Nexus Güvenlik Bülteni - Kasım 2015

Yayınlanma tarihi: 2 Kasım 2015

Android Güvenlik Bülteni Aylık Yayınlama sürecimiz kapsamında, Nexus cihazlara kablosuz (OTA) güncelleme aracılığıyla bir güvenlik güncellemesi yayınladık. Nexus donanım yazılımı resimleri Google Developers sitesinde de yayınlandı. LMY48X veya sonraki sürümler ve 1 Kasım 2015 veya sonraki bir güvenlik yaması düzeyine sahip Android Marshmallow bu sorunları giderir. Daha fazla bilgi için Sık Sorulan Sorular ve Yanıtlar bölümüne bakın.

İş ortakları bu sorunlar hakkında 5 Ekim 2015'te veya daha önce bilgilendirilmiştir. Bu sorunların kaynak kod düzeltmeleri önümüzdeki 48 saat içinde Android Açık Kaynak Projesi (AOSP) deposunda yayınlanacaktır. AOSP bağlantıları kullanıma sunulduğunda bu bülteni güncelleyeceğiz.

Bu sorunlardan en ciddi olanı, medya dosyaları işlenirken e-posta, web tarayıcısı ve MMS gibi birden fazla yöntemle etkilenen cihazda uzaktan kod çalıştırmayı etkinleştirebilecek kritik bir güvenlik açığıdır. Önem değerlendirmesi, platform ve hizmet azaltmalarının geliştirme amacıyla devre dışı bırakıldığı veya başarılı bir şekilde atlandığı varsayılarak, güvenlik açığından yararlanmanın etkilenen bir cihaz üzerinde oluşturabileceği etkiye dayanır.

Yeni bildirilen bu sorunların müşteriler tarafından aktif olarak istismar edildiğine dair bir bildirim almadık. Android platformunun güvenliğini artıran Android güvenlik platformu korumaları ve SafetyNet gibi hizmet korumaları hakkında ayrıntılı bilgi için Önlemler bölümüne bakın. Tüm müşterilerin cihazlarında bu güncellemeleri kabul etmelerini öneririz.

Çözümler

Bu, Android güvenlik platformu ve SafetyNet gibi hizmet korumaları tarafından sağlanan azaltıcı önlemlerin özetidir. Bu özellikler, Android'de güvenlik açıklarının başarılı bir şekilde kötüye kullanılması olasılığını azaltır.

  • Android platformunun yeni sürümlerindeki iyileştirmeler, Android'deki birçok sorunun istismar edilmesini zorlaştırmaktadır. Tüm kullanıcıları mümkün olduğunda Android'in en son sürümüne güncellemeye teşvik ederiz.
  • Android Güvenlik Ekibi, Uygulamaları Doğrula ve SafetyNet ile kötüye kullanım olup olmadığını etkin bir şekilde izler. Bu sayede, yüklenmek üzere olan potansiyel olarak zararlı uygulamalar hakkında uyarı alırsınız. Cihaz köklendirme araçları Google Play'de yasaktır. Google Play dışından uygulama yükleyen kullanıcıları korumak için Uygulamaları Doğrula özelliği varsayılan olarak etkindir ve kullanıcıları bilinen köklendirme uygulamaları konusunda uyarır. Doğrula Uygulamalar, ayrıcalık yükseltme güvenlik açıklarından yararlanan bilinen kötü amaçlı uygulamaların yüklenmesini tespit edip engellemeye çalışır. Bu tür bir uygulama zaten yüklüyse Uygulamaları Doğrula, kullanıcıyı bilgilendirir ve bu tür uygulamaları kaldırmaya çalışır.
  • Google Hangouts ve Messenger uygulamaları, uygun olduğunda medyayı mediaserver gibi işlemlere otomatik olarak iletmez.

