Nexus Güvenlik Bülteni - Ekim 2015

Koleksiyonlar ile düzeninizi koruyun İçeriği tercihlerinize göre kaydedin ve kategorilere ayırın.

Yayınlanma tarihi: 05 Ekim 2015 | Güncellenme tarihi: 28 Nisan 2016

Android Güvenlik Bülteni Aylık Yayınlama sürecimiz kapsamında, Nexus cihazlara kablosuz (OTA) güncelleme aracılığıyla bir güvenlik güncellemesi yayınladık. Nexus donanım yazılımı resimleri Google Developers sitesinde de yayınlandı. LMY48T veya sonraki sürümler (ör. LMY48W) ve 1 Ekim 2015 veya sonraki bir güvenlik yaması düzeyine sahip Android M, bu sorunları giderir. Güvenlik yaması düzeyini kontrol etmeyle ilgili talimatlar için Nexus dokümanlarına bakın.

İş ortakları bu sorunlar hakkında 10 Eylül 2015'te veya daha önce bilgilendirildi. Bu sorunlara yönelik kaynak kod düzeltmeleri Android Açık Kaynak Projesi (AOSP) deposunda yayınlandı.

Bu sorunlardan en ciddi olanı, medya dosyaları işlenirken e-posta, web tarayıcısı ve MMS gibi birden fazla yöntemle etkilenen cihazda uzaktan kod çalıştırmayı etkinleştirebilecek kritik bir güvenlik açığıdır. Önem değerlendirmesi, platform ve hizmet azaltmalarının geliştirme amacıyla devre dışı bırakıldığı veya başarılı bir şekilde atlandığı varsayılarak, güvenlik açığından yararlanmanın etkilenen bir cihaz üzerinde oluşturabileceği etkiye dayanır.

Yeni bildirilen bu sorunların müşteriler tarafından aktif olarak istismar edildiğine dair bir bildirim almadık. Android platformunun güvenliğini artıran Android güvenlik platformu korumaları ve SafetyNet gibi hizmet korumaları hakkında ayrıntılı bilgi için Önlemler bölümüne bakın. Tüm müşterilerin cihazlarında bu güncellemeleri kabul etmelerini öneririz.

Çözümler

Bu, Android güvenlik platformu ve SafetyNet gibi hizmet korumaları tarafından sağlanan azaltıcı önlemlerin özetidir. Bu özellikler, Android'de güvenlik açıklarının başarılı bir şekilde kötüye kullanılması olasılığını azaltır.

• Android platformunun yeni sürümlerindeki iyileştirmeler, Android'deki birçok sorunun istismar edilmesini zorlaştırmaktadır. Tüm kullanıcıları mümkün olduğunda Android'in en son sürümüne güncellemeye teşvik ederiz.
• Android Güvenlik Ekibi, Uygulamaları Doğrula ve SafetyNet ile kötüye kullanım olup olmadığını etkin bir şekilde izler. Bu sayede, yüklenmek üzere olan potansiyel olarak zararlı uygulamalar hakkında uyarı alırsınız. Cihaz köklendirme araçları Google Play'de yasaktır. Google Play dışından uygulama yükleyen kullanıcıları korumak için Uygulamaları Doğrula özelliği varsayılan olarak etkindir ve kullanıcıları bilinen köklendirme uygulamaları konusunda uyarır. Doğrula Uygulamalar, ayrıcalık yükseltme güvenlik açıklarından yararlanan bilinen kötü amaçlı uygulamaların yüklenmesini tespit edip engellemeye çalışır. Bu tür bir uygulama zaten yüklüyse Uygulamaları Doğrula, kullanıcıyı bilgilendirir ve bu tür uygulamaları kaldırmaya çalışır.
• Google, uygun olduğu durumlarda Hangouts ve Messenger uygulamalarını, medyaların otomatik olarak güvenlik açığı bulunan işlemlere (ör. mediaserver) aktarılmaması için güncelledi.

