Biuletyn bezpieczeństwa Nexusa – listopad 2015

Opublikowano 02 listopada 2015 r.

Wydaliśmy aktualizację zabezpieczeń dla urządzeń Nexus za pośrednictwem aktualizacji bezprzewodowej (OTA) w ramach procesu comiesięcznego wydawania biuletynów dotyczących bezpieczeństwa Androida. Obrazy oprogramowania sprzętowego Nexusa zostały również udostępnione w witrynie Google Developer . Kompilacje LMY48X lub nowsze oraz Androida Marshmallow z poprawką zabezpieczeń na poziomie 1 listopada 2015 lub nowszą rozwiązują te problemy. Więcej informacji można znaleźć w sekcji Często zadawane pytania i odpowiedzi .

Partnerzy zostali powiadomieni o tych problemach 5 października 2015 r. lub wcześniej. Poprawki kodu źródłowego dla tych problemów zostaną udostępnione w repozytorium Android Open Source Project (AOSP) w ciągu najbliższych 48 godzin. Zmienimy ten biuletyn za pomocą łączy AOSP, gdy będą one dostępne.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach, która podczas przetwarzania plików multimedialnych może umożliwić zdalne wykonanie kodu na zaatakowanym urządzeniu za pomocą wielu metod, takich jak poczta e-mail, przeglądanie stron internetowych i MMS. Ocena dotkliwości opiera się na możliwym wpływie wykorzystania luki na urządzenie, którego dotyczy, przy założeniu, że platforma i usługi ograniczania zagrożeń są wyłączone w celach programistycznych lub pomyślnie ominięte.

Nie mamy doniesień o aktywnym wykorzystywaniu przez klientów tych nowo zgłoszonych problemów. Zapoznaj się z sekcją Ograniczenia , aby uzyskać szczegółowe informacje na temat zabezpieczeń platformy Android i zabezpieczeń usług, takich jak SafetyNet, które poprawiają bezpieczeństwo platformy Android. Zachęcamy wszystkich klientów do zaakceptowania tych aktualizacji na swoich urządzeniach.

Łagodzenia

To jest podsumowanie środków łagodzących zapewnianych przez platformę zabezpieczeń Androida i zabezpieczenia usług, takie jak SafetyNet. Te możliwości zmniejszają prawdopodobieństwo pomyślnego wykorzystania luk w zabezpieczeniach w systemie Android.

• Wykorzystanie wielu problemów w systemie Android jest utrudnione przez ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników do aktualizacji do najnowszej wersji Androida tam, gdzie to możliwe.
• Zespół Android Security aktywnie monitoruje pod kątem nadużyć za pomocą funkcji Verify Apps i SafetyNet, które będą ostrzegać o potencjalnie szkodliwych aplikacjach, które mają zostać zainstalowane. Narzędzia do rootowania urządzeń są zabronione w Google Play. Aby chronić użytkowników, którzy instalują aplikacje spoza Google Play, Weryfikacja aplikacji jest domyślnie włączona i będzie ostrzegać użytkowników o znanych aplikacjach do rootowania. Usługa Verify Apps próbuje zidentyfikować i zablokować instalację znanych złośliwych aplikacji, które wykorzystują lukę umożliwiającą eskalację uprawnień. Jeśli taka aplikacja została już zainstalowana, Weryfikacja aplikacji powiadomi użytkownika i spróbuje usunąć takie aplikacje.
• W stosownych przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak mediaserver.

Podziękowanie

Chcielibyśmy podziękować tym badaczom za ich wkład:

• Abhishek Arya, Oliver Chang i Martin Barbella, zespół ds. bezpieczeństwa Google Chrome: CVE-2015-6608
• Daniel Micay (daniel.micay@copperhead.co) w Copperhead Security: CVE-2015-6609
• Dongkwan Kim z laboratorium bezpieczeństwa systemu, KAIST (dkay@kaist.ac.kr): CVE-2015-6614
• Hongil Kim z laboratorium bezpieczeństwa systemu, KAIST (hongilk@kaist.ac.kr): CVE-2015-6614
• Jack Tang z Trend Micro (@jacktang310): CVE-2015-6611
• Peter Pi z Trend Micro: CVE-2015-6611
• Natalie Silvanovich z Google Project Zero: CVE-2015-6608
• Qidan He (@flanker_hqd) i Wen Xu (@antlr7) z KeenTeam (@K33nTeam, http://k33nteam.org/): CVE-2015-6612
• Guang Gong (龚广) ( @oldfresher , higongguang@gmail.com) firmy Qihoo 360 Technology CC o.Ltd : CVE-2015-6612
• Siedem Shen firmy Trend Micro: CVE-2015-6610

Szczegóły luki w zabezpieczeniach

W poniższych sekcjach podajemy szczegółowe informacje o każdej z luk w zabezpieczeniach, które mają zastosowanie do poziomu poprawki 2015-11-01. Dostępny jest opis problemu, uzasadnienie jego ważności oraz tabela z CVE, powiązanym błędem, ważnością, wersjami, których dotyczy problem, oraz datą zgłoszenia. Tam, gdzie to możliwe, powiązaliśmy zmianę AOSP, która rozwiązała problem, z identyfikatorem błędu. Gdy wiele zmian dotyczy pojedynczego błędu, dodatkowe odniesienia AOSP są powiązane z liczbami następującymi po identyfikatorze błędu.

