Dipublikasikan 05 Oktober 2015 | Diperbarui 28 April 2016
Kami telah merilis update keamanan ke perangkat Nexus melalui update over-the-air (OTA) sebagai bagian dari proses Rilis Bulanan Buletin Keamanan Android kami. Image firmware Nexus juga telah dirilis ke situs Developer Google. Build LMY48T atau yang lebih baru (seperti LMY48W) dan Android M dengan Level Patch Keamanan 1 Oktober 2015 atau yang lebih baru mengatasi masalah ini. Lihat dokumentasi Nexus untuk mengetahui petunjuk cara memeriksa tingkat patch keamanan.
Partner telah diberi tahu tentang masalah ini pada 10 September 2015 atau sebelumnya. Patch kode sumber untuk masalah ini telah dirilis ke repositori Proyek Open Source Android (AOSP).
Masalah yang paling parah adalah kerentanan keamanan Kritis yang dapat memungkinkan eksekusi kode jarak jauh di perangkat yang terpengaruh melalui beberapa metode seperti email, penjelajahan web, dan MMS saat memproses file media. Penilaian keparahan berdasarkan efek yang mungkin akan ditimbulkan oleh eksploitasi kerentanan pada perangkat yang terpengaruh, dengan asumsi mitigasi platform dan layanan dinonaktifkan untuk tujuan pengembangan atau jika berhasil diabaikan.
Kami tidak menerima laporan tentang eksploitasi aktif oleh pelanggan terhadap masalah yang baru dilaporkan ini. Lihat bagian Mitigasi untuk mengetahui detail tentang perlindungan platform keamanan Android dan perlindungan layanan seperti SafetyNet, yang meningkatkan keamanan platform Android. Sebaiknya semua pelanggan menyetujui update ini ke perangkat mereka.
Mitigasi
Ini adalah ringkasan mitigasi yang disediakan oleh platform keamanan Android dan perlindungan layanan seperti SafetyNet. Kemampuan ini mengurangi kemungkinan kerentanan keamanan berhasil dieksploitasi di Android.
- Eksploitasi untuk banyak masalah di Android menjadi lebih sulit karena peningkatan di platform Android versi yang lebih baru. Sebaiknya semua pengguna mengupdate ke versi Android terbaru jika memungkinkan.
- Tim Android Security secara aktif memantau penyalahgunaan dengan Verify Apps dan SafetyNet yang akan memperingatkan tentang aplikasi yang berpotensi berbahaya yang akan diinstal. Alat rooting perangkat dilarang di Google Play. Untuk melindungi pengguna yang menginstal aplikasi dari luar Google Play, Verifikasi Aplikasi diaktifkan secara default dan akan memperingatkan pengguna tentang aplikasi rooting yang diketahui. Verify Apps mencoba mengidentifikasi dan memblokir penginstalan aplikasi berbahaya yang diketahui mengeksploitasi kerentanan eskalasi hak istimewa. Jika aplikasi tersebut telah diinstal, Verifikasi Aplikasi akan memberi tahu pengguna dan mencoba menghapus aplikasi tersebut.
- Sesuai kebutuhan, Google telah mengupdate aplikasi Hangouts dan Messenger sehingga media tidak otomatis diteruskan ke proses yang rentan (seperti mediaserver).
