تم النشر في 05 أكتوبر 2015 | تم التحديث في 28 أبريل 2016
لقد أصدرنا تحديثًا أمنيًا لأجهزة Nexus من خلال تحديث عبر الأثير (OTA) كجزء من عملية الإصدار الشهري لنشرة أمان Android. تم أيضًا إصدار صور برنامج Nexus الثابت إلى موقع Google Developer . يعالج الإصداران LMY48T أو الأحدث (مثل LMY48W) و Android M مع مستوى تصحيح الأمان بتاريخ 1 أكتوبر 2015 أو أحدث هذه المشكلات. راجع وثائق Nexus للحصول على إرشادات حول كيفية التحقق من مستوى تصحيح الأمان.
تم إخطار الشركاء بهذه المشكلات في 10 سبتمبر 2015 أو قبل ذلك. تم إصدار تصحيحات التعليمات البرمجية المصدر لهذه المشكلات إلى مستودع Android Open Source Project (AOSP).
إن أخطر هذه المشكلات هو الثغرة الأمنية الحرجة التي يمكن أن تتيح تنفيذ التعليمات البرمجية عن بُعد على جهاز متأثر من خلال طرق متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط. يعتمد تقييم الخطورة على التأثير الذي قد يحدثه استغلال الثغرة الأمنية على الجهاز المتأثر ، بافتراض تعطيل عمليات التخفيف من النظام الأساسي والخدمة لأغراض التطوير أو إذا تم تجاوزها بنجاح.
لم يكن لدينا أي تقارير عن استغلال العملاء النشط لهذه المشكلات التي تم الإبلاغ عنها حديثًا. ارجع إلى قسم التخفيف للحصول على تفاصيل حول حماية منصة أمان Android وحماية الخدمة مثل SafetyNet ، التي تعمل على تحسين أمان نظام Android الأساسي. نحن نشجع جميع العملاء على قبول هذه التحديثات على أجهزتهم.
التخفيفات
هذا ملخص لعوامل التخفيف التي يوفرها نظام أمان Android الأساسي وإجراءات حماية الخدمة مثل SafetyNet. تقلل هذه الإمكانات من احتمالية نجاح استغلال الثغرات الأمنية على Android.
- أصبح استغلال العديد من المشكلات على Android أكثر صعوبة من خلال التحسينات في الإصدارات الأحدث من نظام Android الأساسي. نشجع جميع المستخدمين على التحديث إلى أحدث إصدار من Android حيثما أمكن ذلك.
- يقوم فريق Android Security بمراقبة إساءة الاستخدام بنشاط من خلال Verify Apps and SafetyNet والتي ستحذر من التطبيقات التي يحتمل أن تكون ضارة على وشك التثبيت. أدوات تجذير الجهاز محظورة داخل Google Play. لحماية المستخدمين الذين يقومون بتثبيت التطبيقات من خارج Google Play ، يتم تمكين Verify Apps افتراضيًا وسيحذر المستخدمين من تطبيقات الجذر المعروفة. يحاول التحقق من التطبيقات تحديد ومنع تثبيت التطبيقات الضارة المعروفة التي تستغل ثغرة أمنية في تصعيد الامتيازات. إذا تم بالفعل تثبيت مثل هذا التطبيق ، فستقوم Verify Apps بإخطار المستخدم ومحاولة إزالة أي من هذه التطبيقات.
- حسب الاقتضاء ، قامت Google بتحديث تطبيقات Hangouts و Messenger بحيث لا يتم تمرير الوسائط تلقائيًا إلى العمليات المعرضة للخطر (مثل خادم الوسائط).
