็นส่วนหนึ่งของกระบวนการเผยแพร่ประกาศข่าวสารด้านความปลอดภัยของ Android รายเดือน (บิลด์ LMY48M) นอกจากนี้ เรายังได้เผยแพร่การอัปเดตสำหรับอุปกรณ์ Nexus และแพตช์ซอร์สโค้ดสำหรับปัญหาเหล่านี้ไปยังที่เก็บซอร์สโค้ดของโครงการโอเพนซอร์ส Android (AOSP) ด้วย ปัญหาที่รุนแรงที่สุดคือช่องโหว่ด้านความปลอดภัยระดับร้ายแรงที่อาจทำให้เกิดการเรียกใช้โค้ดจากระยะไกลในอุปกรณ์ที่ได้รับผลกระทบ

นอกจากนี้ เรายังได้เผยแพร่รูปภาพเฟิร์มแวร์ Nexus ไปยังเว็บไซต์ Google Developer ด้วย บิลด์ LMY48M หรือใหม่กว่าจะแก้ไขปัญหาเหล่านี้ พาร์ทเนอร์ได้รับแจ้งเกี่ยวกับปัญหาเหล่านี้เมื่อวันที่ 13 สิงหาคม 2015 หรือก่อนหน้านั้น

เราไม่พบการแสวงหาประโยชน์จากลูกค้าในปัญหาที่รายงานใหม่ ข้อยกเว้นคือปัญหาที่มีอยู่ (CVE-2015-3636) โปรดดูรายละเอียดเกี่ยวกับการป้องกันแพลตฟอร์มความปลอดภัยของ Android และการป้องกันบริการต่างๆ เช่น SafetyNet ในส่วนการลดความเสี่ยง ซึ่งจะช่วยลดโอกาสที่ช่องโหว่ด้านความปลอดภัยจะถูกใช้ประโยชน์บน Android ได้สำเร็จ

โปรดทราบว่าการอัปเดตความปลอดภัยที่สำคัญทั้ง 2 รายการ (CVE-2015-3864 และ CVE-2015-3686) จะแก้ไขช่องโหว่ที่เปิดเผยไปแล้ว ไม่มีช่องโหว่ด้านความปลอดภัยที่ร้ายแรงซึ่งเปิดเผยใหม่ในการอัปเดตนี้ การประเมินความรุนแรงจะอิงตามผลกระทบที่การใช้ประโยชน์จากช่องโหว่อาจมีต่ออุปกรณ์ที่ได้รับผลกระทบ โดยสมมติว่าการลดความเสี่ยงของแพลตฟอร์มและบริการถูกปิดใช้เพื่อวัตถุประสงค์ในการพัฒนาหรือหากข้ามได้สำเร็จ

เราขอแนะนำให้ลูกค้าทุกคนยอมรับการอัปเดตเหล่านี้ในอุปกรณ์ของตน

การผ่อนปรนชั่วคราว

นี่คือสรุปการลดความเสี่ยงที่แพลตฟอร์มความปลอดภัยของ Android และการป้องกันของบริการต่างๆ เช่น SafetyNet มีให้ ความสามารถเหล่านี้ช่วยลดโอกาสที่ช่องโหว่ด้านความปลอดภัยจะถูกใช้ประโยชน์ได้สำเร็จใน Android