Ucapan Terima Kasih
Kami ingin mengucapkan terima kasih kepada para peneliti berikut atas kontribusi mereka:
- Brennan Lautner: CVE-2015-3863
- Chiachih Wu dan Xuxian Jiang dari Tim C0RE dari Qihoo 360: CVE-2015-3868, CVE-2015-3869, CVE-2015-3862
- Yajin Zhou, Lei Wu, dan Xuxian Jiang dari Tim C0RE dari Qihoo 360: CVE-2015-3865
- Daniel Micay (daniel.micay@copperhead.co) di Copperhead Security: CVE-2015-3875
- dragonltx dari Tim Keamanan Seluler Alibaba: CVE-2015-6599
- Ian Beer dan Steven Vittitoe dari Project Zero Google: CVE-2015-6604
- Joaquín Rinaudo (@xeroxnir) dan Iván Arce (@4Dgifts) dari Programa STIC di Fundación Dr. Manuel Sadosky, Buenos Aires Argentina: CVE-2015-3870
- Josh Drake dari Zimperium: CVE-2015-3876, CVE-2015-6602
- Jordan Gruskovnjak dari Exodus Intelligence (@jgrusko): CVE-2015-3867
- Peter Pi dari Trend Micro: CVE-2015-3872, CVE-2015-3871
- Ping Li dari Qihoo 360 Technology Co. Ltd: CVE-2015-3878
- Seven Shen: CVE-2015-6600, CVE-2015-3847
- Wangtao(neobyte) dari Baidu X-Team: CVE-2015-6598
- Wish Wu dari Trend Micro Inc. (@wish_wu): CVE-2015-3823
- Michael Roland dari JR-Center u'smile di University of Applied Sciences, Upper Austria/ Hagenberg: CVE-2015-6606
Kami juga ingin berterima kasih atas kontribusi Tim Keamanan Chrome, Tim Keamanan Google, Project Zero, dan individu lainnya di Google atas pelaporan beberapa masalah yang diperbaiki dalam buletin ini.
Detail Kerentanan Keamanan
Di bagian di bawah, kami memberikan detail untuk setiap kerentanan keamanan yang berlaku untuk tingkat patch 01-10-2015. Terdapat deskripsi masalah, alasan tingkat keparahan, dan tabel dengan CVE, bug terkait, tingkat keparahan, versi yang terpengaruh, dan tanggal dilaporkan. Jika tersedia, kami telah menautkan perubahan AOSP yang mengatasi masalah tersebut ke ID bug. Jika beberapa perubahan terkait dengan satu bug, referensi AOSP tambahan akan ditautkan ke angka yang mengikuti ID bug.
Kerentanan Eksekusi Kode Jarak Jauh di libstagefright
Terdapat kerentanan di libstagefright yang dapat memungkinkan penyerang, selama pemrosesan file media dan data dari file yang dibuat secara khusus, menyebabkan kerusakan memori dan eksekusi kode jarak jauh di layanan mediaserver.
Masalah ini diberi rating sebagai tingkat keparahan Kritis karena kemungkinan eksekusi kode jarak jauh sebagai layanan dengan hak istimewa. Komponen yang terpengaruh memiliki akses ke streaming audio dan video serta akses ke hak istimewa yang biasanya tidak dapat diakses oleh aplikasi pihak ketiga.
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-3873 | ANDROID-20674086 [2,3,4] | Kritis | 5.1 dan yang lebih lama | Internal Google |
| ANDROID-20674674 [2,3,4] | ||||
| ANDROID-20718524 | ||||
| ANDROID-21048776 | ||||
| ANDROID-21443020 | ||||
| ANDROID-21814993 | ||||
| ANDROID-22008959 | ||||
| ANDROID-22077698 | ||||
| ANDROID-22388975 | ||||
| ANDROID-22845824 | ||||
| ANDROID-23016072 | ||||
| ANDROID-23247055 | ||||
| ANDROID-23248776 | ||||
| ANDROID-20721050 | Kritis | 5.0 dan 5.1 | Internal Google | |
| CVE-2015-3823 | ANDROID-21335999 | Kritis | 5.1 dan yang lebih lama | 20 Mei 2015 |
| CVE-2015-6600 | ANDROID-22882938 | Kritis | 5.1 dan yang lebih lama | 31 Juli 2015 |
