بولتن امنیتی Nexus - اکتبر 2015

منتشر شده در 14 مهر 1394 | به روز شده در 28 آوریل 2016

ما یک به‌روزرسانی امنیتی برای دستگاه‌های Nexus از طریق به‌روزرسانی هوایی (OTA) به عنوان بخشی از فرآیند انتشار ماهانه بولتن امنیتی Android خود منتشر کرده‌ایم. تصاویر سفت‌افزار Nexus نیز در سایت Google Developer منتشر شده است. بیلدهای LMY48T یا جدیدتر (مانند LMY48W) و Android M با سطح وصله امنیتی 1 اکتبر 2015 یا جدیدتر این مشکلات را برطرف می‌کنند. برای دستورالعمل‌های نحوه بررسی سطح وصله امنیتی، به مستندات Nexus مراجعه کنید.

شرکا در مورد این مسائل در تاریخ 10 سپتامبر 2015 یا قبل از آن مطلع شدند. وصله کد منبع برای این مشکلات در مخزن پروژه منبع باز Android (AOSP) منتشر شده است.

شدیدترین این مشکلات یک آسیب پذیری امنیتی بحرانی است که می تواند اجرای کد از راه دور را در دستگاه آسیب دیده از طریق چندین روش مانند ایمیل، مرور وب و MMS هنگام پردازش فایل های رسانه ای فعال کند. ارزیابی شدت بر اساس تأثیری است که بهره‌برداری از آسیب‌پذیری احتمالاً روی دستگاه آسیب‌دیده می‌گذارد، با این فرض که پلت‌فرم و کاهش خدمات برای اهداف توسعه غیرفعال شده باشند یا اگر با موفقیت دور زده شوند.

ما هیچ گزارشی مبنی بر بهره برداری فعال مشتری از این مشکلات گزارش شده جدید نداشته ایم. برای جزئیات بیشتر در مورد محافظت از پلتفرم امنیتی اندروید و محافظت از خدمات مانند SafetyNet، که امنیت پلتفرم اندروید را بهبود می بخشد، به بخش کاهش دهنده ها مراجعه کنید. ما همه مشتریان را تشویق می کنیم که این به روز رسانی ها را برای دستگاه های خود بپذیرند.

اقدامات کاهشی

این خلاصه‌ای از کاهش‌های ارائه‌شده توسط پلتفرم امنیتی Android و محافظت‌های خدماتی مانند SafetyNet است. این قابلیت ها احتمال سوء استفاده موفقیت آمیز از آسیب پذیری های امنیتی در اندروید را کاهش می دهد.

  • بهره برداری از بسیاری از مسائل در اندروید با پیشرفت در نسخه های جدیدتر پلتفرم اندروید دشوارتر شده است. ما همه کاربران را تشویق می کنیم تا در صورت امکان به آخرین نسخه اندروید بروزرسانی کنند.
  • تیم امنیت Android با Verify Apps و SafetyNet که در مورد برنامه‌های بالقوه مضر در شرف نصب هشدار می‌دهند، به طور فعال در حال نظارت بر سوء استفاده است. ابزارهای روت کردن دستگاه در Google Play ممنوع است. برای محافظت از کاربرانی که برنامه‌های خارج از Google Play را نصب می‌کنند، Verify Apps به طور پیش‌فرض فعال است و به کاربران در مورد برنامه‌های روت‌شده شناخته شده هشدار می‌دهد. Verify Apps تلاش می کند تا نصب برنامه های مخرب شناخته شده ای را که از یک آسیب پذیری افزایش امتیاز سوء استفاده می کنند، شناسایی و مسدود کند. اگر چنین برنامه‌ای قبلاً نصب شده باشد، Verify Apps به کاربر اطلاع می‌دهد و سعی می‌کند چنین برنامه‌هایی را حذف کند.
  • در صورت لزوم، Google برنامه‌های Hangouts و Messenger را به‌روزرسانی کرده است تا رسانه‌ها به‌طور خودکار به فرآیندهای آسیب‌پذیر (مانند مدیا سرور) منتقل نشوند.

