Publicado em 5 de outubro de 2015 | Atualizado em 28 de abril de 2016
Lançamos uma atualização de segurança para dispositivos Nexus por uma atualização OTA como parte do nosso processo de lançamento mensal do Boletim de segurança do Android. As imagens de firmware do Nexus também foram lançadas no site para desenvolvedores do Google. As versões LMY48T ou mais recentes (como LMY48W) e o Android M com o nível de correção de segurança de 1º de outubro de 2015 ou mais recente resolvem esses problemas. Consulte a documentação do Nexus para instruções sobre como verificar o nível do patch de segurança.
Os parceiros foram notificados sobre esses problemas em 10 de setembro de 2015 ou antes. Os patches de código-fonte para esses problemas foram lançados no repositório do Android Open Source Project (AOSP).
O problema mais grave é uma vulnerabilidade de segurança crítica que pode permitir a execução remota de código em um dispositivo afetado por vários métodos, como e-mail, navegação na Web e MMS ao processar arquivos de mídia. A avaliação de gravidade é baseada no efeito que a exploração da vulnerabilidade teria em um dispositivo afetado, supondo que as mitigações de plataforma e serviço estejam desativadas para fins de desenvolvimento ou se forem contornadas.
Não recebemos relatos de clientes que estão usando ativamente esses problemas recém relatados. Consulte a seção Mitigações para saber mais sobre as proteções da plataforma de segurança do Android e as proteções de serviço, como a SafetyNet, que melhoram a segurança da plataforma Android. Recomendamos que todos os clientes aceitem essas atualizações nos dispositivos.
Mitigações
Este é um resumo das mitigações fornecidas pela plataforma de segurança do Android e proteções de serviço, como a SafetyNet. Esses recursos reduzem a probabilidade de que vulnerabilidades de segurança sejam exploradas no Android.
- A exploração de muitos problemas no Android fica mais difícil devido a melhorias nas versões mais recentes da plataforma Android. Recomendamos que todos os usuários atualizem para a versão mais recente do Android, sempre que possível.
- A equipe de segurança do Android monitora ativamente o abuso com o Verify Apps e a SafetyNet, que alertam sobre aplicativos potencialmente nocivos que estão prestes a ser instalados. Ferramentas de acesso root a dispositivos são proibidas no Google Play. Para proteger os usuários que instalam apps de fora do Google Play, a verificação de apps está ativada por padrão e alerta os usuários sobre apps de acesso root conhecidos. O Verify Apps tenta identificar e bloquear a instalação de aplicativos maliciosos conhecidos que exploram uma vulnerabilidade de elevação de privilégios. Se esse app já tiver sido instalado, o recurso "Verificar apps" vai notificar o usuário e tentar remover esses apps.
- Conforme apropriado, o Google atualizou os aplicativos Hangouts e Messenger para que a mídia não seja transmitida automaticamente para processos vulneráveis, como mediaserver.
Agradecimentos
Agradecemos as contribuições dos seguintes pesquisadores:
- Brennan Lautner: CVE-2015-3863
- Chiachih Wu e Xuxian Jiang da equipe C0RE da Qihoo 360: CVE-2015-3868, CVE-2015-3869, CVE-2015-3862
- Yajin Zhou, Lei Wu e Xuxian Jiang da equipe C0RE da Qihoo 360: CVE-2015-3865
- Daniel Micay (daniel.micay@copperhead.co) na Copperhead Security: CVE-2015-3875
- dragonltx da equipe de segurança de dispositivos móveis da Alibaba: CVE-2015-6599
- Ian Beer e Steven Vittitoe do Project Zero do Google: CVE-2015-6604
- Joaquín Rinaudo (@xeroxnir) e Iván Arce (@4Dgifts) do Programa STIC na Fundación Dr. Manuel Sadosky, Buenos Aires, Argentina: CVE-2015-3870
- Josh Drake, da Zimperium: CVE-2015-3876, CVE-2015-6602
- Jordan Gruskovnjak, da Exodus Intelligence (@jgrusko): CVE-2015-3867
- Peter Pi, da Trend Micro: CVE-2015-3872, CVE-2015-3871
- Ping Li, da Qihoo 360 Technology Co. Ltd.: CVE-2015-3878
- Seven Shen: CVE-2015-6600, CVE-2015-3847
- Wangtao(neobyte) da equipe Baidu X: CVE-2015-6598
- Wish Wu da Trend Micro Inc. (@wish_wu): CVE-2015-3823
- Michael Roland, da JR-Center u'smile, na Universidade de Ciências Aplicadas, Alta Áustria/ Hagenberg: CVE-2015-6606
Também gostaríamos de reconhecer as contribuições da Equipe de Segurança do Chrome, da Equipe de Segurança do Google, do Project Zero e de outras pessoas do Google que informaram vários problemas corrigidos neste boletim.