Teşekkür ederiz

Katkılarından dolayı aşağıdaki araştırmacılara teşekkür ederiz:

  • Abhishek Arya, Oliver Chang ve Martin Barbella, Google Chrome Güvenlik Ekibi: CVE-2015-6608
  • Copperhead Security'ten Daniel Micay (daniel.micay@copperhead.co): CVE-2015-6609
  • Dongkwan Kim, System Security Lab, KAIST (dkay@kaist.ac.kr): CVE-2015-6614
  • KAIST Sistem Güvenliği Laboratuvarı'ndan Hongil Kim (hongilk@kaist.ac.kr): CVE-2015-6614
  • Trend Micro'dan Jack Tang (@jacktang310): CVE-2015-6611
  • Trend Micro'dan Peter Pi: CVE-2015-6611
  • Google Project Zero'dan Natalie Silvanovich: CVE-2015-6608
  • KeenTeam'den Qidan He (@flanker_hqd) ve Wen Xu (@antlr7) (@K33nTeam, http://k33nteam.org/): CVE-2015-6612
  • Qihoo 360 Technology CCo.Ltd'den Guang Gong (龚广) (@oldfresher, higongguang@gmail.com): CVE-2015-6612
  • Trend Micro'dan Seven Shen: CVE-2015-6610

Güvenlik Açığı Ayrıntıları

Aşağıdaki bölümlerde, 01.11.2015 yaması düzeyi için geçerli olan güvenlik açıklarının her biri hakkında ayrıntılı bilgi verilmektedir. Sorunun açıklaması, önem düzeyi gerekçesi ve CVE, ilişkili hata, önem düzeyi, etkilenen sürümler ve bildirilme tarihi içeren bir tablo bulunur. Varsa sorunu gideren AOSP değişikliğini hata kimliğine bağladık. Tek bir hatayla ilgili birden fazla değişiklik olduğunda, ek AOSP referansları hata kimliğinin ardından gelen sayılara bağlanır.

Mediaserver'da Uzaktan Kod Yürütme Güvenlik Açıkları

Özel olarak hazırlanmış bir medya dosyasının ve verilerinin işlenmesi sırasında mediaserver'daki güvenlik açıkları, saldırganın mediaserver işlemi olarak bellek bozulmasına ve uzaktan kod yürütmeye neden olmasına izin verebilir.

Etkilenen işlev, işletim sisteminin temel bir parçası olarak sağlanır ve uzaktan içerikle erişilmesine olanak tanıyan birden fazla uygulama vardır. Bunlardan en önemlileri MMS ve tarayıcıda medya oynatmadır.

Bu sorun, mediaserver hizmeti bağlamında uzaktan kod çalıştırma olasılığı nedeniyle Kritik önem düzeyinde olarak derecelendirilmiştir. mediaserver hizmeti, ses ve video akışlarına ve üçüncü taraf uygulamalarının normalde erişemeyeceği ayrıcalıklara erişebilir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen sürümler Bildirim tarihi
CVE-2015-6608 ANDROID-19779574 Kritik (Critical) 5.0, 5.1, 6.0 Google Dahili
ANDROID-23680780
ANDROID-23876444
ANDROID-23881715 Kritik (Critical) 4.4, 5.0, 5.1, 6.0 Google Dahili
ANDROID-14388161 Kritik (Critical) 4.4 ve 5.1 Google Dahili
ANDROID-23658148 Kritik (Critical) 5.0, 5.1, 6.0 Google Dahili

libutils'te Uzaktan Kod Yürütme Güvenlik Açığı

Genel bir kitaplık olan libutils'teki bir güvenlik açığından ses dosyası işlenirken yararlanılabilir. Bu güvenlik açığı, özel olarak hazırlanmış bir dosyanın işlenmesi sırasında saldırganın bellek bozulmasına ve uzaktan kod yürütmeye neden olmasına izin verebilir.

Etkilenen işlev, API olarak sağlanır ve uzak içerikle erişilmesine olanak tanıyan birden fazla uygulama vardır. Bunlardan en önemlileri MMS ve tarayıcıda medya oynatmadır. Bu sorun, ayrıcalıklı bir hizmette uzaktan kod çalıştırma olasılığı nedeniyle Kritik önem düzeyinde bir sorun olarak derecelendirilmiştir. Etkilenen bileşen, ses ve video akışlarına ve üçüncü taraf uygulamalarının normalde erişemeyeceği ayrıcalıklara erişebilir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen sürümler Bildirim tarihi
CVE-2015-6609 ANDROID-22953624 [2] Kritik (Critical) 6.0 ve önceki sürümler 3 Ağustos 2015