Teşekkür ederiz

Katkılarından dolayı aşağıdaki araştırmacılara teşekkür ederiz:

• Brennan Lautner: CVE-2015-3863
• Qihoo 360'tan C0RE Ekibi'nin Chiachih Wu ve Xuxian Jiang: CVE-2015-3868, CVE-2015-3869, CVE-2015-3862
• Qihoo 360'tan C0RE Ekibi'nin Yajin Zhou, Lei Wu ve Xuxian Jiang: CVE-2015-3865
• Copperhead Security'ten Daniel Micay (daniel.micay@copperhead.co): CVE-2015-3875
• Alibaba Mobil Güvenlik Ekibi'nden dragonltx: CVE-2015-6599
• Google Project Zero'dan Ian Beer ve Steven Vittitoe: CVE-2015-6604
• Joaquín Rinaudo (@xeroxnir) ve Iván Arce (@4Dgifts), Programa STIC, Fundación Dr. Manuel Sadosky, Buenos Aires, Arjantin: CVE-2015-3870
• Zimperium'dan Josh Drake: CVE-2015-3876, CVE-2015-6602
• Exodus Intelligence'tan Jordan Gruskovnjak (@jgrusko): CVE-2015-3867
• Trend Micro'dan Peter Pi: CVE-2015-3872, CVE-2015-3871
• Qihoo 360 Technology Co. Ltd.'den Ping Li: CVE-2015-3878
• Seven Shen: CVE-2015-6600, CVE-2015-3847
• Baidu X-Team'den Wangtao(neobyte): CVE-2015-6598
• Trend Micro Inc.'den Wish Wu (@wish_wu): CVE-2015-3823
• Michael Roland, JR-Center u'smile, University of Applied Sciences, Upper Austria/ Hagenberg: CVE-2015-6606

Bu bültende düzeltilen çeşitli sorunları bildiren Chrome Güvenlik Ekibi, Google Güvenlik Ekibi, Project Zero ve Google'daki diğer kişilerin katkılarını da takdir etmek isteriz.

Güvenlik Açığı Ayrıntıları

Aşağıdaki bölümlerde, 01.10.2015 yaması düzeyi için geçerli olan güvenlik açıklarının her biri hakkında ayrıntılı bilgi verilmektedir. Sorunun açıklaması, önem düzeyi gerekçesi ve CVE, ilişkili hata, önem düzeyi, etkilenen sürümler ve bildirilme tarihi içeren bir tablo bulunur. Varsa sorunu gideren AOSP değişikliğini hata kimliğine bağladık. Tek bir hatayla ilgili birden fazla değişiklik olduğunda, ek AOSP referansları hata kimliğinin ardından gelen sayılara bağlanır.

libstagefright'taki Uzaktan Kod Yürütme Güvenlik Açıkları

libstagefright'ta, özel olarak hazırlanmış bir dosyanın medya dosyası ve veri işleme sırasında saldırganın mediaserver hizmetinde bellek bozulmasına ve uzaktan kod yürütmeye neden olmasına olanak tanıyan güvenlik açıkları vardır.

Bu sorunlar, ayrıcalıklı hizmet olarak uzaktan kod çalıştırma olasılığı nedeniyle Kritik önem düzeyinde olarak derecelendirilir. Etkilenen bileşenler, ses ve video akışlarına ve üçüncü taraf uygulamalarının normalde erişemediği ayrıcalıklara erişebilir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2015-3873	ANDROID-20674086 [2,3,4]	Kritik (Critical)	5.1 ve önceki sürümler	Google Dahili
	ANDROID-20674674 [2,3,4]
	ANDROID-20718524
	ANDROID-21048776
	ANDROID-21443020
	ANDROID-21814993
	ANDROID-22008959
	ANDROID-22077698
	ANDROID-22388975
	ANDROID-22845824
	ANDROID-23016072
	ANDROID-23247055
	ANDROID-23248776
	ANDROID-20721050	Kritik (Critical)	5.0 ve 5.1	Google Dahili
CVE-2015-3823	ANDROID-21335999	Kritik (Critical)	5.1 ve önceki sürümler	20 Mayıs 2015
CVE-2015-6600	ANDROID-22882938	Kritik (Critical)	5.1 ve önceki sürümler	31 Temmuz 2015
CVE-2015-6601	ANDROID-22935234	Kritik (Critical)	5.1 ve önceki sürümler	3 Ağustos 2015
CVE-2015-3869	ANDROID-23036083	Kritik (Critical)	5.1 ve önceki sürümler	4 Ağustos 2015
CVE-2015-3870	ANDROID-22771132	Kritik (Critical)	5.1 ve önceki sürümler	5 Ağustos 2015
CVE-2015-3871	ANDROID-23031033	Kritik (Critical)	5.1 ve önceki sürümler	6 Ağustos 2015
CVE-2015-3868	ANDROID-23270724	Kritik (Critical)	5.1 ve önceki sürümler	6 Ağustos 2015
CVE-2015-6604	ANDROID-23129786	Kritik (Critical)	5.1 ve önceki sürümler	11 Ağustos 2015
CVE-2015-3867	ANDROID-23213430	Kritik (Critical)	5.1 ve önceki sürümler	14 Ağustos 2015
CVE-2015-6603	ANDROID-23227354	Kritik (Critical)	5.1 ve önceki sürümler	15 Ağustos 2015
CVE-2015-3876	ANDROID-23285192	Kritik (Critical)	5.1 ve önceki sürümler	15 Ağustos 2015
CVE-2015-6598	ANDROID-23306638	Kritik (Critical)	5.1 ve önceki sürümler	18 Ağustos 2015
CVE-2015-3872	ANDROID-23346388	Kritik (Critical)	5.1 ve önceki sürümler	19 Ağustos 2015
CVE-2015-6599	ANDROID-23416608	Kritik (Critical)	5.1 ve önceki sürümler	21 Ağustos 2015

