تم النشر في 2 تشرين الثاني (نوفمبر) 2015
لقد طرحنا تحديثًا للأمان على أجهزة Nexus من خلال تحديث عبر الهواء (OTA) كجزء من عملية الإصدار الشهري لنشرات أمان Android. تم أيضًا طرح صور البرامج الثابتة لأجهزة Nexus على موقع Google Developers الإلكتروني. تعالج الإصدارات LMY48X أو الإصدارات الأحدث من Android Marshmallow التي تتضمّن مستوى تصحيح الأمان بتاريخ 1 تشرين الثاني (نوفمبر) 2015 أو إصدارًا أحدث هذه المشاكل. يُرجى الرجوع إلى قسم الأسئلة الشائعة والأجوبة للحصول على مزيد من التفاصيل.
تم إشعار الشركاء بهذه المشاكل في 5 تشرين الأول (أكتوبر) 2015 أو قبل ذلك. سيتم إصدار تصحيحات رمز المصدر لهذه المشاكل في مستودع "مشروع Android المفتوح المصدر" خلال الـ 48 ساعة القادمة. سنعدّل هذه النشرة بإضافة روابط AOSP عندما تصبح متاحة.
إنّ أخطر هذه المشاكل هي ثغرة أمنية خطيرة يمكن أن تؤدي إلى تفعيل تنفيذ الرموز البرمجية عن بُعد على الجهاز المتأثّر من خلال طُرق متعدّدة، مثل البريد الإلكتروني وتصفُّح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط. يستند تقييم الخطورة إلى التأثير الذي قد يُحدثه استغلال الثغرة الأمنية في الجهاز المتأثّر، بافتراض أنّه تم إيقاف تدابير التخفيف في النظام الأساسي والخدمة لأغراض التطوير أو إذا تم تجاوزها بنجاح.
لم نتلقّ أي تقارير عن استغلال العملاء النشطين لهذه الصعوبات التي تم الإبلاغ عنها حديثًا. يُرجى الرجوع إلى قسم الإجراءات الوقائية لمعرفة تفاصيل عن وسائل حماية نظام أمان Android الأساسي ووسائل حماية الخدمات، مثل SafetyNet، التي تحسِّن من أمان نظام Android الأساسي. وننصحك بقبول هذه التعديلات على أجهزتك.
إجراءات التخفيف
في ما يلي ملخّص للإجراءات الوقائية التي يوفّرها نظام أمان Android ووسائل حماية الخدمات، مثل SafetyNet. تقلِّل هذه الإمكانات من احتمالية استغلال ثغرات الأمان بنجاح على نظام التشغيل Android.
- تم تحسين الإصدارات الأحدث من نظام Android لمنع استغلال العديد من المشاكل على هذا النظام. وننصحك جميع المستخدمين بالتحديث إلى أحدث إصدار من Android كلما أمكن ذلك.
- يعمل فريق أمان Android على رصد إساءة الاستخدام بنشاط باستخدام ميزتَي "التحقّق من التطبيقات" وSafetyNet اللتين ستحذران من التطبيقات التي يُحتمَل أن تتسبّب بضرر والتي يوشك أن يتم تثبيتها. إنّ أدوات الوصول إلى الجذر للأجهزة محظورة على Google Play. لحماية المستخدمين الذين يثبّتون التطبيقات من خارج Google Play، تكون ميزة "التحقّق من التطبيقات" مفعّلة تلقائيًا وستحذّر المستخدمين من التطبيقات المعروفة التي تم إجراء عملية "التجذير" عليها. تحاول ميزة "التحقّق من التطبيقات" رصد التطبيقات المُضرة المعروفة التي تستغل ثغرة أمنية في تصعيد الأذونات وحظر تثبيتها. إذا سبق تثبيت أحد هذه التطبيقات، سيُرسِل تطبيق "التحقّق من التطبيقات" إشعارًا إلى المستخدم وسيحاول إزالة أي تطبيقات من هذا النوع.
- لا تُمرِّر تطبيقات Google Hangouts وMessenger تلقائيًا الوسائط إلى عمليات مثل mediaserver، وذلك حسب الاقتضاء.
