02 Kasım 2015 tarihinde yayınlandı
Android Güvenlik Bülteni Aylık Sürüm sürecimizin bir parçası olarak kablosuz (OTA) güncellemesi aracılığıyla Nexus cihazlarına bir güvenlik güncellemesi yayınladık. Nexus ürün yazılımı görüntüleri de Google Developer sitesinde yayınlandı. LMY48X veya sonraki sürümleri ve 1 Kasım 2015 veya sonraki Güvenlik Düzeltme Eki Düzeyi ile Android Marshmallow bu sorunları giderir. Daha fazla ayrıntı için Genel Sorular ve Cevaplar bölümüne bakın.
İş ortaklarına bu sorunlar hakkında 5 Ekim 2015 veya daha önce bilgi verildi. Bu sorunlar için kaynak kodu yamaları, önümüzdeki 48 saat içinde Android Açık Kaynak Projesi (AOSP) deposunda yayınlanacaktır. Bu bülteni, mevcut olduklarında AOSP bağlantıları ile revize edeceğiz.
Bu sorunlardan en ciddi olanı, medya dosyalarını işlerken e-posta, web'de gezinme ve MMS gibi birden çok yöntemle etkilenen bir cihazda uzaktan kod yürütülmesine olanak verebilecek bir Kritik güvenlik açığıdır. Önem derecesi değerlendirmesi , platform ve hizmet azaltmalarının geliştirme amaçları için devre dışı bırakıldığı veya başarılı bir şekilde atlandığı varsayılarak, güvenlik açığından yararlanmanın etkilenen bir cihaz üzerindeki etkisine dayanır.
Yeni bildirilen bu sorunlardan aktif müşteri yararlandığına dair herhangi bir rapor almadık. Android platformunun güvenliğini artıran SafetyNet gibi Android güvenlik platformu korumaları ve hizmet korumaları hakkında ayrıntılar için Azaltmalar bölümüne bakın. Tüm müşterilerimizi cihazlarında bu güncellemeleri kabul etmeye teşvik ediyoruz.
Hafifletmeler
Bu, Android güvenlik platformu ve SafetyNet gibi hizmet korumaları tarafından sağlanan azaltmaların bir özetidir. Bu yetenekler, güvenlik açıklarından Android'de başarıyla yararlanma olasılığını azaltır.
- Android platformunun daha yeni sürümlerinde yapılan geliştirmeler sayesinde Android'deki birçok sorundan yararlanma daha zor hale getirildi. Tüm kullanıcıları, mümkün olduğunda Android'in en son sürümüne güncellemeye teşvik ediyoruz.
- Android Güvenlik ekibi, yüklenmek üzere olan zararlı olabilecek uygulamalar hakkında uyaracak olan Verify Apps ve SafetyNet ile kötüye kullanımı aktif olarak izliyor. Google Play'de cihaz köklendirme araçları yasaktır. Google Play dışından uygulama yükleyen kullanıcıları korumak için, Uygulamaları Doğrula varsayılan olarak etkindir ve kullanıcıları bilinen köklendirme uygulamaları hakkında uyarır. Doğrulama Uygulamaları, bir ayrıcalık yükseltme güvenlik açığından yararlanan bilinen kötü amaçlı uygulamaların yüklenmesini belirlemeye ve engellemeye çalışır. Böyle bir uygulama zaten yüklenmişse, Uygulamaları Doğrula, kullanıcıyı bilgilendirecek ve bu tür uygulamaları kaldırmaya çalışacaktır.
- Uygun olduğu şekilde, Google Hangouts ve Messenger uygulamaları, medyayı mediaserver gibi işlemlere otomatik olarak iletmez.
Teşekkür
Bu araştırmacılara katkılarından dolayı teşekkür etmek isteriz:
- Abhishek Arya, Oliver Chang ve Martin Barbella, Google Chrome Güvenlik Ekibi: CVE-2015-6608
- Copperhead Security'de Daniel Micay (daniel.micay@copperhead.co): CVE-2015-6609
- Sistem Güvenliği Laboratuvarı'ndan Dongkwan Kim, KAIST (dkay@kaist.ac.kr): CVE-2015-6614
- System Security Lab'den Hongil Kim, KAIST (hongilk@kaist.ac.kr): CVE-2015-6614
- Trend Micro'dan Jack Tang (@jacktang310): CVE-2015-6611
- Trend Micro'dan Peter Pi: CVE-2015-6611
- Google Project Zero'dan Natalie Silvanovich: CVE-2015-6608
- KeenTeam'den (@K33nTeam, http://k33nteam.org/) Qidan He (@flanker_hqd) ve Wen Xu (@antlr7): CVE-2015-6612
- Qihoo 360 Technology CC o.Ltd'nin Guang Gong (龚广) ( @oldfresher , higongguang@gmail.com) : CVE-2015-6612
- Trend Micro'nun Yedi Shen'i: CVE-2015-6610
Güvenlik Açığı Ayrıntıları
Aşağıdaki bölümlerde, 2015-11-01 yama düzeyi için geçerli olan güvenlik açıklarının her biri için ayrıntılar sunuyoruz. Sorunun açıklaması, önem derecesi gerekçesi ve CVE, ilgili hata, önem derecesi, etkilenen sürümler ve rapor edilen tarihi içeren bir tablo vardır. Varsa, sorunu gideren AOSP değişikliğini hata kimliğine bağladık. Birden fazla değişiklik tek bir hatayla ilgili olduğunda, ek AOSP referansları, hata kimliğini izleyen sayılara bağlanır.