Luki w zabezpieczeniach zdalnego wykonania kodu w Mediaserver

Podczas przetwarzania pliku multimedialnego i danych w specjalnie spreparowanym pliku luki w serwerze multimediów mogą umożliwić osobie atakującej uszkodzenie pamięci i zdalne wykonanie kodu jako procesu serwera multimediów.

Zakłócona funkcja jest dostarczana jako podstawowa część systemu operacyjnego i istnieje wiele aplikacji, które umożliwiają dostęp do niej za pomocą zdalnej zawartości, w szczególności MMS i odtwarzanie multimediów w przeglądarce.

Ten problem jest oceniany jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście usługi mediaserver. Usługa mediaserver ma dostęp do strumieni audio i wideo, a także dostęp do uprawnień, do których normalnie nie mają dostępu aplikacje innych firm.

Luka umożliwiająca zdalne wykonanie kodu w libutils

Luka w libutils, bibliotece ogólnej, może zostać wykorzystana podczas przetwarzania plików audio. Luka ta może umożliwić osobie atakującej podczas przetwarzania specjalnie spreparowanego pliku spowodowanie uszkodzenia pamięci i zdalne wykonanie kodu.

Funkcja, której dotyczy problem, jest udostępniana jako interfejs API i istnieje wiele aplikacji, które umożliwiają dostęp do niej ze zdalną zawartością, w szczególności MMS i odtwarzanie multimediów w przeglądarce. Ten problem jest oceniany jako problem o krytycznym znaczeniu ze względu na możliwość zdalnego wykonania kodu w usłudze uprzywilejowanej. Zaatakowany komponent ma dostęp do strumieni audio i wideo, a także dostęp do uprawnień, do których normalnie nie mają dostępu aplikacje innych firm.

Luki w zabezpieczeniach związane z ujawnianiem informacji w Mediaserver

W mediaserver znajdują się luki w zabezpieczeniach umożliwiające ujawnienie informacji, które mogą pozwolić na obejście środków bezpieczeństwa w celu zwiększenia trudności atakujących wykorzystujących platformę.

* Łata dla tego błędu jest zawarta w innych dostarczonych linkach AOSP.

Podwyższenie luki związanej z przywilejami w libstagefright

W libstagefright występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnej złośliwej aplikacji uszkodzenie pamięci i wykonanie dowolnego kodu w kontekście usługi mediaserver. Chociaż ten problem normalnie zostałby oceniony jako krytyczny, oceniliśmy go jako o wysokim stopniu ważności ze względu na mniejsze prawdopodobieństwo, że może zostać wykorzystany zdalnie.

Podwyższenie luki związanej z przywilejami w libmedia

W libmedia istnieje luka, która może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście usługi mediaserver. Ten problem ma wysoki poziom ważności, ponieważ może być używany do uzyskiwania dostępu do uprawnień, które nie są bezpośrednio dostępne dla aplikacji innej firmy.

Podwyższenie luki związanej z przywilejami w Bluetooth

Istnieje luka w Bluetooth, która może umożliwić aplikacji lokalnej wysyłanie poleceń do nasłuchującego portu debugowania na urządzeniu. Ten problem ma wysoki poziom ważności, ponieważ można go użyć do uzyskania podwyższonych możliwości, takich jak uprawnienia do podpisu lub podpisu lub systemu, które nie są dostępne dla aplikacji innych firm.

Zwiększenie podatności na przywileje w telefonii

Luka w składniku Telefonia, która może umożliwić lokalnej złośliwej aplikacji przekazywanie nieautoryzowanych danych do interfejsów sieciowych z ograniczeniami, potencjalnie wpływając na opłaty za przesyłanie danych. Może to również uniemożliwić urządzeniu odbieranie połączeń, a także umożliwić atakującemu kontrolowanie ustawień wyciszania połączeń. Ten problem jest oceniany jako średni poziom ważności, ponieważ może być używany do niewłaściwego uzyskania uprawnień „ niebezpiecznych ”.

Często zadawane pytania i odpowiedzi

W tej sekcji omówiono odpowiedzi na często zadawane pytania, które mogą pojawić się po przeczytaniu niniejszego biuletynu.

1. Jak sprawdzić, czy moje urządzenie zostało zaktualizowane w celu rozwiązania tych problemów?

Kompilacje LMY48X lub nowsze oraz Androida Marshmallow z poprawką zabezpieczeń na poziomie 1 listopada 2015 lub nowszą rozwiązują te problemy. Zapoznaj się z dokumentacją Nexusa, aby dowiedzieć się, jak sprawdzić poziom poprawki zabezpieczeń. Producenci urządzeń, którzy zawierają te aktualizacje, powinni ustawić poziom ciągu poprawek na: [ro.build.version.security_patch]:[2015-11-01]

Rewizje

• 02 listopada 2015 r.: pierwotnie opublikowany