Detalhes da vulnerabilidade de segurança
Nas seções abaixo, fornecemos detalhes sobre cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 2015-10-01. Há uma descrição do problema, um raciocínio sobre a gravidade e uma tabela com a CVE, o bug associado, a gravidade, as versões afetadas e a data de notificação. Quando disponível, vinculamos a mudança do AOSP que corrigiu o problema ao ID do bug. Quando várias mudanças se relacionam a um único bug, outras referências do AOSP são vinculadas a números após o ID do bug.
Vulnerabilidades de execução remota de código no libstagefright
Existem vulnerabilidades no libstagefright que podem permitir que um invasor, durante o processamento de arquivos de mídia e dados de um arquivo criado especialmente, cause corrupção de memória e execução remota de código no serviço de mediaserver.
Esses problemas são classificados como de gravidade crítica devido à possibilidade de execução remota de código como um serviço privilegiado. Os componentes afetados têm acesso a fluxos de áudio e vídeo, além de privilégios que normalmente não podem ser acessados por aplicativos de terceiros.
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-3873 | ANDROID-20674086 [2,3,4] | Crítico | 5.1 e versões anteriores | Interno do Google |
| ANDROID-20674674 [2,3,4] | ||||
| ANDROID-20718524 | ||||
| ANDROID-21048776 | ||||
| ANDROID-21443020 | ||||
| ANDROID-21814993 | ||||
| ANDROID-22008959 | ||||
| ANDROID-22077698 | ||||
| ANDROID-22388975 | ||||
| ANDROID-22845824 | ||||
| ANDROID-23016072 | ||||
| ANDROID-23247055 | ||||
| ANDROID-23248776 | ||||
| ANDROID-20721050 | Crítico | 5.0 e 5.1 | Interno do Google | |
| CVE-2015-3823 | ANDROID-21335999 | Crítico | 5.1 e versões anteriores | 20 de maio de 2015 |
| CVE-2015-6600 | ANDROID-22882938 | Crítico | 5.1 e versões anteriores | 31 de julho de 2015 |
| CVE-2015-6601 | ANDROID-22935234 | Crítico | 5.1 e versões anteriores | 3 de agosto de 2015 |
| CVE-2015-3869 | ANDROID-23036083 | Crítico | 5.1 e versões anteriores | 4 de agosto de 2015 |
| CVE-2015-3870 | ANDROID-22771132 | Crítico | 5.1 e versões anteriores | 5 de agosto de 2015 |
| CVE-2015-3871 | ANDROID-23031033 | Crítico | 5.1 e versões anteriores | 6 de agosto de 2015 |
| CVE-2015-3868 | ANDROID-23270724 | Crítico | 5.1 e versões anteriores | 6 de agosto de 2015 |
| CVE-2015-6604 | ANDROID-23129786 | Crítico | 5.1 e versões anteriores | 11 de agosto de 2015 |
| CVE-2015-3867 | ANDROID-23213430 | Crítico | 5.1 e versões anteriores | 14 de agosto de 2015 |
| CVE-2015-6603 | ANDROID-23227354 | Crítico | 5.1 e versões anteriores | 15 de agosto de 2015 |
| CVE-2015-3876 | ANDROID-23285192 | Crítico | 5.1 e versões anteriores | 15 de agosto de 2015 |
| CVE-2015-6598 | ANDROID-23306638 | Crítico | 5.1 e versões anteriores | 18 de agosto de 2015 |
| CVE-2015-3872 | ANDROID-23346388 | Crítico | 5.1 e versões anteriores | 19 de agosto de 2015 |
| CVE-2015-6599 | ANDROID-23416608 | Crítico | 5.1 e versões anteriores | 21 de agosto de 2015 |
Vulnerabilidades de execução remota de código no Sonivox
Existem vulnerabilidades no Sonivox que podem permitir que um invasor, durante o processamento de arquivos de mídia de um arquivo criado especialmente, cause corrupção de memória e execução remota de código no serviço de mediaserver. Esse problema tem uma gravidade crítica devido à possibilidade de execução remota de código como um serviço privilegiado. O componente afetado tem acesso a streams de áudio e vídeo, além de privilégios que aplicativos de terceiros normalmente não podem acessar.
