תאריך פרסום: 5 באוקטובר 2015 | תאריך עדכון: 28 באפריל 2016
השקנו עדכון אבטחה למכשירי Nexus באמצעות עדכון אוויר (OTA) כחלק מתהליך ההשקה החודשי של עדכוני האבטחה של Android. קובצי האימג' של קושחת Nexus פורסמו גם באתר Google Developers. הגרסאות LMY48T ואילך (למשל LMY48W) ו-Android M עם תיקון האבטחה ברמה של 1 באוקטובר 2015 ואילך פותרות את הבעיות האלה. הוראות לבדיקה של רמת תיקון האבטחה מפורטות במסמכי העזרה של Nexus.
השותפים עודכנו בבעיות האלה ב-10 בספטמבר 2015 או לפני כן. תיקוני קוד מקור לבעיות האלה פורסמו במאגר של פרויקט קוד הפתוח של Android (AOSP).
הבעיה החמורה ביותר היא נקודת חולשה קריטית באבטחה שעלולה לאפשר ביצוע קוד מרחוק במכשיר מושפע באמצעות כמה שיטות, כמו אימייל, גלישה באינטרנט והודעות MMS במהלך עיבוד קובצי מדיה. הערכת החומרה מבוססת על ההשפעה שעלולה להיות לניצול נקודת החולשה על מכשיר מושפע, בהנחה שהאמצעי למזעור הפגיעות בפלטפורמה ובשירות מושבתים למטרות פיתוח או אם הם עוקפים בהצלחה.
לא קיבלנו דיווחים על ניצול פעיל של הבעיות החדשות האלה על ידי לקוחות. בקטע הקלות מפורטים אמצעי ההגנה של פלטפורמת האבטחה של Android ואמצעי ההגנה של השירותים, כמו SafetyNet, שמשפרים את האבטחה של פלטפורמת Android. אנחנו ממליצים לכל הלקוחות לאשר את העדכונים האלה במכשירים שלהם.
פעולות מיטיגציה
זהו סיכום של אמצעי ההפחתה שסופקו על ידי פלטפורמת האבטחה של Android והגנות על שירותים כמו SafetyNet. היכולות האלה מצמצמות את הסבירות לניצול נקודות חולשה באבטחה ב-Android.
- שיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של בעיות רבות ב-Android. אנחנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
- צוות האבטחה של Android עוקב באופן פעיל אחר ניצול לרעה באמצעות Verify Apps ו-SafetyNet, שיזהירו מפני אפליקציות שעלולות להזיק ועומדות להתקנה. אסור לפרסם כלים להסרת האבטחה (rooting) של מכשירים ב-Google Play. כדי להגן על משתמשים שמתקינים אפליקציות ממקורות מחוץ ל-Google Play, התכונה 'אימות אפליקציות' מופעלת כברירת מחדל ומזהירה משתמשים מפני אפליקציות ידועות לצורך קבלת הרשאת root. Verify Apps מנסה לזהות ולחסום התקנה של אפליקציות זדוניות ידועות שמנצלות נקודת חולשה של הסלמת הרשאות. אם אפליקציה כזו כבר הותקנה, התכונה 'אימות אפליקציות' תודיע למשתמש ותנסה להסיר את האפליקציות האלה.
- Google עדכנה את אפליקציות Hangouts ו-Messenger בהתאם, כדי שהמדיה לא תועבר באופן אוטומטי לתהליכים נחשפים (כמו mediaserver).