Sonivox'ta Uzaktan Kod Çalıştırma Güvenlik Açığı

Sonivox'ta, özel olarak hazırlanmış bir medya dosyasının işlenmesi sırasında saldırganın medya sunucusu hizmetinde bellek bozulmasına ve uzaktan kod yürütmeye neden olmasına olanak tanıyan güvenlik açıkları vardır. Bu sorun, ayrıcalıklı hizmet olarak uzaktan kod çalıştırma olasılığı nedeniyle Kritik önem düzeyinde olarak derecelendirilmiştir. Etkilenen bileşen, ses ve video akışlarına ve üçüncü taraf uygulamalarının normalde erişemeyeceği ayrıcalıklara erişebilir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2015-3874	ANDROID-23335715	Kritik (Critical)	5.1 ve önceki sürümler	Birden çok
	ANDROID-23307276 [2]
	ANDROID-23286323

libutils'teki Uzaktan Kod Yürütme Güvenlik Açıkları

Ses dosyası işleme işleminde, genel bir kitaplık olan libutils'te güvenlik açıkları mevcuttur. Bu güvenlik açıkları, bir saldırganın özel olarak hazırlanmış bir dosyanın işlenmesi sırasında mediaserver gibi bu kitaplığı kullanan bir hizmette bellek bozulmasına ve uzaktan kod yürütmeye neden olmasına olanak tanıyabilir.

Etkilenen işlev, uygulama API'si olarak sağlanır ve uzaktan içerikle erişilmesine olanak tanıyan birden fazla uygulama vardır. Bunlardan en önemlileri MMS ve medya oynatıcı tarayıcıdır. Bu sorun, ayrıcalıklı bir hizmette uzaktan kod çalıştırma olasılığı nedeniyle Kritik önem düzeyinde olarak derecelendirilmiştir. Etkilenen bileşen, ses ve video akışlarına ve üçüncü taraf uygulamalarının normalde erişemeyeceği ayrıcalıklara erişebilir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2015-3875	ANDROID-22952485	Kritik (Critical)	5.1 ve önceki sürümler	15 Ağustos 2015
CVE-2015-6602	ANDROID-23290056 [2]	Kritik (Critical)	5.1 ve önceki sürümler	15 Ağustos 2015

Skia'da Uzaktan Kod Yürütme Güvenlik Açığı

Özel olarak hazırlanmış bir medya dosyası işlenirken Skia bileşenindeki bir güvenlik açığından yararlanılabilir. Bu durum, bellek bozulmasına ve ayrıcalıklı bir işlemde uzaktan kod çalıştırılmasına neden olabilir. Medya dosyaları işlenirken e-posta, web tarayıcısı ve MMS gibi birden fazla saldırı yöntemi aracılığıyla uzaktan kod çalıştırma olasılığı nedeniyle bu sorun kritik önem düzeyinde olarak değerlendirilir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2015-3877	ANDROID-20723696	Kritik (Critical)	5.1 ve önceki sürümler	30 Temmuz 2015

libFLAC'teki Uzaktan Kod Yürütme Güvenlik Açıkları

Medya dosyası işlenmesinde libFLAC'ta bir güvenlik açığı var. Bu güvenlik açıkları, bir saldırganın özel olarak hazırlanmış bir dosyanın işlenmesi sırasında bellek bozulmasına ve uzaktan kod yürütmeye neden olmasına olanak tanıyabilir.