شكر وتقدير
نود أن نشكر هؤلاء الباحثين على مساهماتهم:
- برينان لوتنر: CVE-2015-3863
- Chiachih Wu و Xuxian Jiang من فريق C0RE من Qihoo 360: CVE-2015-3868، CVE-2015-3869، CVE-2015-3862
- Yajin Zhou و Lei Wu و Xuxian Jiang من فريق C0RE من Qihoo 360: CVE-2015-3865
- دانيال ميكاي (daniel.micay@copperhead.co) في Copperhead Security: CVE-2015-3875
- dragonltx من فريق Alibaba Mobile Security Team: CVE-2015-6599
- Ian Beer و Steven Vittitoe من Google Project Zero: CVE-2015-6604
- Joaquín Rinaudo (xeroxnir) و Iván Arce (@ 4Dgifts) من Programa STIC في Fundación Dr. Manuel Sadosky ، Buenos Aires Argentina: CVE-2015-3870
- Josh Drake من Zimperium: CVE-2015-3876، CVE-2015-6602
- Jordan Gruskovnjak من Exodus Intelligence (jgrusko): CVE-2015-3867
- Peter Pi من Trend Micro: CVE-2015-3872، CVE-2015-3871
- Ping Li من Qihoo 360 Technology Co. Ltd: CVE-2015-3878
- Seven Shen: CVE-2015-6600، CVE-2015-3847
- Wangtao (neobyte) لفريق Baidu X-Team: CVE-2015-6598
- Wish Wu من Trend Micro Inc. (wish_wu): CVE-2015-3823
- مايكل رولاند من JR-Center u'smile في جامعة العلوم التطبيقية ، النمسا العليا / هاغنبرغ: CVE-2015-6606
نود أيضًا أن نعرب عن تقديرنا لمساهمات فريق Chrome Security Team و Google Security Team و Project Zero والأفراد الآخرين داخل Google للإبلاغ عن العديد من المشكلات التي تم إصلاحها في هذه النشرة.
تفاصيل الثغرات الأمنية
في الأقسام أدناه ، نقدم تفاصيل عن كل من الثغرات الأمنية التي تنطبق على مستوى التصحيح 2015-10-01. يوجد وصف للمشكلة ، والأساس المنطقي للخطورة ، وجدول مع CVE ، والخطأ المرتبط ، والخطورة ، والإصدارات المتأثرة ، وتاريخ الإبلاغ. حيثما كان ذلك متاحًا ، قمنا بربط تغيير AOSP الذي عالج المشكلة بمعرف الخطأ. عندما تتعلق تغييرات متعددة بخلل واحد ، يتم ربط مراجع AOSP الإضافية بأرقام تتبع معرّف الخطأ.
الثغرات الأمنية في تنفيذ التعليمات البرمجية عن بُعد في libstagefright
توجد ثغرات أمنية في libstagefright يمكن أن تسمح للمهاجم ، أثناء ملف الوسائط ومعالجة البيانات لملف مصنوع خصيصًا ، بالتسبب في تلف الذاكرة وتنفيذ التعليمات البرمجية عن بُعد في خدمة خادم الوسائط.
تم تصنيف هذه المشكلات على أنها خطيرة للغاية نظرًا لاحتمال تنفيذ التعليمات البرمجية عن بُعد كخدمة مميزة. تتمتع المكونات المتأثرة بإمكانية الوصول إلى تدفقات الصوت والفيديو بالإضافة إلى الوصول إلى الامتيازات التي لا يمكن لتطبيقات الجهات الخارجية الوصول إليها بشكل طبيعي.
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2015-3873 | ANDROID-20674086 [ 2 ، 3 ، 4 ] | حرج | 5.1 وما دون | جوجل الداخلية |
| ANDROID-20674674 [ 2 ، 3 ، 4 ] | ||||
| ANDROID-20718524 | ||||
| ANDROID-21048776 | ||||
| ANDROID-21443020 | ||||
| ANDROID-21814993 | ||||
| ANDROID-22008959 | ||||
| ANDROID-22077698 | ||||
| ANDROID-22388975 | ||||
| ANDROID-22845824 | ||||
| ANDROID-23016072 | ||||
| ANDROID-23247055 | ||||
| ANDROID-23248776 | ||||
| ANDROID-20721050 | حرج | 5.0 و 5.1 | جوجل الداخلية | |
| CVE-2015-3823 | ANDROID-21335999 | حرج | 5.1 وما دون | 20 مايو 2015 |
| CVE-2015-6600 | ANDROID-22882938 | حرج | 5.1 وما دون | 31 يوليو 2015 |