Mediaserver'da Uzaktan Kod Yürütme Güvenlik Açıkları
Medya dosyası ve özel hazırlanmış bir dosyanın veri işlemesi sırasında, medya sunucusundaki güvenlik açıkları, bir saldırganın medya sunucusu işlemi olarak bellek bozulmasına ve uzaktan kod yürütülmesine neden olabilir.
Etkilenen işlevsellik, işletim sisteminin temel bir parçası olarak sağlanır ve uzak içerikle, özellikle de MMS ve tarayıcıdan medya oynatmayla ulaşılmasına izin veren birden çok uygulama vardır.
Bu sorun, medya sunucusu hizmeti bağlamında uzaktan kod yürütme olasılığı nedeniyle Kritik önem derecesi olarak derecelendirilmiştir. Medya sunucusu hizmetinin, ses ve video akışlarına erişiminin yanı sıra üçüncü taraf uygulamaların normalde erişemediği ayrıcalıklara erişimi vardır.
| CVE | AOSP bağlantılarına sahip hata(lar) | önem | Etkilenen sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6608 | ANDROID-19779574 | kritik | 5.0, 5.1, 6.0 | Google Dahili |
| ANDROID-23680780 | ||||
| ANDROID-23876444 | ||||
| ANDROID-23881715 | kritik | 4.4, 5.0, 5.1, 6.0 | Google Dahili | |
| ANDROID-14388161 | kritik | 4.4 ve 5.1 | Google Dahili | |
| ANDROID-23658148 | kritik | 5.0, 5.1, 6.0 | Google Dahili |
libutils'de Uzaktan Kod Yürütme Güvenlik Açığı
Genel bir kitaplık olan libutils'deki bir güvenlik açığı, ses dosyası işleme sırasında kullanılabilir. Bu güvenlik açığı, bir saldırganın özel hazırlanmış bir dosyayı işlemesi sırasında bellek bozulmasına ve uzaktan kod yürütülmesine neden olabilir.
Etkilenen işlevsellik bir API olarak sağlanır ve buna uzak içerikle, özellikle de MMS ve tarayıcıdan medya oynatmayla ulaşılmasına izin veren birden çok uygulama vardır. Ayrıcalıklı bir hizmette uzaktan kod yürütme olasılığı nedeniyle bu sorun, Kritik önem düzeyi sorunu olarak derecelendirilmiştir. Etkilenen bileşenin ses ve video akışlarına erişiminin yanı sıra üçüncü taraf uygulamaların normalde erişemediği ayrıcalıklara erişimi vardır.
| CVE | AOSP bağlantılarına sahip hata(lar) | önem | Etkilenen sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6609 | ANDROID-22953624 [ 2 ] | kritik | 6.0 ve altı | 3 Ağu 2015 |
Mediaserver'daki Bilgi İfşası Güvenlik Açıkları
Mediaserver'da, saldırganların platformu sömürme zorluğunu artırmak için güvenlik önlemlerinin atlanmasına izin verebilecek bilgi ifşa güvenlik açıkları vardır.
| CVE | AOSP bağlantılarına sahip hata(lar) | önem | Etkilenen sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6611 | ANDROID-23905951 [ 2 ] [ 3 ] | Yüksek | 6.0 ve altı | 07 Eylül 2015 |
| ANDROID-23912202* | ||||
| ANDROID-23953967* | ||||
| ANDROID-23696300 | Yüksek | 6.0 ve altı | 31 Ağu 2015 | |
| ANDROID-23600291 | Yüksek | 6.0 ve altı | 26 Ağu 2015 | |
| ANDROID-23756261 [ 2 ] | Yüksek | 6.0 ve altı | 26 Ağu 2015 | |
| ANDROID-23540907 [ 2 ] | Yüksek | 5.1 ve altı | 25 Ağu 2015 | |
| ANDROID-23541506 | Yüksek | 6.0 ve altı | 25 Ağu 2015 | |
| ANDROID-23284974* | ||||
| ANDROID-23542351* | ||||
| ANDROID-23542352* | ||||
| ANDROID-23515142 | Yüksek | 5.1 ve altı | 19 Ağu 2015 |
* Bu hatanın yama, sağlanan diğer AOSP bağlantılarına dahil edilmiştir.