سپاسگزاریها

مایلیم از این پژوهشگران به خاطر مشارکتشان تشکر کنیم:

  • برنان لاتنر: CVE-2015-3863
  • Chiachih Wu و Xuxian Jiang از تیم C0RE از Qihoo 360: CVE-2015-3868, CVE-2015-3869, CVE-2015-3862
  • یاجین ژو، لی وو و ژوکیان جیانگ از تیم C0RE از Qihoo 360: CVE-2015-3865
  • دانیل میکای (daniel.micay@copperhead.co) در Copperhead Security: CVE-2015-3875
  • dragonltx تیم امنیت موبایل علی بابا: CVE-2015-6599
  • ایان بیر و استیون ویتیتو از Google Project Zero: CVE-2015-6604
  • خواکین رینودو (@xeroxnir) و ایوان آرس (@4Dgifts) از Programa STIC در Fundación Dr. Manuel Sadosky، بوئنوس آیرس آرژانتین: CVE-2015-3870
  • جاش دریک از Zimperium: CVE-2015-3876، CVE-2015-6602
  • جردن گروسکوفنجاک از Exodus Intelligence (@jgrusko): CVE-2015-3867
  • پیتر پای از Trend Micro: CVE-2015-3872، CVE-2015-3871
  • پینگ لی از Qihoo 360 Technology Co. Ltd: CVE-2015-3878
  • هفت شن: CVE-2015-6600، CVE-2015-3847
  • Wangtao (neobyte) Baidu X-Team: CVE-2015-6598
  • Wish Wu از Trend Micro Inc. (@wish_wu): CVE-2015-3823
  • مایکل رولاند از JR-Center u'smile در دانشگاه علوم کاربردی، اتریش علیا/ هاگنبرگ: CVE-2015-6606

ما همچنین می‌خواهیم از مشارکت تیم امنیتی Chrome، تیم امنیتی Google، پروژه صفر و سایر افراد در Google برای گزارش چندین مشکل رفع‌شده در این بولتن قدردانی کنیم.

جزئیات آسیب پذیری امنیتی

در بخش‌های زیر، جزئیات هر یک از آسیب‌پذیری‌های امنیتی که در سطح وصله ۲۰۱۵-۱۰-۰۱ اعمال می‌شوند را ارائه می‌کنیم. شرحی از مشکل، دلیل شدت، و جدولی با CVE، اشکال مرتبط، شدت، نسخه های آسیب دیده و تاریخ گزارش شده وجود دارد. در صورت وجود، ما تغییر AOSP را که مشکل را حل می‌کند به شناسه اشکال مرتبط کرده‌ایم. هنگامی که تغییرات متعدد به یک باگ مربوط می شود، ارجاعات اضافی AOSP به اعدادی که پس از شناسه اشکال مرتبط هستند، مرتبط می شوند.

آسیب پذیری های اجرای کد از راه دور در libstagefright

آسیب‌پذیری‌هایی در libstagefright وجود دارد که می‌تواند به مهاجم اجازه دهد، در طول فایل رسانه و پردازش داده‌های یک فایل ساخته‌شده خاص، باعث خرابی حافظه و اجرای کد از راه دور در سرویس سرور رسانه شود.

این مسائل به دلیل امکان اجرای کد از راه دور به عنوان یک سرویس ممتاز، به عنوان یک شدت بحرانی رتبه بندی می شوند. اجزای آسیب‌دیده به جریان‌های صوتی و تصویری و همچنین به امتیازاتی دسترسی دارند که برنامه‌های شخص ثالث معمولاً نمی‌توانند به آنها دسترسی داشته باشند.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2015-3873 ANDROID-20674086 [ 2 , 3 , 4 ] بحرانی 5.1 و پایین تر گوگل داخلی
ANDROID-20674674 [ 2 , 3 , 4 ]
ANDROID-20718524
ANDROID-21048776
ANDROID-21443020
ANDROID-21814993
ANDROID-22008959
ANDROID-22077698
ANDROID-22388975
ANDROID-22845824
ANDROID-23016072
ANDROID-23247055
ANDROID-23248776
ANDROID-20721050 بحرانی 5.0 و 5.1 گوگل داخلی
CVE-2015-3823 ANDROID-21335999 بحرانی 5.1 و پایین تر 20 مه 2015
CVE-2015-6600 ANDROID-22882938 بحرانی 5.1 و پایین تر 31 جولای 2015
CVE-2015-6601 ANDROID-22935234 بحرانی 5.1 و پایین تر 3 اوت 2015
CVE-2015-3869 ANDROID-23036083 بحرانی 5.1 و پایین تر 4 اوت 2015
CVE-2015-3870 ANDROID-22771132 بحرانی 5.1 و پایین تر 5 اوت 2015
CVE-2015-3871 ANDROID-23031033 بحرانی 5.1 و پایین تر 6 اوت 2015
CVE-2015-3868 ANDROID-23270724 بحرانی 5.1 و پایین تر 6 اوت 2015
CVE-2015-6604 ANDROID-23129786 بحرانی 5.1 و پایین تر 11 اوت 2015
CVE-2015-3867 ANDROID-23213430 بحرانی 5.1 و پایین تر 14 اوت 2015
CVE-2015-6603 ANDROID-23227354 بحرانی 5.1 و پایین تر 15 اوت 2015
CVE-2015-3876 ANDROID-23285192 بحرانی 5.1 و پایین تر 15 اوت 2015
CVE-2015-6598 ANDROID-23306638 بحرانی 5.1 و پایین تر 18 اوت 2015
CVE-2015-3872 ANDROID-23346388 بحرانی 5.1 و پایین تر 19 اوت 2015
CVE-2015-6599 ANDROID-23416608 بحرانی 5.1 و پایین تر 21 اوت 2015