| CVE-2015-6601 | ANDROID-22935234 | حرج | 5.1 وما دون | 3 أغسطس 2015 |
| CVE-2015-3869 | ANDROID-23036083 | حرج | 5.1 وما دون | 4 أغسطس 2015 |
| CVE-2015-3870 | ANDROID-22771132 | حرج | 5.1 وما دون | 5 أغسطس 2015 |
| CVE-2015-3871 | ANDROID-23031033 | حرج | 5.1 وما دون | 6 أغسطس 2015 |
| CVE-2015-3868 | ANDROID-23270724 | حرج | 5.1 وما دون | 6 أغسطس 2015 |
| CVE-2015-6604 | ANDROID-23129786 | حرج | 5.1 وما دون | 11 أغسطس 2015 |
| CVE-2015-3867 | ANDROID-23213430 | حرج | 5.1 وما دون | 14 أغسطس 2015 |
| CVE-2015-6603 | ANDROID-23227354 | حرج | 5.1 وما دون | 15 أغسطس 2015 |
| CVE-2015-3876 | ANDROID-23285192 | حرج | 5.1 وما دون | 15 أغسطس 2015 |
| CVE-2015-6598 | ANDROID-23306638 | حرج | 5.1 وما دون | 18 أغسطس 2015 |
| CVE-2015-3872 | ANDROID-23346388 | حرج | 5.1 وما دون | 19 أغسطس 2015 |
| CVE-2015-6599 | ANDROID-23416608 | حرج | 5.1 وما دون | 21 أغسطس 2015 |
ثغرات أمنية في تنفيذ التعليمات البرمجية عن بُعد في Sonivox
توجد ثغرات أمنية في Sonivox والتي قد تسمح للمهاجم ، أثناء معالجة ملف الوسائط لملف مصنوع خصيصًا ، بالتسبب في تلف الذاكرة وتنفيذ التعليمات البرمجية عن بُعد في خدمة خادم الوسائط. تم تصنيف هذه المشكلة على أنها خطيرة للغاية نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد كخدمة مميزة. يتمتع المكون المتأثر بإمكانية الوصول إلى تدفقات الصوت والفيديو بالإضافة إلى الوصول إلى الامتيازات التي لا يمكن لتطبيقات الجهات الخارجية الوصول إليها بشكل طبيعي.
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2015-3874 | ANDROID-23335715 | حرج | 5.1 وما دون | مضاعف |
| ANDROID-23307276 [ 2 ] | ||||
| ANDROID-23286323 |
الثغرات الأمنية في تنفيذ التعليمات البرمجية عن بعد في libutils
توجد نقاط ضعف في libutils ، مكتبة عامة ، في معالجة الملفات الصوتية. قد تسمح هذه الثغرات للمهاجم ، أثناء معالجة ملف تم إنشاؤه خصيصًا ، بالتسبب في تلف الذاكرة وتنفيذ التعليمات البرمجية عن بُعد في خدمة تستخدم هذه المكتبة مثل خادم الوسائط.
يتم توفير الوظيفة المتأثرة كواجهة برمجة تطبيقات للتطبيق وهناك العديد من التطبيقات التي تسمح بالوصول إليها من خلال المحتوى البعيد ، وأبرزها MMS وتشغيل المستعرض للوسائط. تم تصنيف هذه المشكلة على أنها خطيرة للغاية نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في خدمة مميزة. يتمتع المكون المتأثر بإمكانية الوصول إلى تدفقات الصوت والفيديو بالإضافة إلى الوصول إلى الامتيازات التي لا يمكن لتطبيقات الجهات الخارجية الوصول إليها بشكل طبيعي.
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2015-3875 | ANDROID-22952485 | حرج | 5.1 وما دون | 15 أغسطس 2015 |
| CVE-2015-6602 | ANDROID-23290056 [ 2 ] | حرج | 5.1 وما دون | 15 أغسطس 2015 |
ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في Skia
يمكن الاستفادة من ثغرة أمنية في مكون Skia عند معالجة ملف وسائط مُعد خصيصًا ، مما قد يؤدي إلى تلف الذاكرة وتنفيذ التعليمات البرمجية عن بُعد في عملية ذات امتيازات. تم تصنيف هذه المشكلة على أنها خطيرة نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد من خلال طرق هجوم متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط.
