Nexus Security Bulletin - พฤศจิกายน 2015

จัดทุกอย่างให้เป็นระเบียบอยู่เสมอด้วยคอลเล็กชัน บันทึกและจัดหมวดหมู่เนื้อหาตามค่ากำหนดของคุณ

Published พฤศจิกายน 02, 2015

เราได้เผยแพร่การอัปเดตความปลอดภัยให้กับอุปกรณ์ Nexus ผ่านการอัปเดตแบบ over-the-air (OTA) ซึ่งเป็นส่วนหนึ่งของกระบวนการเผยแพร่แถลงการณ์ด้านความปลอดภัยของ Android ทุกเดือน อิมเมจเฟิร์มแวร์ Nexus ได้รับการเผยแพร่ไปยัง ไซต์ Google Developer แล้ว บิวด์ LMY48X หรือใหม่กว่าและ Android Marshmallow ที่มี Security Patch Level ตั้งแต่วันที่ 1 พฤศจิกายน 2015 หรือใหม่กว่าเพื่อแก้ไขปัญหาเหล่านี้ อ้างถึงส่วน คำถามและคำตอบทั่วไป สำหรับรายละเอียดเพิ่มเติม

พาร์ทเนอร์ได้รับแจ้งเกี่ยวกับปัญหาเหล่านี้เมื่อวันที่ 5 ตุลาคม 2015 หรือก่อนหน้านั้น แพตช์ซอร์สโค้ดสำหรับปัญหาเหล่านี้จะเผยแพร่ไปยังที่เก็บ Android Open Source Project (AOSP) ในอีก 48 ชั่วโมงข้างหน้า เราจะแก้ไขกระดานข่าวนี้ด้วยลิงก์ AOSP เมื่อมี

ปัญหาที่ร้ายแรงที่สุดคือช่องโหว่ด้านความปลอดภัยที่สำคัญซึ่งสามารถเปิดใช้งานการเรียกใช้โค้ดจากระยะไกลบนอุปกรณ์ที่ได้รับผลกระทบผ่านวิธีการต่างๆ เช่น อีเมล การท่องเว็บ และ MMS เมื่อประมวลผลไฟล์สื่อ การ ประเมินความรุนแรง ขึ้นอยู่กับผลกระทบจากการใช้ประโยชน์จากช่องโหว่ที่อาจจะเกิดขึ้นกับอุปกรณ์ที่ได้รับผลกระทบ สมมติว่าแพลตฟอร์มและบริการบรรเทาผลกระทบถูกปิดใช้งานเพื่อวัตถุประสงค์ในการพัฒนาหรือหากเลี่ยงผ่านได้สำเร็จ

เราไม่มีรายงานเกี่ยวกับการแสวงประโยชน์จากลูกค้าเกี่ยวกับปัญหาที่รายงานใหม่เหล่านี้ ดูส่วนการ บรรเทาผลกระทบ สำหรับรายละเอียดเกี่ยวกับการ ป้องกันแพลตฟอร์มความปลอดภัยของ Android และการป้องกันบริการ เช่น SafetyNet ซึ่งปรับปรุงความปลอดภัยของแพลตฟอร์ม Android เราสนับสนุนให้ลูกค้าทุกคนยอมรับการอัปเดตเหล่านี้ในอุปกรณ์ของตน

การบรรเทาสาธารณภัย

นี่คือบทสรุปของการบรรเทาผลกระทบจาก แพลตฟอร์มความปลอดภัยของ Android และการป้องกันบริการ เช่น SafetyNet ความสามารถเหล่านี้ลดโอกาสที่ช่องโหว่ด้านความปลอดภัยจะถูกโจมตีบน Android ได้สำเร็จ

  • การใช้ประโยชน์จากปัญหามากมายบน Android ทำได้ยากขึ้นด้วยการปรับปรุงในแพลตฟอร์ม Android เวอร์ชันใหม่กว่า เราสนับสนุนให้ผู้ใช้ทุกคนอัปเดตเป็น Android เวอร์ชันล่าสุดหากเป็นไปได้
  • ทีมความปลอดภัยของ Android กำลังตรวจสอบการละเมิดด้วย Verify Apps และ SafetyNet ซึ่งจะเตือนเกี่ยวกับแอปพลิเคชันที่อาจเป็นอันตรายที่กำลังจะติดตั้ง เครื่องมือการรูทอุปกรณ์ไม่ได้รับอนุญาตใน Google Play เพื่อปกป้องผู้ใช้ที่ติดตั้งแอปพลิเคชันจากภายนอก Google Play การตรวจสอบแอปจะเปิดใช้งานโดยค่าเริ่มต้น และจะเตือนผู้ใช้เกี่ยวกับแอปพลิเคชันการรูทที่รู้จัก ตรวจสอบว่าแอปพยายามระบุและบล็อกการติดตั้งแอปพลิเคชันที่เป็นอันตรายที่รู้จักซึ่งใช้ช่องโหว่ในการยกระดับสิทธิ์ หากมีการติดตั้งแอปพลิเคชันดังกล่าวแล้ว การตรวจสอบแอปจะแจ้งให้ผู้ใช้ทราบและพยายามลบแอปพลิเคชันดังกล่าว
  • ตามความเหมาะสม แอปพลิเคชัน Google Hangouts และ Messenger จะไม่ส่งสื่อไปยังกระบวนการต่างๆ เช่น เซิร์ฟเวอร์มีเดียโดยอัตโนมัติ