آسیب پذیری های اجرای کد از راه دور در Sonivox

آسیب‌پذیری‌هایی در Sonivox وجود دارد که به مهاجم اجازه می‌دهد در طول پردازش فایل رسانه‌ای یک فایل ساخته‌شده خاص، باعث خرابی حافظه و اجرای کد از راه دور در سرویس سرور رسانه شود. این موضوع به دلیل امکان اجرای کد از راه دور به عنوان یک سرویس ممتاز، به عنوان یک شدت بحرانی رتبه بندی می شود. مؤلفه آسیب‌دیده به جریان‌های صوتی و تصویری و همچنین به امتیازاتی دسترسی دارد که برنامه‌های شخص ثالث معمولاً نمی‌توانند به آنها دسترسی داشته باشند.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2015-3874 ANDROID-23335715 بحرانی 5.1 و پایین تر چندگانه
ANDROID-23307276 [ 2 ]
ANDROID-23286323

آسیب پذیری های اجرای کد از راه دور در libutils

آسیب پذیری در libutils، یک کتابخانه عمومی، در پردازش فایل های صوتی وجود دارد. این آسیب‌پذیری‌ها می‌تواند به مهاجم اجازه دهد در طول پردازش یک فایل ساخته‌شده خاص، باعث خرابی حافظه و اجرای کد از راه دور در سرویسی شود که از این کتابخانه استفاده می‌کند، مانند مدیا سرور.

عملکرد آسیب‌دیده به‌عنوان یک API برنامه ارائه می‌شود و برنامه‌های متعددی وجود دارد که امکان دسترسی به آن را با محتوای راه دور فراهم می‌کند، به ویژه MMS و پخش رسانه از مرورگر. این موضوع به دلیل امکان اجرای کد از راه دور در یک سرویس ممتاز، به عنوان یک شدت بحرانی رتبه بندی می شود. مؤلفه آسیب‌دیده به جریان‌های صوتی و تصویری و همچنین به امتیازاتی دسترسی دارد که برنامه‌های شخص ثالث معمولاً نمی‌توانند به آنها دسترسی داشته باشند.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2015-3875 ANDROID-22952485 بحرانی 5.1 و پایین تر 15 اوت 2015
CVE-2015-6602 ANDROID-23290056 [ 2 ] بحرانی 5.1 و پایین تر 15 اوت 2015

آسیب پذیری اجرای کد از راه دور در Skia

یک آسیب‌پذیری در مؤلفه Skia ممکن است هنگام پردازش یک فایل رسانه‌ای ساخته‌شده به‌ویژه مورد استفاده قرار گیرد، که می‌تواند منجر به تخریب حافظه و اجرای کد از راه دور در یک فرآیند ممتاز شود. این مشکل به دلیل امکان اجرای کد از راه دور از طریق چندین روش حمله مانند ایمیل، مرور وب و MMS هنگام پردازش فایل های رسانه ای، به عنوان یک شدت بحرانی رتبه بندی می شود.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2015-3877 ANDROID-20723696 بحرانی 5.1 و پایین تر 30 جولای 2015

آسیب پذیری های اجرای کد از راه دور در libFLAC

یک آسیب پذیری در libFLAC در پردازش فایل های رسانه ای وجود دارد. این آسیب‌پذیری‌ها می‌تواند به مهاجم اجازه دهد، در طول پردازش یک فایل خاص، باعث خرابی حافظه و اجرای کد از راه دور شود.