  • การใช้ประโยชน์จากปัญหาหลายอย่างใน Android ทำได้ยากขึ้นเนื่องจากการปรับปรุงในแพลตฟอร์ม Android เวอร์ชันใหม่ๆ เราขอแนะนำให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดหากเป็นไปได้
  • ทีมรักษาความปลอดภัยของ Android กำลังตรวจสอบการละเมิดอย่างต่อเนื่องด้วยฟีเจอร์ยืนยันแอปและ SafetyNet ซึ่งจะเตือนเกี่ยวกับแอปพลิเคชันที่อาจเป็นอันตรายซึ่งกำลังจะติดตั้ง Google Play ไม่อนุญาตให้มีเครื่องมือรูทอุปกรณ์ เพื่อปกป้องผู้ใช้ที่ติดตั้งแอปพลิเคชันจากภายนอก Google Play ระบบจะเปิดใช้ฟีเจอร์ตรวจสอบแอปโดยค่าเริ่มต้น และจะเตือนผู้ใช้เกี่ยวกับแอปพลิเคชันการรูทที่รู้จัก Verify Apps จะพยายามระบุและบล็อกการติดตั้งแอปพลิเคชันที่เป็นอันตรายซึ่งเป็นที่รู้จักซึ่งใช้ประโยชน์จากช่องโหว่ในการโจมตีเพื่อยกระดับสิทธิ์ หากมีการติดตั้งแอปพลิเคชันดังกล่าวแล้ว ฟีเจอร์ยืนยันแอปจะแจ้งให้ผู้ใช้ทราบและพยายามนำแอปพลิเคชันดังกล่าวออก
  • แอปพลิเคชัน Google Hangouts และ Messenger จะไม่ส่งสื่อไปยังกระบวนการต่างๆ เช่น mediaserver โดยอัตโนมัติ ตามความเหมาะสม

การยอมรับ

เราขอขอบคุณนักวิจัยต่อไปนี้สำหรับการมีส่วนร่วม

  • Jordan Gruskovnjak จาก Exodus Intelligence (@jgrusko): CVE-2015-3864
  • Michał Bednarski: CVE-2015-3845
  • Guang Gong จาก Qihoo 360 Technology Co. Ltd (@oldfresher): CVE-2015-1528, CVE-2015-3849
  • Brennan Lautner: CVE-2015-3863
  • jgor (@indiecom): CVE-2015-3860
  • Wish Wu จาก Trend Micro Inc. (@wish_wu): CVE-2015-3861
  • Eric Dalci และ Yi Zhang จาก Amazon Device Security: CVE-2015-3858

รายละเอียดช่องโหว่ด้านความปลอดภัย

ในส่วนด้านล่าง เราจะให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละรายการในกระดานข่าวนี้ โดยมีคำอธิบายปัญหา เหตุผลด้านความรุนแรง และตารางที่แสดง CVE, ข้อบกพร่องที่เกี่ยวข้อง, ความรุนแรง, เวอร์ชันที่ได้รับผลกระทบ และวันที่รายงาน เราได้ลิงก์การเปลี่ยนแปลง AOSP ที่แก้ไขปัญหาไปยังรหัสข้อบกพร่องแล้ว (หากมี) เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับข้อบกพร่องเดียว ข้อมูลอ้างอิง AOSP เพิ่มเติมจะลิงก์กับตัวเลขที่ตามหลังรหัสข้อบกพร่อง

ช่องโหว่ในการเรียกใช้โค้ดจากระยะไกลใน Mediaserver

ในระหว่างการประมวลผลไฟล์สื่อและข้อมูลของไฟล์ที่สร้างขึ้นเป็นพิเศษ ช่องโหว่ใน mediaserver อาจทำให้ผู้โจมตีทำให้หน่วยความจำเสียหายและเรียกใช้โค้ดจากระยะไกลในฐานะกระบวนการ mediaserver ได้

ฟังก์ชันการทำงานที่ได้รับผลกระทบเป็นส่วนหลักของระบบปฏิบัติการ และมีแอปพลิเคชันหลายรายการที่อนุญาตให้เข้าถึงฟังก์ชันดังกล่าวด้วยเนื้อหาระยะไกล โดยเฉพาะอย่างยิ่ง MMS และการเล่นสื่อในเบราว์เซอร์

ปัญหานี้ได้รับการจัดระดับความรุนแรงเป็นระดับวิกฤตเนื่องจากมีความเป็นไปได้ที่จะมีการเรียกใช้โค้ดจากระยะไกลภายในบริบทของบริการเซิร์ฟเวอร์สื่อ บริการ mediaserver มีสิทธิ์เข้าถึงสตรีมเสียงและวิดีโอ รวมถึงสิทธิ์ที่แอปของบุคคลที่สามเข้าถึงไม่ได้ตามปกติ