| CVE-2015-6601 | ANDROID-22935234 | Kritis | 5.1 dan yang lebih lama | 3 Agustus 2015 |
| CVE-2015-3869 | ANDROID-23036083 | Kritis | 5.1 dan yang lebih lama | 4 Agustus 2015 |
| CVE-2015-3870 | ANDROID-22771132 | Kritis | 5.1 dan yang lebih lama | 5 Agustus 2015 |
| CVE-2015-3871 | ANDROID-23031033 | Kritis | 5.1 dan yang lebih lama | 6 Agustus 2015 |
| CVE-2015-3868 | ANDROID-23270724 | Kritis | 5.1 dan yang lebih lama | 6 Agustus 2015 |
| CVE-2015-6604 | ANDROID-23129786 | Kritis | 5.1 dan yang lebih lama | 11 Agustus 2015 |
| CVE-2015-3867 | ANDROID-23213430 | Kritis | 5.1 dan yang lebih lama | 14 Agustus 2015 |
| CVE-2015-6603 | ANDROID-23227354 | Kritis | 5.1 dan yang lebih lama | 15 Agustus 2015 |
| CVE-2015-3876 | ANDROID-23285192 | Kritis | 5.1 dan yang lebih lama | 15 Agustus 2015 |
| CVE-2015-6598 | ANDROID-23306638 | Kritis | 5.1 dan yang lebih lama | 18 Agustus 2015 |
| CVE-2015-3872 | ANDROID-23346388 | Kritis | 5.1 dan yang lebih lama | 19 Agustus 2015 |
| CVE-2015-6599 | ANDROID-23416608 | Kritis | 5.1 dan yang lebih lama | 21 Agustus 2015 |
Kerentanan Eksekusi Kode Jarak Jauh di Sonivox
Ada kerentanan di Sonivox yang dapat memungkinkan penyerang, selama pemrosesan file media dari file yang dibuat secara khusus, menyebabkan kerusakan memori dan eksekusi kode jarak jauh di layanan mediaserver. Masalah ini diberi rating sebagai Keparahan kritis karena kemungkinan eksekusi kode jarak jauh sebagai layanan dengan hak istimewa. Komponen yang terpengaruh memiliki akses ke streaming audio dan video serta akses ke hak istimewa yang biasanya tidak dapat diakses oleh aplikasi pihak ketiga.
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-3874 | ANDROID-23335715 | Kritis | 5.1 dan yang lebih lama | Beberapa |
| ANDROID-23307276 [2] | ||||
| ANDROID-23286323 |
Kerentanan Eksekusi Kode Jarak Jauh di libutils
Kerentanan dalam libutils, library generik, ada dalam pemrosesan file audio. Kerentanan ini dapat memungkinkan penyerang, selama pemrosesan file yang dibuat secara khusus, menyebabkan kerusakan memori dan eksekusi kode jarak jauh di layanan yang menggunakan library ini seperti mediaserver.
Fungsi yang terpengaruh disediakan sebagai API aplikasi dan ada beberapa aplikasi yang memungkinkannya dijangkau dengan konten jarak jauh, terutama MMS dan pemutaran media browser. Masalah ini diberi rating sebagai tingkat keparahan kritis karena kemungkinan eksekusi kode jarak jauh dalam layanan hak istimewa. Komponen yang terpengaruh memiliki akses ke streaming audio dan video serta akses ke hak istimewa yang biasanya tidak dapat diakses oleh aplikasi pihak ketiga.
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-3875 | ANDROID-22952485 | Kritis | 5.1 dan yang lebih lama | 15 Agustus 2015 |
| CVE-2015-6602 | ANDROID-23290056 [2] | Kritis | 5.1 dan yang lebih lama | 15 Agustus 2015 |
Kerentanan Eksekusi Kode Jarak Jauh di Skia
Kerentanan dalam komponen Skia dapat dimanfaatkan saat memproses file media yang dibuat khusus, yang dapat menyebabkan kerusakan memori dan eksekusi kode jarak jauh dalam proses dengan hak istimewa. Masalah ini diberi rating sebagai tingkat keparahan kritis karena kemungkinan eksekusi kode jarak jauh melalui beberapa metode serangan seperti email, penjelajahan web, dan MMS saat memproses file media.