عملکرد آسیب‌دیده به‌عنوان یک API برنامه ارائه می‌شود و برنامه‌های متعددی وجود دارد که امکان دسترسی به آن را با محتوای راه دور، مانند پخش رسانه در مرورگر، فراهم می‌کند. این موضوع به دلیل امکان اجرای کد از راه دور در یک سرویس ممتاز، به عنوان یک شدت بحرانی رتبه بندی می شود. مؤلفه آسیب‌دیده به جریان‌های صوتی و تصویری و همچنین به امتیازاتی دسترسی دارد که برنامه‌های شخص ثالث معمولاً نمی‌توانند به آنها دسترسی داشته باشند.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2014-9028 ANDROID-18872897 [ 2 ] بحرانی 5.1 و پایین تر 14 نوامبر 2014

افزایش آسیب پذیری Privilege در KeyStore

افزایش آسیب‌پذیری امتیاز در مؤلفه KeyStore ممکن است توسط یک برنامه مخرب هنگام فراخوانی به APIهای KeyStore اعمال شود. این برنامه می تواند باعث خرابی حافظه و اجرای کد دلخواه در زمینه KeyStore شود. این مشکل به عنوان شدت بالا رتبه بندی می شود زیرا می توان از آن برای دسترسی به امتیازاتی استفاده کرد که مستقیماً برای یک برنامه شخص ثالث قابل دسترسی نیستند.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2015-3863 ANDROID-22802399 بالا 5.1 و پایین تر 28 جولای 2015

افزایش آسیب پذیری امتیاز در چارچوب Media Player

افزایش آسیب‌پذیری امتیاز در مؤلفه چارچوب رسانه پخش‌کننده می‌تواند به یک برنامه مخرب اجازه دهد تا کد دلخواه را در چارچوب مدیا سرور اجرا کند. این مشکل به‌عنوان شدت بالا رتبه‌بندی می‌شود، زیرا به یک برنامه مخرب اجازه می‌دهد به امتیازاتی دسترسی پیدا کند که برای یک برنامه شخص ثالث قابل دسترسی نیست.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2015-3879 ANDROID-23223325 [2]* بالا 5.1 و پایین تر 14 اوت 2015

* تغییر دوم برای این موضوع در AOSP نیست. این به‌روزرسانی در جدیدترین درایورهای باینری دستگاه‌های Nexus موجود در سایت Google Developer موجود است.

افزایش آسیب پذیری Privilege در Android Runtime

افزایش آسیب‌پذیری امتیاز در Android Runtime می‌تواند یک برنامه مخرب محلی را قادر سازد تا کد دلخواه را در چارچوب یک برنامه سیستم بالا اجرا کند. این مشکل به‌عنوان شدت بالا رتبه‌بندی می‌شود، زیرا می‌توان از آن برای به دست آوردن قابلیت‌های بالا استفاده کرد، مانند امتیازات مجوز Signature یا SignatureOrSystem ، که برای برنامه‌های شخص ثالث قابل دسترسی نیستند.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2015-3865 ANDROID-23050463 [ 2 ] بالا 5.1 و پایین تر 8 اوت 2015

افزایش آسیب پذیری های امتیاز در مدیا سرور

آسیب‌پذیری‌های متعددی در مدیاسرور وجود دارد که می‌تواند یک برنامه مخرب محلی را قادر سازد تا کد دلخواه را در چارچوب یک سرویس بومی ممتاز اجرا کند. این مشکل به عنوان شدت بالا رتبه بندی می شود زیرا می توان از آن برای دسترسی به امتیازاتی استفاده کرد که مستقیماً برای یک برنامه شخص ثالث قابل دسترسی نیستند.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2015-6596 ANDROID-20731946 بالا 5.1 و پایین تر چندگانه
ANDROID-20719651*
ANDROID-19573085 بالا 5.0 - 6.0 گوگل داخلی

* پچ این مشکل در AOSP نیست. این به‌روزرسانی در جدیدترین درایورهای باینری دستگاه‌های Nexus موجود در سایت Google Developer موجود است.