ปัญหานี้เกี่ยวข้องกับ CVE-2015-3824 (ANDROID-20923261) ที่รายงานไปแล้ว การอัปเดตความปลอดภัยเดิมไม่เพียงพอที่จะแก้ไขปัญหาที่รายงานในตอนแรกซึ่งมีลักษณะคล้ายกัน

CVE ข้อบกพร่องเกี่ยวกับลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3864 ANDROID-23034759 วิกฤต 5.1 และต่ำกว่า

ช่องโหว่ในการยกระดับสิทธิ์ในเคอร์เนล

ช่องโหว่ของการยกระดับสิทธิ์ในการจัดการซ็อกเก็ต ping ของเคอร์เนล Linux อาจทำให้แอปพลิเคชันที่เป็นอันตรายเรียกใช้โค้ดที่กำหนดเองในบริบทของเคอร์เนลได้

ปัญหานี้ได้รับการจัดระดับความรุนแรงเป็นระดับวิกฤตเนื่องจากมีความเป็นไปได้ที่จะมีการเรียกใช้โค้ดในบริการที่มีสิทธิ์ซึ่งสามารถข้ามการปกป้องอุปกรณ์ได้ ซึ่งอาจนำไปสู่การบุกรุกอย่างถาวร (เช่น ต้องแฟลชพาร์ติชันระบบอีกครั้ง) ในอุปกรณ์บางเครื่อง

ปัญหานี้ได้รับการระบุต่อสาธารณะเป็นครั้งแรกเมื่อวันที่ 1 พฤษภาคม 2015 การใช้ประโยชน์จากช่องโหว่นี้รวมอยู่ในเครื่องมือ "การรูท" จำนวนมากที่เจ้าของอุปกรณ์อาจใช้เพื่อแก้ไขเฟิร์มแวร์ในอุปกรณ์ของตน

CVE ข้อบกพร่องเกี่ยวกับลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3636 ANDROID-20770158 วิกฤต 5.1 และต่ำกว่า

ช่องโหว่ในการยกระดับสิทธิ์ใน Binder

ช่องโหว่ของการยกระดับสิทธิ์ใน Binder อาจทำให้แอปพลิเคชันที่เป็นอันตรายเรียกใช้โค้ดที่กำหนดเองภายในบริบทของกระบวนการของแอปอื่นได้

ปัญหานี้ได้รับการจัดระดับความรุนแรงเป็นระดับสูงเนื่องจากช่วยให้แอปพลิเคชันที่เป็นอันตรายได้รับสิทธิ์ที่แอปพลิเคชันของบุคคลที่สามเข้าถึงไม่ได้

CVE ข้อบกพร่องเกี่ยวกับลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3845 ANDROID-17312693 สูง 5.1 และต่ำกว่า
CVE-2015-1528 ANDROID-19334482 [2] สูง 5.1 และต่ำกว่า

ช่องโหว่ของการยกระดับสิทธิ์ใน Keystore

ช่องโหว่ในการยกระดับสิทธิ์ใน Keystore อาจทำให้แอปพลิเคชันที่เป็นอันตรายเรียกใช้โค้ดที่กำหนดเองภายในบริบทของบริการ Keystore ได้ ซึ่งอาจทำให้มีการใช้คีย์ที่ Keystore จัดเก็บไว้โดยไม่ได้รับอนุญาต รวมถึงคีย์อิงฮาร์ดแวร์

ปัญหานี้ได้รับการจัดระดับความรุนแรงเป็น "สูง" เนื่องจากอาจใช้เพื่อรับสิทธิ์ที่แอปพลิเคชันของบุคคลที่สามเข้าถึงไม่ได้

CVE ข้อบกพร่องเกี่ยวกับลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3863 ANDROID-22802399 สูง 5.1 และต่ำกว่า

ช่องโหว่ด้านการยกระดับสิทธิ์ในภูมิภาค

ช่องโหว่ของการยกระดับสิทธิ์ใน Region อาจทำให้แอปพลิเคชันที่เป็นอันตรายเรียกใช้โค้ดที่กำหนดเองภายในบริบทของบริการเป้าหมายได้ผ่านการสร้างข้อความที่เป็นอันตรายไปยังบริการ