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-3874 | ANDROID-23335715 | Crítico | 5.1 e versões anteriores | Várias |
| ANDROID-23307276 [2] | ||||
| ANDROID-23286323 |
Vulnerabilidades de execução remota de código no libutils
Vulnerabilidades no libutils, uma biblioteca genérica, existem no processamento de arquivos de áudio. Essas vulnerabilidades podem permitir que um invasor, durante o processamento de um arquivo criado especialmente, cause corrupção de memória e execução remota de código em um serviço que usa essa biblioteca, como o mediaserver.
A funcionalidade afetada é fornecida como uma API de aplicativo, e há vários aplicativos que permitem que ela seja acessada com conteúdo remoto, principalmente MMS e reprodução de mídia no navegador. Esse problema tem uma gravidade crítica devido à possibilidade de execução remota de código em um serviço privilegiado. O componente afetado tem acesso a streams de áudio e vídeo, bem como a privilégios que apps de terceiros normalmente não podem acessar.
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-3875 | ANDROID-22952485 | Crítico | 5.1 e versões anteriores | 15 de agosto de 2015 |
| CVE-2015-6602 | ANDROID-23290056 [2] | Crítico | 5.1 e versões anteriores | 15 de agosto de 2015 |
Vulnerabilidade de execução remota de código no Skia
Uma vulnerabilidade no componente Skia pode ser aproveitada ao processar um arquivo de mídia criado especialmente, o que pode levar à corrupção de memória e à execução remota de código em um processo privilegiado. Esse problema tem uma gravidade crítica devido à possibilidade de execução remota de código por vários métodos de ataque, como e-mail, navegação na Web e MMS, ao processar arquivos de mídia.
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-3877 | ANDROID-20723696 | Crítico | 5.1 e versões anteriores | 30 de julho de 2015 |
Vulnerabilidades de execução remota de código no libFLAC
Há uma vulnerabilidade no libFLAC no processamento de arquivos de mídia. Essas vulnerabilidades podem permitir que um invasor, durante o processamento de um arquivo criado especialmente, cause corrupção de memória e execução remota de código.
A funcionalidade afetada é fornecida como uma API de app, e há vários apps que permitem que ela seja acessada com conteúdo remoto, como a reprodução de mídia no navegador. Esse problema tem gravidade crítica devido à possibilidade de execução remota de código em um serviço privilegiado. O componente afetado tem acesso a streams de áudio e vídeo, além de privilégios que apps de terceiros normalmente não podem acessar.
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2014-9028 | ANDROID-18872897 [2] | Crítico | 5.1 e versões anteriores | 14 de novembro de 2014 |
Vulnerabilidade de elevação de privilégio no keystore
Uma elevação de vulnerabilidade de privilégio no componente KeyStore pode ser aproveitada por um aplicativo malicioso ao chamar as APIs KeyStore. Esse aplicativo pode causar corrupção de memória e execução de código arbitrária no contexto do KeyStore. Esse problema tem uma gravidade alta porque pode ser usado para acessar privilégios que não são diretamente acessíveis a um aplicativo de terceiros.
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-3863 | ANDROID-22802399 | Alta | 5.1 e versões anteriores | 28 de julho de 2015 |
Vulnerabilidade de elevação de privilégio no framework do media player
Uma elevação de vulnerabilidade de privilégio no componente do framework do player de mídia pode permitir que um aplicativo malicioso execute códigos arbitrários no contexto do mediaserver. Esse problema tem uma gravidade alta porque permite que um aplicativo malicioso acesse privilégios que não são acessíveis a um aplicativo de terceiros.
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-3879 | ANDROID-23223325 [2]* | Alta | 5.1 e versões anteriores | 14 de agosto de 2015 |
* Uma segunda mudança para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no ambiente de execução do Android
Uma vulnerabilidade de elevação de privilégio no Android Runtime pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto de um aplicativo de sistema elevado. Esse problema tem uma gravidade alta porque pode ser usado para acessar recursos elevados, como os privilégios de permissões Signature ou SignatureOrSystem, que não são acessíveis para um aplicativo de terceiros.
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-3865 | ANDROID-23050463 [2] | Alta | 5.1 e versões anteriores | 8 de agosto de 2015 |
Elevação de vulnerabilidades de privilégio no Mediaserver
Há várias vulnerabilidades no mediaserver que podem permitir que um aplicativo malicioso local execute códigos arbitrários no contexto de um serviço nativo privilegiado. Esse problema tem uma gravidade alta porque pode ser usado para acessar privilégios que não são diretamente acessíveis a um aplicativo de terceiros.