افزایش آسیب پذیری امتیاز در کیت ارزیابی عنصر امن

یک آسیب‌پذیری در افزونه SEEK (کیت ارزیابی عناصر امن، با نام مستعار SmartCard API) می‌تواند به برنامه اجازه دهد بدون درخواست مجوزهای بالاتری را دریافت کند. این مشکل به‌عنوان شدت بالا رتبه‌بندی می‌شود، زیرا می‌توان از آن برای به دست آوردن قابلیت‌های بالا استفاده کرد، مانند امتیازات مجوز Signature یا SignatureOrSystem ، که برای برنامه‌های شخص ثالث قابل دسترسی نیستند.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2015-6606 ANDROID-22301786* بالا 5.1 و پایین تر 30 ژوئن 2015

* ارتقایی که این مشکل را برطرف می کند در سایت SEEK for Android قرار دارد.

افزایش آسیب پذیری امتیاز در طرح رسانه ای

یک آسیب‌پذیری در مؤلفه Media Projection می‌تواند به داده‌های کاربر در قالب عکس‌های فوری صفحه نمایش داده شود. این مشکل نتیجه این است که سیستم عامل اجازه می دهد نام برنامه های بیش از حد طولانی را مجاز کند. استفاده از این نام‌های طولانی توسط یک برنامه مخرب محلی ممکن است از مشاهده هشدار در مورد ضبط صفحه توسط کاربر جلوگیری کند. این مشکل به‌عنوان شدت متوسط ​​رتبه‌بندی می‌شود، زیرا می‌توان از آن برای به دست آوردن مجوزهای بالا استفاده کرد.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2015-3878 ANDROID-23345192 در حد متوسط 5.0 - 6.0 18 اوت 2015

افزایش آسیب پذیری امتیاز در بلوتوث

یک آسیب پذیری در مؤلفه بلوتوث اندروید می تواند به یک برنامه اجازه دهد پیام های SMS ذخیره شده را حذف کند. این مشکل به‌عنوان شدت متوسط ​​رتبه‌بندی می‌شود، زیرا می‌توان از آن برای به دست آوردن مجوزهای بالا استفاده کرد.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2015-3847 ANDROID-22343270 در حد متوسط 5.1 و پایین تر 8 جولای 2015

افزایش آسیب پذیری های امتیاز در SQLite

آسیب پذیری های متعددی در موتور تجزیه SQLite کشف شد. این آسیب‌پذیری‌ها ممکن است توسط یک برنامه محلی قابل بهره‌برداری باشد که می‌تواند باعث شود برنامه یا سرویس دیگری درخواست‌های SQL دلخواه را اجرا کند. بهره برداری موفقیت آمیز می تواند منجر به اجرای کد دلخواه در زمینه برنامه هدف شود.

اصلاحی در 8 آوریل 2015 در AOSP master آپلود شد و نسخه SQLite را به 3.8.9 ارتقا داد: https://android-review.googlesource.com/#/c/145961/

این بولتن حاوی وصله‌هایی برای نسخه‌های SQLite در اندروید 4.4 (SQLite 3.7.11) و اندروید 5.0 و 5.1 (SQLite 3.8.6) است.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2015-6607 ANDROID-20099586 در حد متوسط 5.1 و پایین تر 7 آوریل 2015
عمومی شناخته شده است

انکار آسیب پذیری های سرویس در مدیا سرور

آسیب‌پذیری‌های متعددی در مدیاسرور وجود دارد که می‌تواند با از کار انداختن فرآیند مدیاسرور باعث انکار سرویس شود. این مسائل به‌عنوان شدت کم رتبه‌بندی می‌شوند، زیرا این اثر با خرابی سرور رسانه که منجر به انکار موقت سرویس محلی می‌شود، تجربه می‌شود.

CVE اشکال (ها) با پیوندهای AOSP شدت نسخه های تحت تأثیر تاریخ گزارش شده
CVE-2015-6605 ANDROID-20915134 کم 5.1 و پایین تر گوگل داخلی
ANDROID-23142203
ANDROID-22278703 کم 5.0 - 6.0 گوگل داخلی
CVE-2015-3862 ANDROID-22954006 کم 5.1 و پایین تر 2 اوت 2015

تجدید نظرها

  • 5 اکتبر 2015: بولتن منتشر شد.
  • 07 اکتبر 2015: بولتن با مراجع AOSP به روز شد. مراجع اشکال برای CVE-2014-9028 روشن شد.
  • 12 اکتبر 2015: قدردانی های به روز شده برای CVE-2015-3868، CVE-2015-3869، CVE-2015-3865، CVE-2015-3862.
  • 22 ژانویه 2016: قدردانی های به روز شده برای CVE-2015-6606.
  • 28 آوریل 2016: CVE-2015-6603 اضافه شد و اشتباه تایپی با CVE-2014-9028 تصحیح شد.