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2015-3877 | ANDROID-20723696 | حرج | 5.1 وما دون | 30 يوليو 2015 |
الثغرات الأمنية في تنفيذ التعليمات البرمجية عن بُعد في libFLAC
توجد ثغرة أمنية في libFLAC في معالجة ملفات الوسائط. قد تسمح هذه الثغرات للمهاجم ، أثناء معالجة ملف تم إنشاؤه خصيصًا ، بالتسبب في تلف الذاكرة وتنفيذ التعليمات البرمجية عن بُعد.
يتم توفير الوظيفة المتأثرة كواجهة برمجة تطبيقات للتطبيق وهناك العديد من التطبيقات التي تسمح بالوصول إليها من خلال المحتوى البعيد ، مثل تشغيل المتصفح للوسائط. تم تصنيف هذه المشكلة على أنها خطيرة للغاية نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في خدمة مميزة. يتمتع المكون المتأثر بإمكانية الوصول إلى تدفقات الصوت والفيديو بالإضافة إلى الوصول إلى الامتيازات التي لا يمكن لتطبيقات الجهات الخارجية الوصول إليها بشكل طبيعي.
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2014-9028 | ANDROID-18872897 [ 2 ] | حرج | 5.1 وما دون | 14 نوفمبر 2014 |
ارتفاع ثغرة أمنية في الامتياز في KeyStore
قد يتم رفع مستوى ضعف الامتياز في مكون KeyStore بواسطة تطبيق ضار عند الاتصال بواجهات برمجة تطبيقات KeyStore. قد يتسبب هذا التطبيق في تلف الذاكرة وتنفيذ التعليمات البرمجية التعسفي في سياق KeyStore. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها للوصول إلى الامتيازات التي لا يمكن الوصول إليها مباشرة من قبل تطبيق تابع لجهة خارجية.
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2015-3863 | ANDROID-22802399 | عالٍ | 5.1 وما دون | 28 يوليو 2015 |
رفع مستوى ضعف الامتياز في إطار عمل مشغل الوسائط
قد يسمح ارتفاع ثغرة الامتياز في مكون إطار مشغل الوسائط لتطبيق ضار بتنفيذ تعليمات برمجية عشوائية في سياق خادم الوسائط. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنها تسمح لتطبيق ضار بالوصول إلى امتيازات لا يمكن الوصول إليها من قبل تطبيق تابع لجهة خارجية.
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2015-3879 | ANDROID-23223325 [2] * | عالٍ | 5.1 وما دون | 14 أغسطس 2015 |
* التغيير الثاني لهذه المشكلة ليس في AOSP. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .
ارتفاع ثغرة أمنية في الامتياز في وقت تشغيل Android
يمكن أن يؤدي ارتفاع ثغرة الامتياز في Android Runtime إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق تطبيق نظام مرتفع. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها لاكتساب قدرات عالية ، مثل امتيازات أذونات Signature أو SignatureOrSystem ، والتي لا يمكن الوصول إليها من قبل تطبيق جهة خارجية.
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2015-3865 | ANDROID-23050463 [ 2 ] | عالٍ | 5.1 وما دون | 8 أغسطس 2015 |
رفع نقاط ضعف الامتياز في Mediaserver
هناك العديد من الثغرات الأمنية في خادم الوسائط التي يمكنها تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق خدمة أصلية مميزة. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها للوصول إلى الامتيازات التي لا يمكن الوصول إليها مباشرة من قبل تطبيق تابع لجهة خارجية.
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2015-6596 | ANDROID-20731946 | عالٍ | 5.1 وما دون | مضاعف |
| ANDROID-20719651 * | ||||
| ANDROID-19573085 | عالٍ | 5.0 - 6.0 | جوجل الداخلية |
* التصحيح لهذه المشكلة ليس في AOSP. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .
ارتفاع قابلية تعرض الامتيازات في مجموعة أدوات تقييم العنصر الآمن
يمكن أن تسمح الثغرة الأمنية في المكون الإضافي SEEK (Secure Element Evaluation Kit ، المعروف أيضًا باسم SmartCard API) للتطبيق بالحصول على أذونات مرتفعة دون طلبها. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها لاكتساب قدرات عالية ، مثل امتيازات أذونات Signature أو SignatureOrSystem ، والتي لا يمكن الوصول إليها من قبل تطبيقات الجهات الخارجية.