Mediaserver'da Bilgi İfşa Etme Güvenlik Açıkları

Mediaserver'da, saldırganların platformdan yararlanmasını zorlaştırmak için mevcut güvenlik önlemlerinin atlanmasına izin verebilecek bilgi açığa çıkarma güvenlik açıkları vardır.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen sürümler Bildirim tarihi
CVE-2015-6611 ANDROID-23905951 [2] [3] Yüksek 6.0 ve önceki sürümler 7 Eylül 2015
ANDROID-23912202*
ANDROID-23953967*
ANDROID-23696300 Yüksek 6.0 ve önceki sürümler 31 Ağustos 2015
ANDROID-23600291 Yüksek 6.0 ve önceki sürümler 26 Ağustos 2015
ANDROID-23756261 [2] Yüksek 6.0 ve önceki sürümler 26 Ağustos 2015
ANDROID-23540907 [2] Yüksek 5.1 ve önceki sürümler 25 Ağustos 2015
ANDROID-23541506 Yüksek 6.0 ve önceki sürümler 25 Ağustos 2015
ANDROID-23284974*
ANDROID-23542351*
ANDROID-23542352*
ANDROID-23515142 Yüksek 5.1 ve önceki sürümler 19 Ağustos 2015

* Bu hatanın yaması, sağlanan diğer AOSP bağlantılarına dahil edilmiştir.

libstagefright'ta ayrıcalık yükseltme güvenlik açığı

libstagefright'ta, yerel kötü amaçlı bir uygulamanın mediaserver hizmeti bağlamında bellek bozulmasına ve rastgele kod çalıştırılmasına neden olabileceği bir ayrıcalık yükseltme güvenlik açığı vardır. Bu sorun normalde Kritik olarak değerlendirilse de uzaktan kötüye kullanım olasılığının düşük olması nedeniyle sorunun önem derecesini Yüksek olarak belirledik.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen sürümler Bildirim tarihi
CVE-2015-6610 ANDROID-23707088 [2] Yüksek 6.0 ve önceki sürümler 19 Ağustos 2015

libmedia'da ayrıcalık yükseltme güvenlik açığı

libmedia'da, yerel kötü amaçlı bir uygulamanın mediaserver hizmeti bağlamında rastgele kod yürütmesine olanak tanıyabilecek bir güvenlik açığı vardır. Bu sorun, üçüncü taraf uygulamaların doğrudan erişemediği ayrıcalıklara erişmek için kullanılabileceğinden yüksek önem derecesine sahiptir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen sürümler Bildirim tarihi
CVE-2015-6612 ANDROID-23540426 Yüksek 6.0 ve önceki sürümler 23 Ağustos 2015

Bluetooth'da ayrıcalık yükseltme güvenlik açığı

Bluetooth'ta, yerel bir uygulamanın cihazdaki dinleme hata ayıklama bağlantı noktasına komut göndermesine olanak tanıyan bir güvenlik açığı vardır. Bu sorun, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek düzeyli özellikler elde etmek için kullanılabileceğinden yüksek önem derecesine sahiptir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen sürümler Bildirim tarihi
CVE-2015-6613 ANDROID-24371736 Yüksek 6.0 Google Dahili

Telefonda ayrıcalık yükseltme güvenlik açığı

Telefon bileşeninde, yerel kötü amaçlı bir uygulamanın kısıtlanmış ağ arayüzlerine yetkisiz veri aktarmasına olanak tanıyabilecek ve veri ücretlerini etkileyebilecek bir güvenlik açığı. Ayrıca, cihazın arama almasını engelleyebilir ve saldırganın aramaların sessize alma ayarlarını kontrol etmesine izin verebilir. Bu sorun, "tehlikeli" izinleri uygunsuz bir şekilde elde etmek için kullanılabileceğinden orta önem düzeyinde olarak derecelendirilmiştir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Etkilenen sürümler Bildirim tarihi
CVE-2015-6614 ANDROID-21900139 [2] [3] Orta seviye 5.0, 5.1 8 Haziran 2015

Sık Sorulan Sorular ve Yanıtları

Bu bölümde, bu bülteni okuduktan sonra aklınıza gelebilecek sık sorulan soruların yanıtları ele alınmaktadır.

1. Cihazımın bu sorunları giderecek şekilde güncellenip güncellenmediğini nasıl öğrenebilirim?

LMY48X veya sonraki sürümler ve 1 Kasım 2015 veya sonraki bir güvenlik yaması düzeyine sahip Android Marshmallow bu sorunları giderir. Güvenlik yaması düzeyini kontrol etmeyle ilgili talimatlar için Nexus dokümanlarına bakın. Bu güncellemeleri içeren cihaz üreticileri, yama dizesi düzeyini şu şekilde ayarlamalıdır: [ro.build.version.security_patch]:[2015-11-01]

Düzeltmeler

  • 2 Kasım 2015: İlk Yayınlanma