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-3877 | ANDROID-20723696 | Kritis | 5.1 dan yang lebih lama | 30 Juli 2015 |
Kerentanan Eksekusi Kode Jarak Jauh di libFLAC
Terdapat kerentanan di libFLAC dalam pemrosesan file media. Kerentanan ini dapat memungkinkan penyerang, selama pemrosesan file yang dibuat khusus, menyebabkan kerusakan memori dan eksekusi kode jarak jauh.
Fungsi yang terpengaruh disediakan sebagai API aplikasi dan ada beberapa aplikasi yang memungkinkannya dijangkau dengan konten jarak jauh, seperti pemutaran media browser. Masalah ini diberi rating Keparahan kritis karena kemungkinan eksekusi kode jarak jauh dalam layanan dengan hak istimewa. Komponen yang terpengaruh memiliki akses ke streaming audio dan video serta akses ke hak istimewa yang biasanya tidak dapat diakses oleh aplikasi pihak ketiga.
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2014-9028 | ANDROID-18872897 [2] | Kritis | 5.1 dan yang lebih lama | 14 November 2014 |
Kerentanan Elevasi Hak Istimewa di KeyStore
Kerentanan peningkatan hak istimewa di komponen KeyStore dapat digunakan oleh aplikasi berbahaya saat memanggil KeyStore API. Aplikasi ini dapat menyebabkan kerusakan memori dan eksekusi kode arbitrer dalam konteks KeyStore. Masalah ini diberi rating Keparahan tinggi karena dapat digunakan untuk mengakses hak istimewa yang tidak dapat diakses secara langsung oleh aplikasi pihak ketiga.
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-3863 | ANDROID-22802399 | Tinggi | 5.1 dan yang lebih lama | 28 Juli 2015 |
Kerentanan Elevasi Hak Istimewa di Framework Media Player
Kerentanan elevasi hak istimewa dalam komponen framework pemutar media dapat memungkinkan aplikasi berbahaya mengeksekusi kode arbitrer dalam konteks mediaserver. Masalah ini diberi rating Keparahan tinggi karena memungkinkan aplikasi berbahaya mengakses hak istimewa yang tidak dapat diakses oleh aplikasi pihak ketiga.
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-3879 | ANDROID-23223325 [2]* | Tinggi | 5.1 dan yang lebih lama | 14 Agustus 2015 |
* Perubahan kedua untuk masalah ini tidak ada di AOSP. Update ini terdapat dalam driver biner terbaru untuk perangkat Nexus yang tersedia dari situs Developer Google.
Kerentanan Elevasi Hak Istimewa di Android Runtime
Kerentanan elevasi hak istimewa di Android Runtime dapat memungkinkan aplikasi malicious lokal menjalankan kode arbitrer dalam konteks aplikasi sistem yang di-elevate. Masalah ini diberi rating Keparahan tinggi karena dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa izin Signature atau SignatureOrSystem, yang tidak dapat diakses oleh aplikasi pihak ketiga.
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-3865 | ANDROID-23050463 [2] | Tinggi | 5.1 dan yang lebih lama | 8 Agustus 2015 |
Kerentanan Elevasi Hak Istimewa di Mediaserver
Ada beberapa kerentanan di mediaserver yang dapat memungkinkan aplikasi jahat lokal untuk mengeksekusi kode arbitrer dalam konteks layanan native dengan hak istimewa. Masalah ini diberi rating Keparahan tinggi karena dapat digunakan untuk mengakses hak istimewa yang tidak dapat diakses secara langsung oleh aplikasi pihak ketiga.
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-6596 | ANDROID-20731946 | Tinggi | 5.1 dan yang lebih lama | Beberapa |
| ANDROID-20719651* | ||||
| ANDROID-19573085 | Tinggi | 5.0 - 6.0 | Internal Google |
* Patch untuk masalah ini tidak ada di AOSP. Update ini terdapat dalam driver biner terbaru untuk perangkat Nexus yang tersedia dari situs Developer Google.