libstagefright'ta Ayrıcalık Yükselmesi Güvenlik Açığı
libstagefright'ta, yerel bir kötü amaçlı uygulamanın, mediaserver hizmeti bağlamında bellek bozulmasına ve rastgele kod yürütülmesine neden olmasına olanak verebilecek bir ayrıcalık yükselmesi güvenlik açığı bulunmaktadır. Bu sorun normalde Kritik olarak derecelendirilirken, uzaktan yararlanma olasılığının daha düşük olması nedeniyle bu sorunu Yüksek önem derecesi olarak değerlendirdik.
| CVE | AOSP bağlantılarına sahip hata(lar) | önem | Etkilenen sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6610 | ANDROID-23707088 [ 2 ] | Yüksek | 6.0 ve altı | 19 Ağu 2015 |
libmedia'da Ayrıcalık Yükselmesi Güvenlik Açığı
Libmedia'da, yerel bir kötü amaçlı uygulamanın mediaserver hizmeti bağlamında rasgele kod yürütmesine olanak verebilecek bir güvenlik açığı vardır. Bu sorun, bir üçüncü taraf uygulaması tarafından doğrudan erişilemeyen ayrıcalıklara erişmek için kullanılabildiğinden, Yüksek önem derecesi olarak derecelendirilmiştir.
| CVE | AOSP bağlantılarına sahip hata(lar) | önem | Etkilenen sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6612 | ANDROID-23540426 | Yüksek | 6.0 ve altı | 23 Ağu 2015 |
Bluetooth'ta Ayrıcalık Yükselmesi Güvenlik Açığı
Bluetooth'ta, yerel bir uygulamanın cihazdaki dinleme hata ayıklama bağlantı noktasına komut göndermesini sağlayan bir güvenlik açığı vardır. Bu sorun, bir üçüncü taraf uygulaması tarafından erişilemeyen Signature veya SignatureOrSystem izin ayrıcalıkları gibi yükseltilmiş yetenekler elde etmek için kullanılabildiğinden, Yüksek önem derecesi olarak derecelendirilmiştir.
| CVE | AOSP bağlantılarına sahip hata(lar) | önem | Etkilenen sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6613 | ANDROID-24371736 | Yüksek | 6.0 | Google Dahili |
Telefonda Ayrıcalık Yükselmesi Güvenlik Açığı
Telefon bileşeninde, yerel kötü amaçlı bir uygulamanın yetkisiz verileri kısıtlı ağ arabirimlerine geçirmesine olanak tanıyan ve veri ücretlerini potansiyel olarak etkileyen bir güvenlik açığı. Ayrıca, bir saldırganın aramaların sessize alma ayarlarını kontrol etmesine izin vermenin yanı sıra cihazın arama almasını da engelleyebilir. Bu sorun, uygunsuz bir şekilde “ tehlikeli ” izinler almak için kullanılabildiğinden, Orta önem derecesinde derecelendirilmiştir.
| CVE | AOSP bağlantılarına sahip hata(lar) | önem | Etkilenen sürümler | Bildirilen tarih |
|---|---|---|---|---|
| CVE-2015-6614 | ANDROID-21900139 [ 2 ] [ 3 ] | Ilıman | 5.0, 5.1 | 8 Haz 2015 |
Genel Sorular ve Cevaplar
Bu bölüm, bu bülteni okuduktan sonra ortaya çıkabilecek yaygın soruların yanıtlarını gözden geçirecektir.
1. Cihazımın bu sorunları gidermek için güncellenip güncellenmediğini nasıl belirleyebilirim?
LMY48X veya sonraki sürümleri ve 1 Kasım 2015 veya sonraki Güvenlik Düzeltme Eki Düzeyi ile Android Marshmallow bu sorunları giderir. Güvenlik yaması düzeyinin nasıl kontrol edileceğine ilişkin talimatlar için Nexus belgelerine bakın. Bu güncellemeleri içeren cihaz üreticileri, yama dizesi düzeyini şu şekilde ayarlamalıdır: [ro.build.version.security_patch]:[2015-11-01]
Revizyonlar
- 02 Kasım 2015: İlk Yayınlandı