نشرة أمان أجهزة Nexus - تشرين الثاني (نوفمبر) 2015

تم النشر في 2 تشرين الثاني (نوفمبر) 2015

لقد طرحنا تحديثًا للأمان على أجهزة Nexus من خلال تحديث عبر الهواء (OTA) كجزء من عملية الإصدار الشهري لنشرات أمان Android. تم أيضًا طرح صور البرامج الثابتة لأجهزة Nexus على موقع Google Developers الإلكتروني. تعالج الإصدارات LMY48X أو الإصدارات الأحدث من Android Marshmallow التي تتضمّن مستوى تصحيح الأمان بتاريخ 1 تشرين الثاني (نوفمبر) 2015 أو إصدارًا أحدث هذه المشاكل. يُرجى الرجوع إلى قسم الأسئلة الشائعة والأجوبة للحصول على مزيد من التفاصيل.

تم إشعار الشركاء بهذه المشاكل في 5 تشرين الأول (أكتوبر) 2015 أو قبل ذلك. سيتم إصدار تصحيحات رمز المصدر لهذه المشاكل في مستودع "مشروع Android المفتوح المصدر" خلال الـ 48 ساعة القادمة. سنعدّل هذه النشرة بإضافة روابط AOSP عندما تصبح متاحة.

إنّ أخطر هذه المشاكل هي ثغرة أمنية خطيرة يمكن أن تؤدي إلى تفعيل تنفيذ الرموز البرمجية عن بُعد على الجهاز المتأثّر من خلال طُرق متعدّدة، مثل البريد الإلكتروني وتصفُّح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط. يستند تقييم الخطورة إلى التأثير الذي قد يُحدثه استغلال الثغرة الأمنية في الجهاز المتأثّر، بافتراض أنّه تم إيقاف تدابير التخفيف في النظام الأساسي والخدمة لأغراض التطوير أو إذا تم تجاوزها بنجاح.

لم نتلقّ أي تقارير عن استغلال العملاء النشطين لهذه الصعوبات التي تم الإبلاغ عنها حديثًا. يُرجى الرجوع إلى قسم الإجراءات الوقائية لمعرفة تفاصيل عن وسائل حماية نظام أمان Android الأساسي ووسائل حماية الخدمات، مثل SafetyNet، التي تحسِّن من أمان نظام Android الأساسي. وننصحك بقبول هذه التعديلات على أجهزتك.

إجراءات التخفيف

في ما يلي ملخّص للإجراءات الوقائية التي يوفّرها نظام أمان Android ووسائل حماية الخدمات، مثل SafetyNet. تقلِّل هذه الإمكانات من احتمالية استغلال ثغرات الأمان بنجاح على نظام التشغيل Android.

  • تم تحسين الإصدارات الأحدث من نظام Android لمنع استغلال العديد من المشاكل على هذا النظام. وننصحك جميع المستخدمين بالتحديث إلى أحدث إصدار من Android كلما أمكن ذلك.
  • يعمل فريق أمان Android على رصد إساءة الاستخدام بنشاط باستخدام ميزتَي "التحقّق من التطبيقات" وSafetyNet اللتين ستحذران من التطبيقات التي يُحتمَل أن تتسبّب بضرر والتي يوشك أن يتم تثبيتها. إنّ أدوات الوصول إلى الجذر للأجهزة محظورة على Google Play. لحماية المستخدمين الذين يثبّتون التطبيقات من خارج Google Play، تكون ميزة "التحقّق من التطبيقات" مفعّلة تلقائيًا وستحذّر المستخدمين من التطبيقات المعروفة التي تم إجراء عملية "التجذير" عليها. تحاول ميزة "التحقّق من التطبيقات" رصد التطبيقات المُضرة المعروفة التي تستغل ثغرة أمنية في تصعيد الأذونات وحظر تثبيتها. إذا سبق تثبيت أحد هذه التطبيقات، سيُرسِل تطبيق "التحقّق من التطبيقات" إشعارًا إلى المستخدم وسيحاول إزالة أي تطبيقات من هذا النوع.
  • لا تُمرِّر تطبيقات Google Hangouts وMessenger تلقائيًا الوسائط إلى عمليات مثل mediaserver، وذلك حسب الاقتضاء.

الشكر والتقدير

نشكر الباحثين التاليين على مساهماتهم:

  • أبهيشيك آريا وأوليفر تشانغ ومارتن باربيلا، فريق أمان Google Chrome: CVE-2015-6608
  • "دانيال ميراي" (daniel.micay@copperhead.co) في شركة Copperhead Security: CVE-2015-6609
  • "دونغكوان كيم" من مختبر أمان النظام، جامعة KAIST‏ (dkay@kaist.ac.kr): CVE-2015-6614
  • "هونغيل كيم" من مختبر أمان النظام، جامعة KAIST‏ (hongilk@kaist.ac.kr): CVE-2015-6614
  • جاك تانغ من Trend Micro ‏ (@jacktang310): CVE-2015-6611
  • بيتر بي من Trend Micro: CVE-2015-6611
  • ناتالي سيلفانوفيتش من فريق Project Zero في Google: CVE-2015-6608
  • Qidan He‏ (@flanker_hqd) وWen Xu‏ (@antlr7) من KeenTeam‏ (@K33nTeam، http://k33nteam.org/): CVE-2015-6612
  • غوانغ غون (龚广) (@oldfresher، higongguang@gmail.com) من Qihoo 360 Technology CC o.Ltd: CVE-2015-6612
  • Seven Shen من Trend Micro: CVE-2015-6610

