Boletín de seguridad Nexus - Octubre de 2015

Publicado el 05 de octubre de 2015 | Actualizado el 28 de abril de 2016

Hemos lanzado una actualización de seguridad para dispositivos Nexus a través de una actualización inalámbrica (OTA) como parte de nuestro proceso de publicación mensual del Boletín de seguridad de Android. Las imágenes del firmware de Nexus también se han publicado en el sitio de desarrolladores de Google . Las compilaciones LMY48T o posteriores (como LMY48W) y Android M con nivel de parche de seguridad del 1 de octubre de 2015 o posterior solucionan estos problemas. Consulte la documentación de Nexus para obtener instrucciones sobre cómo verificar el nivel del parche de seguridad.

Se notificó a los socios sobre estos problemas el 10 de septiembre de 2015 o antes. Se han publicado parches de código fuente para estos problemas en el repositorio del Proyecto de código abierto de Android (AOSP).

El más grave de estos problemas es una vulnerabilidad de seguridad crítica que podría permitir la ejecución remota de código en un dispositivo afectado a través de múltiples métodos, como correo electrónico, navegación web y MMS al procesar archivos multimedia. La evaluación de la gravedad se basa en el efecto que la explotación de la vulnerabilidad podría tener en un dispositivo afectado, suponiendo que las mitigaciones de la plataforma y el servicio estén deshabilitadas para fines de desarrollo o si se omiten con éxito.

No hemos recibido informes de explotación activa por parte de los clientes de estos problemas recientemente reportados. Consulte la sección Mitigaciones para obtener detalles sobre las protecciones de la plataforma de seguridad de Android y las protecciones de servicios como SafetyNet, que mejoran la seguridad de la plataforma Android. Alentamos a todos los clientes a aceptar estas actualizaciones en sus dispositivos.

Mitigaciones

Este es un resumen de las mitigaciones proporcionadas por la plataforma de seguridad de Android y las protecciones de servicios como SafetyNet. Estas capacidades reducen la probabilidad de que las vulnerabilidades de seguridad puedan explotarse con éxito en Android.

• La explotación de muchos problemas en Android se vuelve más difícil debido a las mejoras en las versiones más recientes de la plataforma Android. Animamos a todos los usuarios a actualizar a la última versión de Android siempre que sea posible.
• El equipo de seguridad de Android está monitoreando activamente el abuso con Verify Apps y SafetyNet, que advertirán sobre aplicaciones potencialmente dañinas a punto de instalarse. Las herramientas de rooteo de dispositivos están prohibidas en Google Play. Para proteger a los usuarios que instalan aplicaciones desde fuera de Google Play, Verify Apps está habilitado de forma predeterminada y advertirá a los usuarios sobre aplicaciones de rooteo conocidas. Verify Apps intenta identificar y bloquear la instalación de aplicaciones maliciosas conocidas que explotan una vulnerabilidad de escalada de privilegios. Si dicha aplicación ya se ha instalado, Verify Apps notificará al usuario e intentará eliminar dicha aplicación.
• Según corresponda, Google ha actualizado las aplicaciones Hangouts y Messenger para que los medios no pasen automáticamente a procesos vulnerables (como el servidor de medios).

Agradecimientos

Nos gustaría agradecer a estos investigadores por sus contribuciones:

• Brennan Lautner: CVE-2015-3863
• Chiachih Wu y Xuxian Jiang del equipo C0RE de Qihoo 360: CVE-2015-3868, CVE-2015-3869, CVE-2015-3862
• Yajin Zhou, Lei Wu y Xuxian Jiang del equipo C0RE de Qihoo 360: CVE-2015-3865
• Daniel Micay (daniel.micay@copperhead.co) en Copperhead Security: CVE-2015-3875
• dragonltx del equipo de seguridad móvil de Alibaba: CVE-2015-6599
• Ian Beer y Steven Vittitoe de Google Project Zero: CVE-2015-6604
• Joaquín Rinaudo (@xeroxnir) e Iván Arce (@4Dgifts) del Programa STIC de la Fundación Dr. Manuel Sadosky, Buenos Aires Argentina: CVE-2015-3870
• Josh Drake de Zimperium: CVE-2015-3876, CVE-2015-6602
• Jordan Gruskovnjak de Exodus Intelligence (@jgrusko): CVE-2015-3867
• Peter Pi de Trend Micro: CVE-2015-3872, CVE-2015-3871
• Ping Li de Qihoo 360 Technology Co. Ltd: CVE-2015-3878
• Siete Shen: CVE-2015-6600, CVE-2015-3847
• Wangtao (neobyte) de Baidu X-Team: CVE-2015-6598
• Wish Wu de Trend Micro Inc. (@wish_wu): CVE-2015-3823
• Michael Roland del JR-Center u'smile de la Universidad de Ciencias Aplicadas de Alta Austria/Hagenberg: CVE-2015-6606

También nos gustaría agradecer las contribuciones del equipo de seguridad de Chrome, el equipo de seguridad de Google, Project Zero y otras personas dentro de Google por informar varios problemas solucionados en este boletín.