Etkilenen işlev, uygulama API'si olarak sağlanır ve uzak içerikle erişilmesine olanak tanıyan birden fazla uygulama vardır (ör. tarayıcıda medya oynatma). Bu sorun, ayrıcalıklı bir hizmette uzaktan kod çalıştırma olasılığı nedeniyle Kritik önem düzeyinde olarak derecelendirilmiştir. Etkilenen bileşen, ses ve video akışlarına ve üçüncü taraf uygulamalarının normalde erişemeyeceği ayrıcalıklara erişebilir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2014-9028	ANDROID-18872897 [2]	Kritik (Critical)	5.1 ve önceki sürümler	14 Kasım 2014

KeyStore'da ayrıcalık yükseltme güvenlik açığı

KeyStore bileşenindeki ayrıcalık yükseltme güvenlik açığı, KeyStore API'lerini çağıran kötü amaçlı bir uygulama tarafından kullanılabilir. Bu uygulama, KeyStore bağlamında bellek bozulmasına ve keyfi kod çalıştırılmasına neden olabilir. Bu sorun, üçüncü taraf uygulamaların doğrudan erişemediği ayrıcalıklara erişmek için kullanılabileceğinden yüksek önem derecesine sahiptir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2015-3863	ANDROID-22802399	Yüksek	5.1 ve önceki sürümler	28 Temmuz 2015

Media Player Framework'de Yetki Yükseltme Güvenlik Açığı

Medya oynatıcı çerçeve bileşeninde ayrıcalık yükseltme güvenlik açığı, kötü amaçlı bir uygulamanın mediaserver bağlamında keyfi kod yürütmesine izin verebilir. Kötü amaçlı bir uygulamanın üçüncü taraf uygulamaların erişemediği ayrıcalıklara erişmesine izin verdiği için bu sorun yüksek önem derecesine sahiptir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2015-3879	ANDROID-23223325 [2]*	Yüksek	5.1 ve önceki sürümler	14 Ağustos 2015

* Bu sorunla ilgili ikinci değişiklik AOSP'de yer almıyor. Güncelleme, Google geliştirici sitesinden edinilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Android Runtime'ta ayrıcalık yükseltme güvenlik açığı

Android Runtime'ta ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın ayrıcalıklı bir sistem uygulaması bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek düzeyli özellikler elde etmek için kullanılabileceğinden yüksek önem derecesine sahiptir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2015-3865	ANDROID-23050463 [2]	Yüksek	5.1 ve önceki sürümler	8 Ağustos 2015

Mediaserver'da ayrıcalık yükseltme güvenlik açıkları

Mediaserver'da, yerel kötü amaçlı bir uygulamanın ayrıcalıklı bir yerel hizmet bağlamında keyfi kod yürütmesine olanak tanıyabilecek birden fazla güvenlik açığı vardır. Bu sorun, üçüncü taraf uygulamaların doğrudan erişemediği ayrıcalıklara erişmek için kullanılabileceğinden yüksek önem derecesine sahiptir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2015-6596	ANDROID-20731946	Yüksek	5.1 ve önceki sürümler	Birden çok
	ANDROID-20719651*
	ANDROID-19573085	Yüksek	5,0 - 6,0	Google Dahili

* Bu sorunun yaması AOSP'de yoktur. Güncelleme, Google geliştirici sitesinden edinilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Güvenli Öğe Değerlendirme Kiti'nde ayrıcalık yükseltme güvenlik açığı

SEEK (Secure Element Evaluation Kit, diğer adıyla SmartCard API) eklentisindeki bir güvenlik açığı, bir uygulamanın izin istemeden yüksek ayrıcalıklar elde etmesine neden olabilir. Bu sorun, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek düzeyli özellikler elde etmek için kullanılabileceğinden yüksek önem derecesine sahiptir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2015-6606	ANDROID-22301786*	Yüksek	5.1 ve önceki sürümler	30 Haziran 2015

* Bu sorunu gideren yükseltme, Android için SEEK sitesinde yer almaktadır.