تفاصيل الثغرة الأمنية

في الأقسام أدناه، نقدّم تفاصيل عن كل من نقاط الضعف في الأمان التي تنطبق على مستوى التصحيح في 01‏-11‏-2015. يتضمّن السجلّ وصفًا للمشكلة وسببًا لمستوى خطورتها وجدولاً يعرض CVE والعيوب المرتبطة بها ومستوى خطورتها والإصدارات المتأثّرة بها وتاريخ الإبلاغ عنها. لقد ربطنا تغيير AOSP الذي تم من خلاله حلّ المشكلة برقم تعريف الخطأ، إن توفّر. عندما تكون هناك تغييرات متعدّدة مرتبطة بخطأ واحد، يتم ربط مراجع AOSP إضافية بالأرقام التي تتبع معرّف الخطأ.

ثغرات تنفيذ الرمز البرمجي عن بُعد في Mediaserver

أثناء معالجة ملفات الوسائط والبيانات لملف تم إنشاؤه خصيصًا، يمكن أن تسمح الثغرات الأمنية في mediaserver للمهاجم بإتلاف الذاكرة وتنفيذ رمز برمجي عن بُعد أثناء عملية mediaserver.

يتم توفير الوظيفة المتأثرة كجزء أساسي من نظام التشغيل، ويتوفر العديد من التطبيقات التي تتيح الوصول إليها باستخدام محتوى عن بُعد، وأبرزها رسائل الوسائط المتعددة وتشغيل الوسائط في المتصفّح.

تم تصنيف هذه المشكلة على أنّها ذات خطورة بالغة بسبب إمكانية تنفيذ رمزبرمجي عن بُعد في سياق خدمة mediaserver. يمكن للخدمة mediaserver الوصول إلى أحداث البث الصوتي والمرئي، بالإضافة إلى الوصول إلى امتيازات لا يمكن للتطبيقات التابعة لجهات خارجية الوصول إليها عادةً.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المتأثِّرة تاريخ الإبلاغ
CVE-2015-6608 ANDROID-19779574 حرِج 5.0 و5.1 و6.0 Google داخلي
ANDROID-23680780
ANDROID-23876444
ANDROID-23881715 حرِج 4.4 و5.0 و5.1 و6.0 Google داخلي
ANDROID-14388161 حرِج 4.4 و5.1 Google داخلي
ANDROID-23658148 حرِج 5.0 و5.1 و6.0 Google داخلي

ثغرة تنفيذ رمز عن بُعد في libutils

يمكن استغلال ثغرة أمنية في libutils، وهي مكتبة عامة، أثناء معالجة ملف صوتي. يمكن أن تسمح هذه الثغرة الأمنية للمهاجم بتنفيذ رمز برمجي عن بُعد وفساد الذاكرة أثناء معالجة ملف تم إنشاؤه خصيصًا.

يتم توفير الوظيفة المتأثرة كواجهة برمجة تطبيقات، وهناك عدة تطبيقات تتيح الوصول إليها باستخدام محتوى عن بُعد، وأبرزها رسائل الوسائط المتعددة وتشغيل الوسائط في المتصفّح. تم تصنيف هذه المشكلة على أنّها مشكلة خطيرة بسبب إمكانية تنفيذ رمز عن بُعد في خدمة مميّزة. يمكن للкомпонент المتأثر بالخطأ الوصول إلى مصادر الصوت والفيديو، بالإضافة إلى الوصول إلى امتيازات لا يمكن للتطبيقات التابعة لجهات خارجية الوصول إليها عادةً.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المتأثِّرة تاريخ الإبلاغ
CVE-2015-6609 ANDROID-22953624 [2] حرِج 6.0 والإصدارات الأقدم 3 آب (أغسطس) 2015

ثغرات أمنية في Mediaserver تؤدي إلى الإفصاح عن المعلومات

هناك ثغرات أمنية في mediaserver يمكن أن تسمح بتجاوز تدابير الأمان المتّبعة لزيادة صعوبة استغلال المهاجمين للمنصة.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المتأثِّرة تاريخ الإبلاغ
CVE-2015-6611 ANDROID-23905951 [2] [3] عالية 6.0 والإصدارات الأقدم 7 أيلول (سبتمبر) 2015
‎ANDROID-23912202*
ANDROID-23953967*
ANDROID-23696300 عالية 6.0 والإصدارات الأقدم 31 آب (أغسطس) 2015
ANDROID-23600291 عالية 6.0 والإصدارات الأقدم 26 آب (أغسطس) 2015
ANDROID-23756261 [2] عالية 6.0 والإصدارات الأقدم 26 آب (أغسطس) 2015
ANDROID-23540907 [2] عالية 5.1 والإصدارات الأقدم 25 آب (أغسطس) 2015
ANDROID-23541506 عالية 6.0 والإصدارات الأقدم 25 آب (أغسطس) 2015
ANDROID-23284974*
ANDROID-23542351*
ANDROID-23542352*
ANDROID-23515142 عالية 5.1 والإصدارات الأقدم 19 آب (أغسطس) 2015