Detalles de vulnerabilidad de seguridad

En las secciones siguientes, proporcionamos detalles para cada una de las vulnerabilidades de seguridad que se aplican al nivel de parche 2015-10-01. Hay una descripción del problema, una justificación de la gravedad y una tabla con el CVE, el error asociado, la gravedad, las versiones afectadas y la fecha del informe. Cuando esté disponible, vinculamos el cambio de AOSP que solucionó el problema con el ID del error. Cuando varios cambios se relacionan con un solo error, las referencias AOSP adicionales están vinculadas a números que siguen al ID del error.

Vulnerabilidades de ejecución remota de código en libstagefright

Existen vulnerabilidades en libstagefright que podrían permitir que un atacante, durante el procesamiento de datos y archivos multimedia de un archivo especialmente diseñado, cause daños en la memoria y ejecución remota de código en el servicio del servidor multimedia.

Estos problemas se clasifican como de gravedad crítica debido a la posibilidad de ejecución remota de código como servicio privilegiado. Los componentes afectados tienen acceso a transmisiones de audio y vídeo, así como acceso a privilegios a los que las aplicaciones de terceros normalmente no pueden acceder.

Vulnerabilidades de ejecución remota de código en Sonivox

Existen vulnerabilidades en Sonivox que podrían permitir que un atacante, durante el procesamiento de un archivo multimedia de un archivo especialmente diseñado, cause daños en la memoria y ejecución remota de código en el servicio del servidor multimedia. Este problema se clasifica como de gravedad crítica debido a la posibilidad de ejecución remota de código como servicio privilegiado. El componente afectado tiene acceso a transmisiones de audio y vídeo, así como a privilegios a los que las aplicaciones de terceros normalmente no pueden acceder.

Vulnerabilidades de ejecución remota de código en libutils

Existen vulnerabilidades en libutils, una biblioteca genérica, en el procesamiento de archivos de audio. Estas vulnerabilidades podrían permitir que un atacante, durante el procesamiento de un archivo especialmente diseñado, provoque daños en la memoria y ejecución remota de código en un servicio que utiliza esta biblioteca, como el servidor de medios.

La funcionalidad afectada se proporciona como una API de aplicación y existen múltiples aplicaciones que permiten acceder a ella con contenido remoto, en particular MMS y reproducción de medios en el navegador. Este problema se clasifica como de gravedad crítica debido a la posibilidad de ejecución remota de código en un servicio privilegiado. El componente afectado tiene acceso a transmisiones de audio y video, así como acceso a privilegios a los que las aplicaciones de terceros normalmente no pueden acceder.

Vulnerabilidad de ejecución remota de código en Skia

Se puede aprovechar una vulnerabilidad en el componente Skia al procesar un archivo multimedia especialmente diseñado, lo que podría provocar daños en la memoria y ejecución remota de código en un proceso privilegiado. Este problema se clasifica como de gravedad crítica debido a la posibilidad de ejecución remota de código a través de múltiples métodos de ataque, como correo electrónico, navegación web y MMS al procesar archivos multimedia.

Vulnerabilidades de ejecución remota de código en libFLAC

Existe una vulnerabilidad en libFLAC en el procesamiento de archivos multimedia. Estas vulnerabilidades podrían permitir que un atacante, durante el procesamiento de un archivo especialmente diseñado, provoque daños en la memoria y ejecución remota de código.

La funcionalidad afectada se proporciona como una API de aplicación y existen múltiples aplicaciones que permiten acceder a ella con contenido remoto, como la reproducción de medios del navegador. Este problema se clasifica como de gravedad crítica debido a la posibilidad de ejecución remota de código en un servicio privilegiado. El componente afectado tiene acceso a transmisiones de audio y video, así como acceso a privilegios a los que las aplicaciones de terceros normalmente no pueden acceder.

Vulnerabilidad de elevación de privilegios en KeyStore

Una aplicación maliciosa puede aprovechar una vulnerabilidad de elevación de privilegios en el componente KeyStore al llamar a las API de KeyStore. Esta aplicación podría causar daños en la memoria y ejecución de código arbitrario en el contexto de KeyStore. Este problema se clasifica como de gravedad alta porque se puede utilizar para acceder a privilegios a los que no puede acceder directamente una aplicación de terceros.