Medya Projeksiyonu'nda ayrıcalık yükseltme güvenlik açığı

Medya Projeksiyonu bileşenindeki bir güvenlik açığı, kullanıcı verilerinin ekran görüntüsü şeklinde paylaşılmasına neden olabilir. Bu sorun, işletim sisteminin çok uzun uygulama adlarına izin vermesinden kaynaklanır. Yerel bir kötü amaçlı uygulama tarafından bu uzun adların kullanılması, ekran kaydı uyarısının kullanıcı tarafından görülmesini engelleyebilir. Bu sorun, yüksek ayrıcalıklar elde etmek için uygunsuz şekilde kullanılabileceğinden önem düzeyi Orta olarak derecelendirilmiştir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2015-3878	ANDROID-23345192	Orta seviye	5,0 - 6,0	18 Ağustos 2015

Bluetooth'da ayrıcalık yükseltme güvenlik açığı

Android'in Bluetooth bileşenindeki bir güvenlik açığı, bir uygulamanın depolanan SMS mesajlarını silmesine izin verebilir. Bu sorun, yüksek ayrıcalıklar elde etmek için uygunsuz şekilde kullanılabileceğinden orta önem düzeyinde olarak derecelendirilmiştir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2015-3847	ANDROID-22343270	Orta seviye	5.1 ve önceki sürümler	8 Temmuz 2015

SQLite'teki ayrıcalık yükseltme güvenlik açıkları

SQLite ayrıştırma motorunda birden fazla güvenlik açığı tespit edildi. Bu güvenlik açıkları, başka bir uygulamanın veya hizmetin keyfi SQL sorguları yürütmesine neden olabilecek yerel bir uygulama tarafından kullanılabilir. Başarılı bir kötüye kullanım, hedef uygulama bağlamında rastgele kod çalıştırılmasına neden olabilir.

8 Nisan 2015'te AOSP ana sürümüne, SQLite sürümünü 3.8.9'a yükselten bir düzeltme yüklendi: https://android-review.googlesource.com/#/c/145961/

Bu bülten, Android 4.4 (SQLite 3.7.11) ve Android 5.0 ile 5.1'deki SQLite sürümleri için yamalar içerir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2015-6607	ANDROID-20099586	Orta seviye	5.1 ve önceki sürümler	7 Nisan 2015 Herkese Açık

Mediaserver'da Hizmet Reddi Güvenlik Açıkları

mediaserver'da, mediaserver işlemini kilitleyerek Hizmet Reddi'ne neden olabilecek birden fazla güvenlik açığı vardır. Bu sorunlar, medya sunucusunun kilitlenmesi nedeniyle yerel olarak geçici bir hizmet reddi yaşandığı için önem düzeyi düşük olarak değerlendirilir.

CVE	AOSP bağlantılarıyla ilgili hatalar	Önem derecesi	Etkilenen sürümler	Bildirim tarihi
CVE-2015-6605	ANDROID-20915134	Düşük	5.1 ve önceki sürümler	Google Dahili
	ANDROID-23142203
	ANDROID-22278703	Düşük	5,0 - 6,0	Google Dahili
CVE-2015-3862	ANDROID-22954006	Düşük	5.1 ve önceki sürümler	2 Ağustos 2015

Düzeltmeler

• 5 Ekim 2015: Bülten yayınlandı.
• 07 Ekim 2015: Bülten, AOSP referanslarıyla güncellendi. CVE-2014-9028 ile ilgili hata referansları netleştirildi.
• 12 Ekim 2015: CVE-2015-3868, CVE-2015-3869, CVE-2015-3865 ve CVE-2015-3862 için teşekkürler güncellendi.
• 22 Ocak 2016: CVE-2015-6606 için teşekkürler güncellendi.
• 28 Nisan 2016: CVE-2015-6603 eklendi ve CVE-2014-9028'deki yazım hatası düzeltildi.