* تم تضمين تصحيح هذا الخطأ في روابط AOSP الأخرى المقدَّمة.

ثغرة أمنية في libstagefright تتيح تجاوز الأذونات

هناك ثغرة أمنية في libstagefright تتيح لتطبيق ضار محلي التمكّن من التلاعب بالذاكرة وتنفيذ رمزبرمجي عشوائي في سياق خدمة mediaserver. على الرغم من أنّ هذه المشكلة عادةً ما يتم تصنيفها على أنّها خطيرة، إلا أنّنا قيّمنا هذه المشكلة على أنّهاشديدة الخطورة بسبب انخفاض احتمالية استغلالها عن بُعد.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المتأثِّرة تاريخ الإبلاغ
CVE-2015-6610 ANDROID-23707088 [2] عالية 6.0 والإصدارات الأقدم 19 آب (أغسطس) 2015

ثغرة أمنية في libmedia تؤدي إلى تجاوز الأذونات

هناك ثغرة أمنية في libmedia يمكن أن تتيح لتطبيق محلي ضار تنفيذ رمز عشوائي في سياق خدمة mediaserver. تم تصنيف هذه المشكلة على أنّها ذات خطورة عالية لأنّه يمكن استخدامها للوصول إلى امتيازات لا يمكن الوصول إليها مباشرةً من خلال تطبيق تابع لجهة خارجية.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المتأثِّرة تاريخ الإبلاغ
CVE-2015-6612 ANDROID-23540426 عالية 6.0 والإصدارات الأقدم 23 آب (أغسطس) 2015

ثغرة أمنية في البلوتوث تؤدي إلى إساءة استخدام الأذونات المميزة والعالية المستوى

هناك ثغرة أمنية في البلوتوث يمكن أن تتيح لتطبيق محلي ارسال أوامر إلى منفذ تصحيح أخطاء مستمع على الجهاز. تم تصنيف هذه المشكلة على أنّها شديدة الخطورة لأنّه يمكن استخدامها للحصول على إمكانات مميّزة، مثل أذونات Signature أو SignatureOrSystem، والتي لا يمكن لأحد التطبيقات التابعة لجهات خارجية الوصول إليها.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المتأثِّرة تاريخ الإبلاغ
CVE-2015-6613 ANDROID-24371736 عالية 6.0 Google داخلي

ثغرة أمنية في خدمة "الاتصال الهاتفي" تؤدي إلى تصعيد الأذونات

ثغرة أمنية في مكوّن "الهاتف" يمكن أن تتيح لتطبيق محلي ضار تمرير بيانات غير مصرّح بها إلى واجهات الشبكة المحظورة، مما قد يؤدي إلى زيادة رسوم البيانات. ويمكن أن يؤدي ذلك أيضًا إلى منع الجهاز من تلقّي المكالمات، بالإضافة إلى السماح للمهاجم بالتحكّم في إعدادات كتم صوت المكالمات. تم تصنيف هذه المشكلة على أنّها ذات خطورة متوسطة لأنّه يمكن استخدامها للقيام بما يلي: الحصول بشكل غير صحيح على أذونات "خطيرة".

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المتأثِّرة تاريخ الإبلاغ
CVE-2015-6614 ANDROID-21900139 [2] [3] متوسط 5.0 و5.1 8 حزيران (يونيو) 2015

الأسئلة الشائعة والأجوبة عنها

سيراجع هذا القسم إجابات عن الأسئلة الشائعة التي قد تخطر لك بعد قراءة هذه النشرة.

1. كيف يمكنني معرفة ما إذا كان جهازي محدّثًا لحلّ هذه المشاكل؟

تعالج الإصدارات LMY48X أو الإصدارات الأحدث من Android Marshmallow التي تتضمّن مستوى تصحيح الأمان بتاريخ 1 تشرين الثاني (نوفمبر) 2015 أو إصدارًا أحدث هذه المشاكل. يُرجى الرجوع إلى مستندات Nexus للحصول على تعليمات حول كيفية التحقّق من مستوى تصحيح الأمان. على المصنّعين للأجهزة الذين يضيفون هذه التحديثات ضبط مستوى سلسلة التصحيح على: [ro.build.version.security_patch]:[2015-11-01]

إصدارات

  • 2 تشرين الثاني (نوفمبر) 2015: تاريخ النشر الأصلي