Diterbitkan 02 November 2015
Kami telah merilis pembaruan keamanan untuk perangkat Nexus melalui pembaruan over-the-air (OTA) sebagai bagian dari proses Rilis Bulanan Buletin Keamanan Android. Gambar firmware Nexus juga telah dirilis ke situs Pengembang Google . Versi LMY48X atau lebih baru dan Android Marshmallow dengan Tingkat Patch Keamanan 1 November 2015 atau lebih baru mengatasi masalah ini. Lihat bagian Pertanyaan dan Jawaban Umum untuk lebih jelasnya.
Partner telah diberitahu tentang masalah ini pada tanggal 5 Oktober 2015 atau lebih awal. Patch kode sumber untuk masalah ini akan dirilis ke repositori Android Open Source Project (AOSP) dalam 48 jam ke depan. Kami akan merevisi buletin ini dengan tautan AOSP jika tersedia.
Masalah yang paling parah adalah kerentanan keamanan Kritis yang memungkinkan eksekusi kode jarak jauh pada perangkat yang terpengaruh melalui berbagai metode seperti email, penjelajahan web, dan MMS saat memproses file media. Penilaian tingkat keparahan didasarkan pada dampak eksploitasi kerentanan pada perangkat yang terkena dampak, dengan asumsi platform dan mitigasi layanan dinonaktifkan untuk tujuan pengembangan atau jika berhasil dilewati.
Kami belum menerima laporan mengenai eksploitasi aktif pelanggan atas masalah yang baru dilaporkan ini. Lihat bagian Mitigasi untuk detail tentang perlindungan platform keamanan Android dan perlindungan layanan seperti SafetyNet, yang meningkatkan keamanan platform Android. Kami mendorong semua pelanggan untuk menerima pembaruan ini pada perangkat mereka.
Mitigasi
Ini adalah ringkasan mitigasi yang diberikan oleh platform keamanan Android dan perlindungan layanan seperti SafetyNet. Kemampuan ini mengurangi kemungkinan kerentanan keamanan berhasil dieksploitasi di Android.
- Eksploitasi banyak masalah di Android menjadi lebih sulit dengan penyempurnaan pada platform Android versi terbaru. Kami mendorong semua pengguna untuk memperbarui ke versi Android terbaru jika memungkinkan.
- Tim Keamanan Android secara aktif memantau penyalahgunaan dengan Verify Apps dan SafetyNet yang akan memperingatkan tentang aplikasi yang berpotensi berbahaya yang akan diinstal. Alat rooting perangkat dilarang di Google Play. Untuk melindungi pengguna yang memasang aplikasi dari luar Google Play, Verifikasi Aplikasi diaktifkan secara default dan akan memperingatkan pengguna tentang aplikasi rooting yang diketahui. Verifikasi Aplikasi berupaya mengidentifikasi dan memblokir pemasangan aplikasi berbahaya yang diketahui mengeksploitasi kerentanan peningkatan hak istimewa. Jika aplikasi tersebut telah diinstal, Verifikasi Aplikasi akan memberi tahu pengguna dan berupaya menghapus aplikasi tersebut.
- Sesuai kebutuhan, aplikasi Google Hangouts dan Messenger tidak secara otomatis meneruskan media ke proses seperti server media.
Ucapan Terima Kasih
Kami ingin mengucapkan terima kasih kepada para peneliti atas kontribusi mereka:
- Abhishek Arya, Oliver Chang dan Martin Barbella, Tim Keamanan Google Chrome: CVE-2015-6608
- Daniel Micay (daniel.micay@copperhead.co) di Keamanan Copperhead: CVE-2015-6609
- Dongkwan Kim dari Lab Keamanan Sistem, KAIST (dkay@kaist.ac.kr): CVE-2015-6614
- Hongil Kim dari Lab Keamanan Sistem, KAIST (hongilk@kaist.ac.kr): CVE-2015-6614
- Jack Tang dari Trend Micro (@jacktang310): CVE-2015-6611
- Peter Pi dari Trend Micro: CVE-2015-6611
- Natalie Silvanovich dari Google Project Zero: CVE-2015-6608
- Qidan He (@flanker_hqd) dan Wen Xu (@antlr7) dari KeenTeam (@K33nTeam, http://k33nteam.org/): CVE-2015-6612
- Guang Gong (龚广) ( @oldfresher , higongguang@gmail.com) dari Qihoo 360 Technology CC o.Ltd : CVE-2015-6612
- Tujuh Shen dari Trend Micro: CVE-2015-6610
Detail Kerentanan Keamanan
Pada bagian di bawah ini, kami memberikan rincian untuk masing-masing kerentanan keamanan yang berlaku pada tingkat patch 01-11-2015. Terdapat deskripsi masalah, alasan tingkat keparahan, dan tabel dengan CVE, bug terkait, tingkat keparahan, versi yang terpengaruh, dan tanggal pelaporan. Jika tersedia, kami telah menautkan perubahan AOSP yang mengatasi masalah tersebut ke ID bug. Ketika beberapa perubahan berhubungan dengan satu bug, referensi AOSP tambahan ditautkan ke nomor setelah ID bug.