תודות
אנחנו רוצים להודות לחוקרים הבאים על התרומות שלהם:
- ברנאן לאונר (Brennan Lautner): CVE-2015-3863
- צ'יאצ'י הו (Chiachih Wu) ו-Xuxian Jiang מצוות C0RE של Qihoo 360: CVE-2015-3868, CVE-2015-3869, CVE-2015-3862
- Yajin Zhou, Lei Wu ו-Xuxian Jiang מצוות C0RE של Qihoo 360: CVE-2015-3865
- דניאל מיקי (daniel.micay@copperhead.co) מ-Copperhead Security: CVE-2015-3875
- dragonltx מצוות האבטחה של Alibaba Mobile: CVE-2015-6599
- איאן באר (Ian Beer) וסטיבן ויטיו (Steven Vittitoe) מ-Project Zero של Google: CVE-2015-6604
- Joaquín Rinaudo (@xeroxnir) ו-Iván Arce (@4Dgifts) מ-Programa STIC ב-Fundación Dr. Manuel Sadosky, בואנוס איירס, ארגנטינה: CVE-2015-3870
- ג'וש דרייק (Josh Drake) מ-Zimperium: CVE-2015-3876, CVE-2015-6602
- Jordan Gruskovnjak מ-Exodus Intelligence (@jgrusko): CVE-2015-3867
- Peter Pi מ-Trend Micro: CVE-2015-3872, CVE-2015-3871
- פינג לי (Ping Li) מ-Qihoo 360 Technology Co. Ltd: CVE-2015-3878
- Seven Shen: CVE-2015-6600, CVE-2015-3847
- Wangtao(neobyte) מצוות X של Baidu: CVE-2015-6598
- Wish Wu מ-Trend Micro Inc. (@wish_wu): CVE-2015-3823
- Michael Roland מ-JR-Center u'smile באוניברסיטת Hagenberg לאומנויות ומדעים, אוסטריה העליונה: CVE-2015-6606
אנחנו רוצים גם להודות לצוות האבטחה של Chrome, לצוות האבטחה של Google, ל-Project Zero ולאנשים אחרים ב-Google שדיווחו על כמה מהבעיות שפורטו בהודעה הזו.
פרטי נקודת החולשה באבטחה
בקטעים הבאים מפורטים פרטים על כל נקודת החולשה באבטחה שחלה על רמת התיקון 2015-10-01. הדיווח כולל תיאור של הבעיה, הסבר על מידת החומרה וטבלה עם מספר ה-CVE, הבאג המשויך, מידת החומרה, הגרסאות המושפעות והתאריך שבו הבעיה דווחה. במקרים שבהם יש שינוי ב-AOSP שפותר את הבעיה, קישרנו אותו למזהה הבאג. כשיש כמה שינויים שקשורים לבאג אחד, הפניות נוספות ל-AOSP מקושרות למספרים שמופיעים אחרי מזהה הבאג.
נקודות חולשה לביצוע קוד מרחוק ב-libstagefright
יש נקודות חולשה ב-libstagefright שעלולות לאפשר לתוקף, במהלך עיבוד נתונים וקובצי מדיה של קובץ שנוצר במיוחד, לגרום לנזק בזיכרון ולהרצת קוד מרחוק בשירות mediaserver.
הבעיות האלה מדורגות ברמת סיכון קריטית בגלל האפשרות להריץ קוד מרחוק כשירות בעל הרשאות. לרכיבים המושפעים יש גישה למקורות אודיו ווידאו, וגם הרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-3873 | ANDROID-20674086 [2,3,4] | קריטי | 5.1 ומטה | Google פנימי |
| ANDROID-20674674 [2,3,4] | ||||
| ANDROID-20718524 | ||||
| ANDROID-21048776 | ||||
| ANDROID-21443020 | ||||
| ANDROID-21814993 | ||||
| ANDROID-22008959 | ||||
| ANDROID-22077698 | ||||
| ANDROID-22388975 | ||||
| ANDROID-22845824 | ||||
| ANDROID-23016072 | ||||
| ANDROID-23247055 | ||||
| ANDROID-23248776 | ||||
| ANDROID-20721050 | קריטי | 5.0 ו-5.1 | Google פנימי | |