รับทราบ

เราขอขอบคุณนักวิจัยเหล่านี้สำหรับผลงานของพวกเขา:

  • Abhishek Arya, Oliver Chang และ Martin Barbella, ทีมรักษาความปลอดภัยของ Google Chrome: CVE-2015-6608
  • Daniel Micay (daniel.micay@copperhead.co) ที่ Copperhead Security: CVE-2015-6609
  • Dongkwan Kim จาก System Security Lab, KAIST (dkay@kaist.ac.kr): CVE-2015-6614
  • Hongil Kim จาก System Security Lab, KAIST (hongilk@kaist.ac.kr): CVE-2015-6614
  • Jack Tang จาก Trend Micro (@jacktang310): CVE-2015-6611
  • Peter Pi จาก Trend Micro: CVE-2015-6611
  • Natalie Silvanovich จาก Google Project Zero: CVE-2015-6608
  • Qidan He (@flanker_hqd) และ Wen Xu (@antlr7) จาก KeenTeam (@K33nTeam, http://k33nteam.org/): CVE-2015-6612
  • Guang Gong (龚广) ( @oldfresher , higongguang@gmail.com) จาก Qihoo 360 Technology CC o.Ltd : CVE-2015-6612
  • Seven Shen จาก Trend Micro: CVE-2015-6610

รายละเอียดช่องโหว่ด้านความปลอดภัย

ในส่วนด้านล่าง เราได้ให้รายละเอียดเกี่ยวกับช่องโหว่ด้านความปลอดภัยแต่ละรายการที่ใช้กับระดับแพตช์ 2015-11-01 มีคำอธิบายของปัญหา เหตุผลของความรุนแรง และตารางที่มี CVE ข้อบกพร่องที่เกี่ยวข้อง ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ และวันที่ที่รายงาน หากมี เราได้เชื่อมโยงการเปลี่ยนแปลง AOSP ที่แก้ไขปัญหากับรหัสจุดบกพร่อง เมื่อการเปลี่ยนแปลงหลายรายการเกี่ยวข้องกับจุดบกพร่องเดียว การอ้างอิง AOSP เพิ่มเติมจะเชื่อมโยงกับหมายเลขตามรหัสจุดบกพร่อง

ช่องโหว่ในการเรียกใช้โค้ดจากระยะไกลใน Mediaserver

ระหว่างไฟล์มีเดียและการประมวลผลข้อมูลของไฟล์ที่สร้างขึ้นเป็นพิเศษ ช่องโหว่ในเซิร์ฟเวอร์มีเดียอาจทำให้ผู้โจมตีสร้างความเสียหายให้กับหน่วยความจำและเรียกใช้โค้ดจากระยะไกลเป็นกระบวนการเซิร์ฟเวอร์สื่อ

ฟังก์ชันที่ได้รับผลกระทบมีให้เป็นส่วนหลักของระบบปฏิบัติการและมีแอปพลิเคชันหลายตัวที่อนุญาตให้เข้าถึงเนื้อหาจากระยะไกล โดยเฉพาะอย่างยิ่ง MMS และการเล่นสื่อของเบราว์เซอร์

ปัญหานี้จัดอยู่ในประเภทความรุนแรงที่สำคัญเนื่องจากมีความเป็นไปได้ของการดำเนินการโค้ดจากระยะไกลภายในบริบทของบริการเซิร์ฟเวอร์มีเดีย บริการเซิร์ฟเวอร์มีเดียสามารถเข้าถึงสตรีมเสียงและวิดีโอรวมถึงการเข้าถึงสิทธิ์ที่แอพของบุคคลที่สามไม่สามารถเข้าถึงได้ตามปกติ

CVE ข้อบกพร่องที่มีลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ วันที่รายงาน
CVE-2015-6608 ANDROID-19779574 วิกฤต 5.0, 5.1, 6.0 Google Internal
ANDROID-23680780
ANDROID-23876444
ANDROID-23881715 วิกฤต 4.4, 5.0, 5.1, 6.0 Google Internal
ANDROID-14388161 วิกฤต 4.4 และ 5.1 Google Internal
ANDROID-23658148 วิกฤต 5.0, 5.1, 6.0 Google Internal