Kerentanan Eksekusi Kode Jarak Jauh di Server Media
Selama pemrosesan file media dan data dari file yang dibuat khusus, kerentanan di server media dapat memungkinkan penyerang menyebabkan kerusakan memori dan eksekusi kode jarak jauh sebagai proses server media.
Fungsionalitas yang terpengaruh disediakan sebagai bagian inti dari sistem operasi dan terdapat beberapa aplikasi yang memungkinkannya dijangkau dengan konten jarak jauh, terutama MMS dan pemutaran media di browser.
Masalah ini dinilai sebagai tingkat keparahan Kritis karena kemungkinan eksekusi kode jarak jauh dalam konteks layanan server media. Layanan server media memiliki akses ke streaming audio dan video serta akses ke hak istimewa yang biasanya tidak dapat diakses oleh aplikasi pihak ketiga.
| CVE | Bug dengan tautan AOSP | Kerasnya | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-6608 | ANDROID-19779574 | Kritis | 5.0, 5.1, 6.0 | Google Internal |
| ANDROID-23680780 | ||||
| ANDROID-23876444 | ||||
| ANDROID-23881715 | Kritis | 4.4, 5.0, 5.1, 6.0 | Google Internal | |
| ANDROID-14388161 | Kritis | 4.4 dan 5.1 | Google Internal | |
| ANDROID-23658148 | Kritis | 5.0, 5.1, 6.0 | Google Internal |
Kerentanan Eksekusi Kode Jarak Jauh di libutils
Kerentanan di libutils, perpustakaan umum, dapat dieksploitasi selama pemrosesan file audio. Kerentanan ini memungkinkan penyerang, selama pemrosesan file yang dibuat khusus, menyebabkan kerusakan memori dan eksekusi kode jarak jauh.
Fungsionalitas yang terpengaruh disediakan sebagai API dan ada beberapa aplikasi yang memungkinkannya dijangkau dengan konten jarak jauh, terutama MMS dan pemutaran media di browser. Masalah ini dinilai sebagai masalah tingkat keparahan Kritis karena kemungkinan eksekusi kode jarak jauh dalam layanan yang memiliki hak istimewa. Komponen yang terpengaruh memiliki akses ke streaming audio dan video serta akses ke hak istimewa yang biasanya tidak dapat diakses oleh aplikasi pihak ketiga.
| CVE | Bug dengan tautan AOSP | Kerasnya | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-6609 | ANDROID-22953624 [ 2 ] | Kritis | 6.0 dan di bawahnya | 3 Agustus 2015 |
Kerentanan Keterbukaan Informasi di Mediaserver
Terdapat kerentanan pengungkapan informasi di server media yang memungkinkan pengabaian langkah-langkah keamanan untuk meningkatkan kesulitan penyerang dalam mengeksploitasi platform.
| CVE | Bug dengan tautan AOSP | Kerasnya | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-6611 | ANDROID-23905951 [ 2 ] [ 3 ] | Tinggi | 6.0 dan di bawahnya | 07 September 2015 |
| ANDROID-23912202* | ||||
| ANDROID-23953967* | ||||
| ANDROID-23696300 | Tinggi | 6.0 dan di bawahnya | 31 Agustus 2015 | |
| ANDROID-23600291 | Tinggi | 6.0 dan di bawahnya | 26 Agustus 2015 | |
| ANDROID-23756261 [ 2 ] | Tinggi | 6.0 dan di bawahnya | 26 Agustus 2015 | |
| ANDROID-23540907 [ 2 ] | Tinggi | 5.1 dan di bawahnya | 25 Agustus 2015 | |
| ANDROID-23541506 | Tinggi | 6.0 dan di bawahnya | 25 Agustus 2015 | |
| ANDROID-23284974* | ||||
| ANDROID-23542351* | ||||
| ANDROID-23542352* | ||||
| ANDROID-23515142 | Tinggi | 5.1 dan di bawahnya | 19 Agustus 2015 |
* Patch untuk bug ini disertakan dalam link AOSP lain yang disediakan.