Kerentanan Elevasi Hak Istimewa di Secure Element Evaluation Kit
Kerentanan dalam plugin SEEK (Secure Element Evaluation Kit, alias SmartCard API) dapat memungkinkan aplikasi mendapatkan izin yang ditingkatkan tanpa memintanya. Masalah ini diberi rating Keparahan tinggi karena dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa izin Signature atau SignatureOrSystem, yang tidak dapat diakses oleh aplikasi pihak ketiga.
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-6606 | ANDROID-22301786* | Tinggi | 5.1 dan yang lebih lama | 30 Juni 2015 |
* Upgrade yang mengatasi masalah ini tersedia di situs SEEK for Android.
Kerentanan Elevasi Hak Istimewa dalam Proyeksi Media
Kerentanan pada komponen Proyeksi Media dapat memungkinkan data pengguna diungkapkan dalam bentuk snapshot layar. Masalah ini disebabkan oleh sistem operasi yang mengizinkan nama aplikasi yang terlalu panjang. Penggunaan nama panjang ini oleh aplikasi berbahaya lokal dapat mencegah peringatan tentang perekaman layar terlihat oleh pengguna. Masalah ini diberi rating Keparahan sedang karena dapat digunakan untuk mendapatkan izin yang ditingkatkan secara tidak semestinya.
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-3878 | ANDROID-23345192 | Sedang | 5.0 - 6.0 | 18 Agustus 2015 |
Kerentanan Elevasi Hak Istimewa di Bluetooth
Kerentanan pada komponen Bluetooth Android dapat memungkinkan aplikasi menghapus pesan SMS yang disimpan. Masalah ini diberi rating Keparahan sedang karena dapat digunakan untuk mendapatkan izin yang ditingkatkan secara tidak semestinya.
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-3847 | ANDROID-22343270 | Sedang | 5.1 dan yang lebih lama | 8 Juli 2015 |
Kerentanan Elevasi Hak Istimewa di SQLite
Beberapa kerentanan ditemukan di mesin penguraian SQLite. Kerentanan ini dapat dieksploitasi oleh aplikasi lokal yang dapat menyebabkan aplikasi atau layanan lain menjalankan kueri SQL arbitrer. Eksploitasi yang berhasil dapat mengakibatkan eksekusi kode arbitrer dalam konteks aplikasi target.
Perbaikan diupload ke AOSP utama pada 8 April 2015, yang mengupgrade versi SQLite ke 3.8.9: https://android-review.googlesource.com/#/c/145961/
Buletin ini berisi patch untuk versi SQLite di Android 4.4 (SQLite 3.7.11) serta Android 5.0 dan 5.1 (SQLite 3.8.6).
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-6607 | ANDROID-20099586 | Sedang | 5.1 dan yang lebih lama | 7 April 2015 Diketahui Secara Publik |
Kerentanan Denial of Service di Mediaserver
Ada beberapa kerentanan di mediaserver yang dapat menyebabkan Denial of Service dengan membuat proses mediaserver error. Masalah ini diberi rating sebagai tingkat keparahan Rendah karena efeknya dialami oleh error server media yang mengakibatkan denial of service sementara lokal.
| CVE | Bug pada link AOSP | Tingkat Keparahan | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-6605 | ANDROID-20915134 | Rendah | 5.1 dan yang lebih lama | Internal Google |
| ANDROID-23142203 | ||||
| ANDROID-22278703 | Rendah | 5.0 - 6.0 | Internal Google | |
| CVE-2015-3862 | ANDROID-22954006 | Rendah | 5.1 dan yang lebih lama | 2 Agustus 2015 |
Revisi
- 05 Oktober 2015: Buletin dipublikasikan.
- 07 Oktober 2015: Buletin diperbarui dengan referensi AOSP. Mengklarifikasi referensi bug untuk CVE-2014-9028.
- 12 Oktober 2015: Memperbarui konfirmasi untuk CVE-2015-3868, CVE-2015-3869, CVE-2015-3865, CVE-2015-3862.
- 22 Januari 2016: Memperbarui konfirmasi untuk CVE-2015-6606.
- 28 April 2016: Menambahkan CVE-2015-6603 dan memperbaiki kesalahan ketik pada CVE-2014-9028.