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2015-6606 | ANDROID-22301786 * | عالٍ | 5.1 وما دون | 30 يونيو 2015 |
* التحديث الذي يعالج هذه المشكلة موجود في SEEK لموقع Android .
رفع مستوى ضعف الامتياز في عرض الوسائط
يمكن أن تسمح الثغرة الأمنية في مكون Media Projection بالكشف عن بيانات المستخدم في شكل لقطات شاشة. المشكلة ناتجة عن نظام التشغيل الذي يسمح بأسماء التطبيقات الطويلة للغاية. قد يؤدي استخدام هذه الأسماء الطويلة من قبل تطبيق ضار محلي إلى منع ظهور تحذير حول تسجيل الشاشة من قبل المستخدم. تم تصنيف هذه المشكلة على أنها متوسطة الخطورة لأنه يمكن استخدامها للحصول على أذونات مرتفعة بشكل غير صحيح.
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2015-3878 | ANDROID-23345192 | معتدل | 5.0 - 6.0 | 18 أغسطس 2015 |
رفع مستوى ضعف الامتياز في البلوتوث
قد تسمح ثغرة أمنية في مكون Bluetooth في Android للتطبيق بحذف رسائل SMS المخزنة. تم تصنيف هذه المشكلة على أنها متوسطة الخطورة لأنه يمكن استخدامها للحصول على أذونات مرتفعة بشكل غير صحيح.
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2015-3847 | ANDROID-22343270 | معتدل | 5.1 وما دون | 8 يوليو 2015 |
رفع نقاط ضعف الامتياز في SQLite
تم اكتشاف نقاط ضعف متعددة في محرك تحليل SQLite. قد تكون هذه الثغرات الأمنية قابلة للاستغلال بواسطة تطبيق محلي يمكن أن يتسبب في قيام تطبيق أو خدمة أخرى بتنفيذ استعلامات SQL عشوائية. قد يؤدي الاستغلال الناجح إلى تنفيذ تعليمات برمجية عشوائية في سياق التطبيق الهدف.
تم تحميل إصلاح إلى AOSP master في 8 أبريل 2015 ، لترقية إصدار SQLite إلى 3.8.9: https://android-review.googlesource.com/#/c/145961/
تحتوي هذه النشرة على تصحيحات لإصدارات SQLite في Android 4.4 (SQLite 3.7.11) و Android 5.0 و 5.1 (SQLite 3.8.6).
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2015-6607 | ANDROID-20099586 | معتدل | 5.1 وما دون | 7 أبريل 2015 معروف للجمهور |
ثغرات رفض الخدمة في Mediaserver
هناك العديد من الثغرات الأمنية في خادم الوسائط التي يمكن أن تتسبب في رفض الخدمة عن طريق تعطيل عملية الخادم الوسيط. تم تصنيف هذه المشكلات على أنها منخفضة الخطورة لأن التأثير يحدث نتيجة تعطل خادم الوسائط مما يؤدي إلى رفض محلي مؤقت للخدمة.
| CVE | الأخطاء التي تحتوي على روابط AOSP | خطورة | الإصدارات المتأثرة | ذكرت تاريخ |
|---|---|---|---|---|
| CVE-2015-6605 | ANDROID-20915134 | قليل | 5.1 وما دون | جوجل الداخلية |
| ANDROID-23142203 | ||||
| ANDROID-22278703 | قليل | 5.0 - 6.0 | جوجل الداخلية | |
| CVE-2015-3862 | ANDROID-22954006 | قليل | 5.1 وما دون | 2 أغسطس 2015 |
التنقيحات
- 05 أكتوبر 2015: تم نشر النشرة.
- 7 أكتوبر 2015: نشرة محدثة بمراجع AOSP. توضيح مراجع الأخطاء لـ CVE-2014-9028.
- 12 أكتوبر 2015: إقرارات محدثة لـ CVE-2015-3868، CVE-2015-3869، CVE-2015-3865، CVE-2015-3862.
- 22 كانون الثاني (يناير) 2016: إقرارات محدثة ل CVE-2015-6606.
- 28 أبريل 2016: تمت إضافة CVE-2015-6603 وتصحيح الخطأ المطبعي باستخدام CVE-2014-9028.