الشكر والتقدير
نشكر الباحثين التاليين على مساهماتهم:
- أبهيشيك آريا وأوليفر تشانغ ومارتن باربيلا، فريق أمان Google Chrome: CVE-2015-6608
- "دانيال ميراي" (daniel.micay@copperhead.co) في شركة Copperhead Security: CVE-2015-6609
- "دونغكوان كيم" من مختبر أمان النظام، جامعة KAIST (dkay@kaist.ac.kr): CVE-2015-6614
- "هونغيل كيم" من مختبر أمان النظام، جامعة KAIST (hongilk@kaist.ac.kr): CVE-2015-6614
- جاك تانغ من Trend Micro (@jacktang310): CVE-2015-6611
- بيتر بي من Trend Micro: CVE-2015-6611
- ناتالي سيلفانوفيتش من فريق Project Zero في Google: CVE-2015-6608
- Qidan He (@flanker_hqd) وWen Xu (@antlr7) من KeenTeam (@K33nTeam، http://k33nteam.org/): CVE-2015-6612
- غوانغ غون (龚广) (@oldfresher، higongguang@gmail.com) من Qihoo 360 Technology CC o.Ltd: CVE-2015-6612
- Seven Shen من Trend Micro: CVE-2015-6610
تفاصيل الثغرة الأمنية
في الأقسام أدناه، نقدّم تفاصيل عن كل من نقاط الضعف في الأمان التي تنطبق على مستوى التصحيح في 01-11-2015. يتضمّن السجلّ وصفًا للمشكلة وسببًا لمستوى خطورتها وجدولاً يعرض CVE والعيوب المرتبطة بها ومستوى خطورتها والإصدارات المتأثّرة بها وتاريخ الإبلاغ عنها. لقد ربطنا تغيير AOSP الذي تم من خلاله حلّ المشكلة برقم تعريف الخطأ، إن توفّر. عندما تكون هناك تغييرات متعدّدة مرتبطة بخطأ واحد، يتم ربط مراجع AOSP إضافية بالأرقام التي تتبع معرّف الخطأ.
ثغرات تنفيذ الرمز البرمجي عن بُعد في Mediaserver
أثناء معالجة ملفات الوسائط والبيانات لملف تم إنشاؤه خصيصًا، يمكن أن تسمح الثغرات الأمنية في mediaserver للمهاجم بإتلاف الذاكرة وتنفيذ رمز برمجي عن بُعد أثناء عملية mediaserver.
يتم توفير الوظيفة المتأثرة كجزء أساسي من نظام التشغيل، ويتوفر العديد من التطبيقات التي تتيح الوصول إليها باستخدام محتوى عن بُعد، وأبرزها رسائل الوسائط المتعددة وتشغيل الوسائط في المتصفّح.
تم تصنيف هذه المشكلة على أنّها ذات خطورة بالغة بسبب إمكانية تنفيذ رمزبرمجي عن بُعد في سياق خدمة mediaserver. يمكن للخدمة mediaserver الوصول إلى أحداث البث الصوتي والمرئي، بالإضافة إلى الوصول إلى امتيازات لا يمكن للتطبيقات التابعة لجهات خارجية الوصول إليها عادةً.
| CVE | أخطاء في روابط AOSP | درجة الخطورة | الإصدارات المتأثِّرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6608 | ANDROID-19779574 | حرِج | 5.0 و5.1 و6.0 | Google داخلي |
| ANDROID-23680780 | ||||
| ANDROID-23876444 | ||||
| ANDROID-23881715 | حرِج | 4.4 و5.0 و5.1 و6.0 | Google داخلي | |
| ANDROID-14388161 | حرِج | 4.4 و5.1 | Google داخلي | |
| ANDROID-23658148 | حرِج | 5.0 و5.1 و6.0 | Google داخلي |
ثغرة تنفيذ رمز عن بُعد في libutils
يمكن استغلال ثغرة أمنية في libutils، وهي مكتبة عامة، أثناء معالجة ملف صوتي. يمكن أن تسمح هذه الثغرة الأمنية للمهاجم بتنفيذ رمز برمجي عن بُعد وفساد الذاكرة أثناء معالجة ملف تم إنشاؤه خصيصًا.
يتم توفير الوظيفة المتأثرة كواجهة برمجة تطبيقات، وهناك عدة تطبيقات تتيح الوصول إليها باستخدام محتوى عن بُعد، وأبرزها رسائل الوسائط المتعددة وتشغيل الوسائط في المتصفّح. تم تصنيف هذه المشكلة على أنّها مشكلة خطيرة بسبب إمكانية تنفيذ رمز عن بُعد في خدمة مميّزة. يمكن للкомпонент المتأثر بالخطأ الوصول إلى مصادر الصوت والفيديو، بالإضافة إلى الوصول إلى امتيازات لا يمكن للتطبيقات التابعة لجهات خارجية الوصول إليها عادةً.
| CVE | أخطاء في روابط AOSP | درجة الخطورة | الإصدارات المتأثِّرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6609 | ANDROID-22953624 [2] | حرِج | 6.0 والإصدارات الأقدم | 3 آب (أغسطس) 2015 |
ثغرات أمنية في Mediaserver تؤدي إلى الإفصاح عن المعلومات
هناك ثغرات أمنية في mediaserver يمكن أن تسمح بتجاوز تدابير الأمان المتّبعة لزيادة صعوبة استغلال المهاجمين للمنصة.
| CVE | أخطاء في روابط AOSP | درجة الخطورة | الإصدارات المتأثِّرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6611 | ANDROID-23905951 [2] [3] | عالية | 6.0 والإصدارات الأقدم | 7 أيلول (سبتمبر) 2015 |
| ANDROID-23912202* | ||||
| ANDROID-23953967* | ||||
| ANDROID-23696300 | عالية | 6.0 والإصدارات الأقدم | 31 آب (أغسطس) 2015 | |
| ANDROID-23600291 | عالية | 6.0 والإصدارات الأقدم | 26 آب (أغسطس) 2015 | |
| ANDROID-23756261 [2] | عالية | 6.0 والإصدارات الأقدم | 26 آب (أغسطس) 2015 | |
| ANDROID-23540907 [2] | عالية | 5.1 والإصدارات الأقدم | 25 آب (أغسطس) 2015 | |
| ANDROID-23541506 | عالية | 6.0 والإصدارات الأقدم | 25 آب (أغسطس) 2015 | |
| ANDROID-23284974* | ||||
| ANDROID-23542351* | ||||
| ANDROID-23542352* | ||||
| ANDROID-23515142 | عالية | 5.1 والإصدارات الأقدم | 19 آب (أغسطس) 2015 |
* تم تضمين تصحيح هذا الخطأ في روابط AOSP الأخرى المقدَّمة.