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6596 | ANDROID-20731946 | Alta | 5.1 e versões anteriores | Várias |
| ANDROID-20719651* | ||||
| ANDROID-19573085 | Alta | 5.0 - 6.0 | Interno do Google |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Elevação de vulnerabilidade de privilégio no kit de avaliação de elementos seguros
Uma vulnerabilidade no plug-in SEEK (kit de avaliação de elemento seguro, também conhecido como API SmartCard) pode permitir que um aplicativo receba permissões elevadas sem solicitá-las. Esse problema é classificado como de alta gravidade porque pode ser usado para acessar recursos elevados, como os privilégios de permissões Signature ou SignatureOrSystem, que não são acessíveis para aplicativos de terceiros.
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6606 | ANDROID-22301786* | Alta | 5.1 e versões anteriores | 30 de junho de 2015 |
* O upgrade que resolve esse problema está localizado no site do SEEK para Android.
Vulnerabilidade de elevação de privilégios na projeção de mídia
Uma vulnerabilidade no componente de projeção de mídia pode permitir que os dados do usuário sejam divulgados na forma de capturas de tela. O problema é resultado do sistema operacional permitir nomes de aplicativos muito longos. O uso desses nomes longos por um aplicativo local malicioso pode impedir que o usuário veja um aviso sobre a gravação de tela. Esse problema tem gravidade moderada porque pode ser usado para conseguir permissões elevadas de forma indevida.
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-3878 | ANDROID-23345192 | Moderada | 5.0 - 6.0 | 18 de agosto de 2015 |
Vulnerabilidade de elevação de privilégio no Bluetooth
Uma vulnerabilidade no componente Bluetooth do Android pode permitir que um aplicativo exclua mensagens SMS armazenadas. Esse problema tem gravidade moderada porque pode ser usado para ganhar permissões elevadas de forma indevida.
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-3847 | ANDROID-22343270 | Moderada | 5.1 e versões anteriores | 8 de julho de 2015 |
Vulnerabilidades de elevação de privilégio no SQLite
Várias vulnerabilidades foram descobertas no mecanismo de análise SQLite. Essas vulnerabilidades podem ser exploradas por um aplicativo local que pode fazer com que outro aplicativo ou serviço execute consultas SQL arbitrárias. A exploração bem-sucedida pode resultar na execução arbitrária de código no contexto do aplicativo de destino.
Uma correção foi enviada ao AOSP principal em 8 de abril de 2015, atualizando a versão do SQLite para 3.8.9: https://android-review.googlesource.com/#/c/145961/
Este boletim contém patches para as versões do SQLite no Android 4.4 (SQLite 3.7.11) e no Android 5.0 e 5.1 (SQLite 3.8.6).
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6607 | ANDROID-20099586 | Moderada | 5.1 e versões anteriores | 7 de abril de 2015 Conhecido publicamente |
Vulnerabilidades de negação de serviço no Mediaserver
Há várias vulnerabilidades no mediaserver que podem causar uma negação de serviço ao falhar o processo do mediaserver. Esses problemas são classificados como de baixa gravidade porque o efeito é causado por uma falha do servidor de mídia, resultando em uma negação de serviço temporária local.
| CVE | Bugs com links do AOSP | Gravidade | Versões afetadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6605 | ANDROID-20915134 | Baixa | 5.1 e versões anteriores | Interno do Google |
| ANDROID-23142203 | ||||
| ANDROID-22278703 | Baixa | 5.0 - 6.0 | Interno do Google | |
| CVE-2015-3862 | ANDROID-22954006 | Baixa | 5.1 e versões anteriores | 2 de agosto de 2015 |
Revisões
- 5 de outubro de 2015: publicação do boletim.
- 7 de outubro de 2015: o boletim foi atualizado com referências do AOSP. As referências de bugs para CVE-2014-9028 foram esclarecidas.
- 12 de outubro de 2015: atualizamos as confirmações para CVE-2015-3868, CVE-2015-3869, CVE-2015-3865 e CVE-2015-3862.
- 22 de janeiro de 2016: confirmações atualizadas para CVE-2015-6606.
- 28 de abril de 2016: a CVE-2015-6603 foi adicionada e o erro de digitação foi corrigido com a CVE-2014-9028.