ปัญหานี้ได้รับการจัดอันดับเป็นความรุนแรงระดับสูงเนื่องจากสามารถใช้เพื่อรับสิทธิ์ที่แอปพลิเคชันของบุคคลที่สามเข้าถึงไม่ได้

CVE ข้อบกพร่องเกี่ยวกับลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3849 ANDROID-20883006 [2] สูง 5.1 และต่ำกว่า

ช่องโหว่ของการยกระดับสิทธิ์ใน SMS ทำให้สามารถข้ามการแจ้งเตือนได้

ช่องโหว่ของการยกระดับสิทธิ์ในวิธีที่ Android ประมวลผลข้อความ SMS อาจทำให้แอปพลิเคชันที่เป็นอันตรายส่งข้อความ SMS ที่ข้ามการแจ้งเตือน SMS ที่มีอัตราค่าบริการพรีเมียมได้

ปัญหานี้ได้รับการจัดระดับความรุนแรงเป็น "สูง" เนื่องจากอาจใช้เพื่อรับสิทธิ์ที่แอปพลิเคชันของบุคคลที่สามเข้าถึงไม่ได้

CVE ข้อบกพร่องเกี่ยวกับลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3858 ANDROID-22314646 สูง 5.1 และต่ำกว่า

ช่องโหว่ในการยกระดับสิทธิ์ในหน้าจอล็อก

ช่องโหว่ในการยกระดับสิทธิ์ในหน้าจอล็อกอาจทำให้ผู้ใช้ที่เป็นอันตรายสามารถข้ามหน้าจอล็อกได้โดยทำให้หน้าจอล็อกขัดข้อง ปัญหานี้จัดเป็นช่องโหว่เฉพาะใน Android 5.0 และ 5.1 เท่านั้น แม้ว่าจะเป็นไปได้ที่จะทำให้ System UI ขัดข้องจากหน้าจอล็อกในลักษณะที่คล้ายกันในเวอร์ชัน 4.4 แต่จะเข้าถึงหน้าจอหลักไม่ได้และต้องรีบูตอุปกรณ์เพื่อกู้คืน

ปัญหานี้ได้รับการจัดระดับความรุนแรงเป็นปานกลางเนื่องจากอาจทำให้บุคคลที่มีสิทธิ์เข้าถึงอุปกรณ์ทางกายภาพสามารถติดตั้งแอปของบุคคลที่สามได้โดยไม่ต้องให้เจ้าของอุปกรณ์อนุมัติสิทธิ์ นอกจากนี้ยังอาจทำให้ผู้โจมตีดูข้อมูลรายชื่อติดต่อ บันทึกการโทร ข้อความ SMS และข้อมูลอื่นๆ ที่ปกติแล้วได้รับการปกป้องด้วยสิทธิ์ระดับ "อันตราย" ได้ด้วย

CVE ข้อบกพร่องเกี่ยวกับลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3860 ANDROID-22214934 ปานกลาง 5.1 และ 5.0

ช่องโหว่ของการปฏิเสธการให้บริการใน Mediaserver

ช่องโหว่ของการปฏิเสธการให้บริการในเซิร์ฟเวอร์สื่ออาจทำให้ผู้โจมตีในเครื่องบล็อกการเข้าถึงอุปกรณ์ที่ได้รับผลกระทบชั่วคราวได้

ปัญหานี้ได้รับการจัดระดับความรุนแรงเป็นระดับต่ำ เนื่องจากผู้ใช้สามารถรีบูตเข้าสู่โหมดปลอดภัยเพื่อนำแอปพลิเคชันที่เป็นอันตรายซึ่งใช้ประโยชน์จากปัญหานี้ออกได้ นอกจากนี้ยังอาจทำให้เซิร์ฟเวอร์สื่อประมวลผลไฟล์ที่เป็นอันตรายจากระยะไกลผ่านเว็บหรือผ่าน MMS ได้ด้วย ซึ่งในกรณีนี้ กระบวนการของเซิร์ฟเวอร์สื่อจะขัดข้องและอุปกรณ์จะยังคงใช้งานได้

CVE ข้อบกพร่องเกี่ยวกับลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ
CVE-2015-3861 ANDROID-21296336 ต่ำ 5.1 และต่ำกว่า