ثغرة أمنية في libstagefright تتيح تجاوز الأذونات
هناك ثغرة أمنية في libstagefright تتيح لتطبيق ضار محلي التمكّن من التلاعب بالذاكرة وتنفيذ رمزبرمجي عشوائي في سياق خدمة mediaserver. على الرغم من أنّ هذه المشكلة عادةً ما يتم تصنيفها على أنّها خطيرة، إلا أنّنا قيّمنا هذه المشكلة على أنّهاشديدة الخطورة بسبب انخفاض احتمالية استغلالها عن بُعد.
| CVE | أخطاء في روابط AOSP | درجة الخطورة | الإصدارات المتأثِّرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6610 | ANDROID-23707088 [2] | عالية | 6.0 والإصدارات الأقدم | 19 آب (أغسطس) 2015 |
ثغرة أمنية في libmedia تؤدي إلى تجاوز الأذونات
هناك ثغرة أمنية في libmedia يمكن أن تتيح لتطبيق محلي ضار تنفيذ رمز عشوائي في سياق خدمة mediaserver. تم تصنيف هذه المشكلة على أنّها ذات خطورة عالية لأنّه يمكن استخدامها للوصول إلى امتيازات لا يمكن الوصول إليها مباشرةً من خلال تطبيق تابع لجهة خارجية.
| CVE | أخطاء في روابط AOSP | درجة الخطورة | الإصدارات المتأثِّرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6612 | ANDROID-23540426 | عالية | 6.0 والإصدارات الأقدم | 23 آب (أغسطس) 2015 |
ثغرة أمنية في البلوتوث تؤدي إلى إساءة استخدام الأذونات المميزة والعالية المستوى
هناك ثغرة أمنية في البلوتوث يمكن أن تتيح لتطبيق محلي ارسال أوامر إلى منفذ تصحيح أخطاء مستمع على الجهاز. تم تصنيف هذه المشكلة على أنّها شديدة الخطورة لأنّه يمكن استخدامها للحصول على إمكانات مميّزة، مثل أذونات Signature أو SignatureOrSystem، والتي لا يمكن لأحد التطبيقات التابعة لجهات خارجية الوصول إليها.
| CVE | أخطاء في روابط AOSP | درجة الخطورة | الإصدارات المتأثِّرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6613 | ANDROID-24371736 | عالية | 6.0 | Google داخلي |
ثغرة أمنية في خدمة "الاتصال الهاتفي" تؤدي إلى تصعيد الأذونات
ثغرة أمنية في مكوّن "الهاتف" يمكن أن تتيح لتطبيق محلي ضار تمرير بيانات غير مصرّح بها إلى واجهات الشبكة المحظورة، مما قد يؤدي إلى زيادة رسوم البيانات. ويمكن أن يؤدي ذلك أيضًا إلى منع الجهاز من تلقّي المكالمات، بالإضافة إلى السماح للمهاجم بالتحكّم في إعدادات كتم صوت المكالمات. تم تصنيف هذه المشكلة على أنّها ذات خطورة متوسطة لأنّه يمكن استخدامها للقيام بما يلي: الحصول بشكل غير صحيح على أذونات "خطيرة".
| CVE | أخطاء في روابط AOSP | درجة الخطورة | الإصدارات المتأثِّرة | تاريخ الإبلاغ |
|---|---|---|---|---|
| CVE-2015-6614 | ANDROID-21900139 [2] [3] | متوسط | 5.0 و5.1 | 8 حزيران (يونيو) 2015 |
الأسئلة الشائعة والأجوبة عنها
سيراجع هذا القسم إجابات عن الأسئلة الشائعة التي قد تخطر لك بعد قراءة هذه النشرة.
1. كيف يمكنني معرفة ما إذا كان جهازي محدّثًا لحلّ هذه المشاكل؟
تعالج الإصدارات LMY48X أو الإصدارات الأحدث من Android Marshmallow التي تتضمّن مستوى تصحيح الأمان بتاريخ 1 تشرين الثاني (نوفمبر) 2015 أو إصدارًا أحدث هذه المشاكل. يُرجى الرجوع إلى مستندات Nexus للحصول على تعليمات حول كيفية التحقّق من مستوى تصحيح الأمان. على المصنّعين للأجهزة الذين يضيفون هذه التحديثات ضبط مستوى سلسلة التصحيح على: [ro.build.version.security_patch]:[2015-11-01]
إصدارات
- 2 تشرين الثاني (نوفمبر) 2015: تاريخ النشر الأصلي