| CVE-2015-3823 | ANDROID-21335999 | קריטי | 5.1 ומטה | 20 במאי 2015 |
| CVE-2015-6600 | ANDROID-22882938 | קריטי | 5.1 ומטה | 31 ביולי 2015 |
| CVE-2015-6601 | ANDROID-22935234 | קריטי | 5.1 ומטה | 3 באוגוסט 2015 |
| CVE-2015-3869 | ANDROID-23036083 | קריטי | 5.1 ומטה | 4 באוגוסט 2015 |
| CVE-2015-3870 | ANDROID-22771132 | קריטי | 5.1 ומטה | 5 באוגוסט 2015 |
| CVE-2015-3871 | ANDROID-23031033 | קריטי | 5.1 ומטה | 6 באוגוסט 2015 |
| CVE-2015-3868 | ANDROID-23270724 | קריטי | 5.1 ומטה | 6 באוגוסט 2015 |
| CVE-2015-6604 | ANDROID-23129786 | קריטי | 5.1 ומטה | 11 באוגוסט 2015 |
| CVE-2015-3867 | ANDROID-23213430 | קריטי | 5.1 ומטה | 14 באוגוסט 2015 |
| CVE-2015-6603 | ANDROID-23227354 | קריטי | 5.1 ומטה | 15 באוגוסט 2015 |
| CVE-2015-3876 | ANDROID-23285192 | קריטי | 5.1 ומטה | 15 באוגוסט 2015 |
| CVE-2015-6598 | ANDROID-23306638 | קריטי | 5.1 ומטה | 18 באוגוסט 2015 |
| CVE-2015-3872 | ANDROID-23346388 | קריטי | 5.1 ומטה | 19 באוגוסט 2015 |
| CVE-2015-6599 | ANDROID-23416608 | קריטי | 5.1 ומטה | 21 באוגוסט 2015 |
נקודות חולשה לביצוע קוד מרחוק ב-Sonivox
יש נקודות חולשה ב-Sonivox שעלולות לאפשר לתוקף, במהלך עיבוד של קובץ מדיה שנוצר במיוחד, לגרום לנזק בזיכרון ולהרצת קוד מרחוק בשירות mediaserver. הדירוג של הבעיה הזו הוא קריטי בגלל האפשרות להריץ קוד מרחוק כשירות בעל הרשאות. לרכיב המושפע יש גישה למקורות אודיו ווידאו, וגם גישה להרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-3874 | ANDROID-23335715 | קריטי | 5.1 ומטה | יותר מאחת |
| ANDROID-23307276 [2] | ||||
| ANDROID-23286323 |
נקודות חולשה של ביצוע קוד מרחוק ב-libutils
נקודות חולשה ב-libutils, ספרייה כללית, נמצאות בעיבוד של קובצי אודיו. נקודות החולשה האלה עלולות לאפשר לתוקף, במהלך עיבוד של קובץ שנוצר במיוחד, לגרום לנזק בזיכרון ולהרצת קוד מרחוק בשירות שמשתמש בספרייה הזו, כמו mediaserver.
הפונקציונליות המושפעת ניתנת כ-API של אפליקציה, ויש כמה אפליקציות שמאפשרות לגשת אליה באמצעות תוכן מרחוק, במיוחד MMS והפעלת מדיה בדפדפן. רמת החומרה של הבעיה הזו היא קריטית בגלל האפשרות לביצוע קוד מרחוק בשירות בעל הרשאות. לרכיב המושפע יש גישה להזרמות אודיו ווידאו, וגם גישה להרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-3875 | ANDROID-22952485 | קריטי | 5.1 ומטה | 15 באוגוסט 2015 |
| CVE-2015-6602 | ANDROID-23290056 [2] | קריטי | 5.1 ומטה | 15 באוגוסט 2015 |
נקודת חולשה לביצוע קוד מרחוק ב-Skia
נקודת חולשה ברכיב Skia עלולה להוביל לניצול לרעה במהלך עיבוד של קובץ מדיה שנוצר במיוחד, שעלול לגרום לשיבוש בזיכרון ולהרצת קוד מרחוק בתהליך בעל הרשאות. רמת החומרה של הבעיה היא קריטית בגלל האפשרות להריץ קוד מרחוק באמצעות כמה שיטות התקפה, כמו אימייל, גלישה באינטרנט ו-MMS, במהלך עיבוד קובצי מדיה.