Peningkatan Kerentanan Hak Istimewa di libstagefright
Terdapat peningkatan kerentanan hak istimewa di libstagefright yang dapat memungkinkan aplikasi jahat lokal menyebabkan kerusakan memori dan eksekusi kode arbitrer dalam konteks layanan server media. Meskipun masalah ini biasanya diberi peringkat Kritis, kami telah menilai masalah ini sebagai tingkat keparahan Tinggi karena kecil kemungkinannya untuk dieksploitasi dari jarak jauh.
| CVE | Bug dengan tautan AOSP | Kerasnya | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-6610 | ANDROID-23707088 [ 2 ] | Tinggi | 6.0 dan di bawahnya | 19 Agustus 2015 |
Peningkatan Kerentanan Hak Istimewa di libmedia
Ada kerentanan di libmedia yang memungkinkan aplikasi jahat lokal mengeksekusi kode arbitrer dalam konteks layanan server media. Masalah ini dinilai sebagai tingkat keparahan tinggi karena dapat digunakan untuk mengakses hak istimewa yang tidak dapat diakses secara langsung oleh aplikasi pihak ketiga.
| CVE | Bug dengan tautan AOSP | Kerasnya | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-6612 | ANDROID-23540426 | Tinggi | 6.0 dan di bawahnya | 23 Agustus 2015 |
Peningkatan Kerentanan Hak Istimewa di Bluetooth
Ada kerentanan dalam Bluetooth yang memungkinkan aplikasi lokal mengirim perintah ke port debug yang mendengarkan pada perangkat. Masalah ini dinilai sebagai tingkat keparahan Tinggi karena dapat digunakan untuk mendapatkan kemampuan yang lebih tinggi, seperti hak istimewa izin Signature atau SignatureOrSystem , yang tidak dapat diakses oleh aplikasi pihak ketiga.
| CVE | Bug dengan tautan AOSP | Kerasnya | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-6613 | ANDROID-24371736 | Tinggi | 6.0 | Google Internal |
Peningkatan Kerentanan Hak Istimewa dalam Teleponi
Kerentanan dalam komponen Telephony yang memungkinkan aplikasi jahat lokal meneruskan data tidak sah ke antarmuka jaringan terbatas, yang berpotensi berdampak pada biaya data. Hal ini juga dapat mencegah perangkat menerima panggilan serta memungkinkan penyerang mengontrol pengaturan bisu panggilan. Masalah ini dinilai sebagai tingkat keparahan sedang karena dapat digunakan untuk mendapatkan izin “ berbahaya ” secara tidak patut.
| CVE | Bug dengan tautan AOSP | Kerasnya | Versi yang terpengaruh | Tanggal dilaporkan |
|---|---|---|---|---|
| CVE-2015-6614 | ANDROID-21900139 [ 2 ] [ 3 ] | Sedang | 5.0, 5.1 | 8 Juni 2015 |
Pertanyaan dan Jawaban Umum
Bagian ini akan mengulas jawaban atas pertanyaan umum yang mungkin muncul setelah membaca buletin ini.
1. Bagaimana cara menentukan apakah perangkat saya diperbarui untuk mengatasi masalah ini?
Versi LMY48X atau lebih baru dan Android Marshmallow dengan Tingkat Patch Keamanan 1 November 2015 atau lebih baru mengatasi masalah ini. Lihat dokumentasi Nexus untuk petunjuk tentang cara memeriksa tingkat patch keamanan. Produsen perangkat yang menyertakan pembaruan ini harus menyetel level string patch ke: [ro.build.version.security_patch]:[2015-11-01]
Revisi
- 02 November 2015: Awalnya Diterbitkan