Vulnerabilidad de elevación de privilegios en el marco de Media Player

Una vulnerabilidad de elevación de privilegios en el componente del marco del reproductor multimedia podría permitir que una aplicación maliciosa ejecute código arbitrario dentro del contexto del servidor multimedia. Este problema se clasifica como de gravedad alta porque permite que una aplicación maliciosa acceda a privilegios a los que no puede acceder una aplicación de terceros.

* Un segundo cambio para este problema no está en AOSP. La actualización está contenida en los controladores binarios más recientes para dispositivos Nexus disponibles en el sitio para desarrolladores de Google .

Vulnerabilidad de elevación de privilegios en tiempo de ejecución de Android

Una vulnerabilidad de elevación de privilegios en Android Runtime puede permitir que una aplicación maliciosa local ejecute código arbitrario dentro del contexto de una aplicación del sistema elevada. Este problema se clasifica como de gravedad alta porque se puede utilizar para obtener capacidades elevadas, como privilegios de permisos de firma o firma o sistema , a los que no puede acceder una aplicación de terceros.

Elevación de vulnerabilidades de privilegios en Mediaserver

Existen múltiples vulnerabilidades en el servidor de medios que pueden permitir que una aplicación maliciosa local ejecute código arbitrario dentro del contexto de un servicio nativo privilegiado. Este problema se clasifica como de gravedad alta porque se puede utilizar para acceder a privilegios a los que no puede acceder directamente una aplicación de terceros.

* El parche para este problema no está en AOSP. La actualización está contenida en los controladores binarios más recientes para dispositivos Nexus disponibles en el sitio para desarrolladores de Google .

Vulnerabilidad de elevación de privilegios en el kit de evaluación de elementos seguros

Una vulnerabilidad en el complemento SEEK (Secure Element Assessment Kit, también conocido como SmartCard API) podría permitir que una aplicación obtenga permisos elevados sin solicitarlos. Este problema se clasifica como de gravedad alta porque se puede utilizar para obtener capacidades elevadas, como privilegios de permisos de firma o firma o sistema , a los que no pueden acceder aplicaciones de terceros.

* La actualización que soluciona este problema se encuentra en el sitio SEEK para Android .

Vulnerabilidad de elevación de privilegios en la proyección de medios

Una vulnerabilidad en el componente Media Projection puede permitir que los datos del usuario se revelen en forma de instantáneas de pantalla. El problema se debe a que el sistema operativo permite nombres de aplicaciones demasiado largos. El uso de estos nombres largos por parte de una aplicación maliciosa local puede impedir que el usuario vea una advertencia sobre la grabación de pantalla. Este problema se clasifica como de gravedad moderada porque puede utilizarse para obtener permisos elevados de forma inadecuada.

Vulnerabilidad de elevación de privilegios en Bluetooth

Una vulnerabilidad en el componente Bluetooth de Android podría permitir que una aplicación elimine mensajes SMS almacenados. Este problema se clasifica como de gravedad moderada porque puede utilizarse para obtener permisos elevados de forma inadecuada.

Vulnerabilidades de elevación de privilegios en SQLite

Se descubrieron múltiples vulnerabilidades en el motor de análisis SQLite. Estas vulnerabilidades pueden ser explotadas por una aplicación local que puede provocar que otra aplicación o servicio ejecute consultas SQL arbitrarias. Una explotación exitosa podría resultar en la ejecución de código arbitrario en el contexto de la aplicación de destino.

Se cargó una solución en AOSP principal el 8 de abril de 2015, actualizando la versión de SQLite a 3.8.9: https://android-review.googlesource.com/#/c/145961/

Este boletín contiene parches para las versiones de SQLite en Android 4.4 (SQLite 3.7.11) y Android 5.0 y 5.1 (SQLite 3.8.6).

Vulnerabilidades de denegación de servicio en Mediaserver

Existen múltiples vulnerabilidades en el servidor de medios que pueden provocar una denegación de servicio al bloquear el proceso del servidor de medios. Estos problemas se clasifican como de gravedad baja porque el efecto se produce por una falla del servidor de medios que resulta en una denegación de servicio temporal local.

Revisiones

• 05 de octubre de 2015: Boletín publicado.
• 07 de octubre de 2015: Boletín actualizado con referencias de AOSP. Se aclararon las referencias de errores para CVE-2014-9028.
• 12 de octubre de 2015: acuses de recibo actualizados para CVE-2015-3868, CVE-2015-3869, CVE-2015-3865, CVE-2015-3862.
• 22 de enero de 2016: acuses de recibo actualizados para CVE-2015-6606.
• 28 de abril de 2016: Se agregó CVE-2015-6603 y se corrigió el error tipográfico con CVE-2014-9028.