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-3877 | ANDROID-20723696 | קריטי | 5.1 ומטה | 30 ביולי 2015 |
נקודות חולשה לביצוע קוד מרחוק ב-libFLAC
נקודת חולשה ב-libFLAC קיימת בעיבוד של קובצי מדיה. נקודות החולשה האלה עלולות לאפשר לתוקף, במהלך עיבוד של קובץ שנוצר במיוחד, לגרום לנזק בזיכרון ולהרצת קוד מרחוק.
הפונקציונליות המושפעת ניתנת כ-API של אפליקציה, ויש כמה אפליקציות שמאפשרות לגשת אליה באמצעות תוכן מרחוק, כמו הפעלת מדיה בדפדפן. רמת החומרה של הבעיה הזו היא קריטית בגלל האפשרות להריץ קוד מרחוק בשירות בעל הרשאות. לרכיב המושפע יש גישה להזרמות אודיו ווידאו, וגם גישה להרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2014-9028 | ANDROID-18872897 [2] | קריטי | 5.1 ומטה | 14 בנובמבר 2014 |
נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) ב-KeyStore
אפליקציה זדונית עשויה לנצל נקודת חולשה של הסלמת הרשאות ברכיב KeyStore בזמן קריאה ל-API של KeyStore. האפליקציה הזו עלולה לגרום לנזק בזיכרון ולביצוע קוד שרירותי בהקשר של KeyStore. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לגשת להרשאות שאפליקציה של צד שלישי לא יכולה לגשת אליהן ישירות.
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-3863 | ANDROID-22802399 | רחב | 5.1 ומטה | 28 ביולי 2015 |
נקודת חולשה מסוג הרשאות מוגברות ב-Media Player Framework
נקודת חולשה של העלאת הרשאות ברכיב של מסגרת נגן המדיה עלולה לאפשר לאפליקציה זדונית להריץ קוד שרירותי בהקשר של mediaserver. רמת החומרה של הבעיה הזו היא גבוהה כי היא מאפשרת לאפליקציה זדונית לגשת להרשאות שלא זמינות לאפליקציה של צד שלישי.
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-3879 | ANDROID-23223325 [2]* | רחב | 5.1 ומטה | 14 באוגוסט 2015 |
* שינוי שני לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ה-binary העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.
נקודת חולשה של הרשאות מורחבות בסביבת זמן ריצה ל-Android (ART)
נקודת חולשה של הסלמת הרשאות (privilege escalation) בסביבת זמן הריצה של Android עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של אפליקציית מערכת ברמה גבוהה יותר. רמת החומרה של הבעיה הזו היא גבוהה, כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-3865 | ANDROID-23050463 [2] | רחב | 5.1 ומטה | 8 באוגוסט 2015 |
נקודות חולשה של הסלמת הרשאות ב-Mediaserver
יש כמה נקודות חולשה ב-mediaserver שיכולות לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של שירות מקומי בעל הרשאות. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לגשת להרשאות שאפליקציה של צד שלישי לא יכולה לגשת אליהן ישירות.
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-6596 | ANDROID-20731946 | רחב | 5.1 ומטה | יותר מאחת |
| ANDROID-20719651* | ||||
| ANDROID-19573085 | רחב | 5.0 עד 6.0 | Google פנימי |
* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ה-binary העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.
נקודת חולשה של הרשאות מוגברות בערכת ההערכה של רכיב מאובטח
נקודת חולשה בפלאגין SEEK (Secure Element Evaluation Kit, שנקרא גם SmartCard API) עלולה לאפשר לאפליקציה לקבל הרשאות ברמה גבוהה יותר בלי לבקש אותן. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות משופרות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות צד שלישי לא יכולות לגשת אליהן.
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-6606 | ANDROID-22301786* | רחב | 5.1 ומטה | 30 ביוני 2015 |
* השדרוג שפותר את הבעיה הזו נמצא באתר של SEEK ל-Android.
נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) בהקרנת מדיה
נקודת חולשה ברכיב של הקרנת המדיה עלולה לאפשר חשיפת נתוני משתמשים בצורת צילומי מסך. הבעיה נובעת מכך שמערכת ההפעלה מאפשרת שמות של אפליקציות ארוכים מדי. שימוש בשמות הארוכים האלה על ידי אפליקציה זדונית מקומית עלול למנוע מהמשתמש לראות אזהרה על הקלטת מסך. רמת החומרה של הבעיה הזו היא בינונית, כי אפשר להשתמש בה כדי לקבל הרשאות גבוהות יותר באופן לא חוקי.
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-3878 | ANDROID-23345192 | בינונית | 5.0 עד 6.0 | 18 באוגוסט 2015 |
נקודת חולשה של הסלמת הרשאות ב-Bluetooth
נקודת חולשה ברכיב ה-Bluetooth של Android עלולה לאפשר לאפליקציה למחוק הודעות SMS שמאוחסנות. רמת החומרה של הבעיה הזו היא בינונית, כי אפשר להשתמש בה כדי לקבל הרשאות גישה ברמה גבוהה באופן לא תקין.
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-3847 | ANDROID-22343270 | בינונית | 5.1 ומטה | 8 ביולי 2015 |
נקודות חולשה של הרשאות גישה מורחבות ב-SQLite
התגלו מספר נקודות חולשה במנוע הניתוח של SQLite. אפליקציה מקומית עלולה לנצל את נקודות החולשה האלה כדי לגרום לאפליקציה או לשירות אחר לבצע שאילתות SQL שרירותיות. ניצול מוצלח עלול לגרום להפעלה של קוד שרירותי בהקשר של אפליקציית היעד.
תיקון הועלה ל-AOSP main ב-8 באפריל 2015, והשדרג את גרסת SQLite ל-3.8.9: https://android-review.googlesource.com/#/c/145961/
העדכון הזה מכיל תיקונים לגרסאות SQLite ב-Android 4.4 (SQLite 3.7.11) וב-Android 5.0 ו-5.1 (SQLite 3.8.6).
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-6607 | ANDROID-20099586 | בינונית | 5.1 ומטה | 7 באפריל 2015 ידוע לכולם |
נקודות חולשה של התקפת מניעת שירות (DoS) ב-Mediaserver
יש כמה נקודות חולשה ב-mediaserver שעלולות לגרום להתקפת מניעת שירות (DoS) על ידי קריסה של תהליך mediaserver. הבעיות האלה מדורגות ברמת חומרה נמוכה כי ההשפעה היא קריסה של שרת המדיה, וכתוצאה מכך התקפת מניעת שירות (DoS) מקומית זמנית.
| CVE | באגים בקישורים ל-AOSP | מידת החומרה | גרסאות שהושפעו | תאריך דיווח |
|---|---|---|---|---|
| CVE-2015-6605 | ANDROID-20915134 | נמוכה | 5.1 ומטה | Google פנימי |
| ANDROID-23142203 | ||||
| ANDROID-22278703 | נמוכה | 5.0 עד 6.0 | Google פנימי | |
| CVE-2015-3862 | ANDROID-22954006 | נמוכה | 5.1 ומטה | 2 באוגוסט 2015 |
גרסאות קודמות
- 5 באוקטובר 2015: פורסם עדכון בנושא.
- 7 באוקטובר 2015: העדכון עודכן בהפניות ל-AOSP. הבהרת ההפניות לבאגים בנושא CVE-2014-9028.
- 12 באוקטובר 2015: עדכנו את האישור על נקודות החולשה CVE-2015-3868, CVE-2015-3869, CVE-2015-3865 ו-CVE-2015-3862.
- 22 בינואר 2016: עדכנו את ההודעות על אישור ל-CVE-2015-6606.
- 28 באפריל 2016: נוספה CVE-2015-6603 ונתקנה שגיאת הקלדה ב-CVE-2014-9028.