ช่องโหว่ในการเรียกใช้โค้ดจากระยะไกลใน libutils

ช่องโหว่ใน libutils ซึ่งเป็นไลบรารีทั่วไปสามารถใช้ประโยชน์ได้ในระหว่างการประมวลผลไฟล์เสียง ช่องโหว่นี้อาจทำให้ผู้โจมตี ในระหว่างการประมวลผลไฟล์ที่สร้างขึ้นเป็นพิเศษ ทำให้หน่วยความจำเสียหายและเรียกใช้โค้ดจากระยะไกล

ฟังก์ชันที่ได้รับผลกระทบมีให้เป็น API และมีหลายแอปพลิเคชันที่ช่วยให้สามารถเข้าถึงเนื้อหาจากระยะไกลได้ โดยเฉพาะอย่างยิ่ง MMS และการเล่นสื่อของเบราว์เซอร์ ปัญหานี้จัดอยู่ในประเภทปัญหาร้ายแรงเนื่องจากมีความเป็นไปได้ที่จะมีการเรียกใช้โค้ดจากระยะไกลในบริการที่มีสิทธิพิเศษ คอมโพเนนต์ที่ได้รับผลกระทบมีสิทธิ์เข้าถึงสตรีมเสียงและวิดีโอ ตลอดจนสิทธิ์เข้าถึงที่แอปของบุคคลที่สามไม่สามารถเข้าถึงได้ตามปกติ

CVE ข้อบกพร่องที่มีลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ วันที่รายงาน
CVE-2015-6609 ANDROID-22953624 [ 2 ] วิกฤต 6.0 และต่ำกว่า 3 ส.ค. 2015

ช่องโหว่การเปิดเผยข้อมูลใน Mediaserver

มีช่องโหว่ในการเปิดเผยข้อมูลในเซิร์ฟเวอร์สื่อที่สามารถอนุญาตให้มีการข้ามมาตรการรักษาความปลอดภัยเพื่อเพิ่มความยากลำบากของผู้โจมตีที่ใช้ประโยชน์จากแพลตฟอร์ม

CVE ข้อบกพร่องที่มีลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ วันที่รายงาน
CVE-2015-6611 ANDROID-23905951 [ 2 ] [ 3 ] สูง 6.0 และต่ำกว่า 07 ก.ย. 2015
Android-23912202*
Android-23953967*
ANDROID-23696300 สูง 6.0 และต่ำกว่า 31 ส.ค. 2558
ANDROID-23600291 สูง 6.0 และต่ำกว่า 26 ส.ค. 2015
ANDROID-23756261 [ 2 ] สูง 6.0 และต่ำกว่า 26 ส.ค. 2015
ANDROID-23540907 [ 2 ] สูง 5.1 และต่ำกว่า 25 ส.ค. 2558
ANDROID-23541506 สูง 6.0 และต่ำกว่า 25 ส.ค. 2558
Android-23284974*
Android-23542351*
Android-23542352*
ANDROID-23515142 สูง 5.1 และต่ำกว่า 19 ส.ค. 2558

* แพตช์สำหรับจุดบกพร่องนี้รวมอยู่ในลิงค์ AOSP อื่น ๆ ที่ให้มา

การยกระดับช่องโหว่ของสิทธิ์ใน libstagefright

libstagefright มีช่องโหว่ยกระดับสิทธิ์ที่สามารถเปิดใช้งานแอปพลิเคชันที่เป็นอันตรายในเครื่องเพื่อทำให้หน่วยความจำเสียหายและการใช้รหัสโดยอำเภอใจภายในบริบทของบริการมีเดียเซิร์ฟเวอร์ แม้ว่าโดยปกติปัญหานี้จะถูกจัดประเภทเป็นวิกฤติ แต่เราได้ประเมินปัญหานี้เป็นระดับความรุนแรงสูง เนื่องจากมีโอกาสน้อยที่จะสามารถใช้ประโยชน์จากปัญหาจากระยะไกลได้

CVE ข้อบกพร่องที่มีลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ วันที่รายงาน
CVE-2015-6610 ANDROID-23707088 [ 2 ] สูง 6.0 และต่ำกว่า 19 ส.ค. 2558

การเพิ่มช่องโหว่ของสิทธิ์ใน libmedia

มีช่องโหว่ใน libmedia ที่สามารถเปิดใช้งานแอปพลิเคชันที่เป็นอันตรายในเครื่องเพื่อรันโค้ดโดยอำเภอใจภายในบริบทของบริการ mediaserver ปัญหานี้จัดอยู่ในประเภทความรุนแรงสูง เนื่องจากสามารถใช้เพื่อเข้าถึงสิทธิ์ซึ่งไม่สามารถเข้าถึงได้โดยตรงจากแอปพลิเคชันบุคคลที่สาม

CVE ข้อบกพร่องที่มีลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ วันที่รายงาน
CVE-2015-6612 ANDROID-23540426 สูง 6.0 และต่ำกว่า 23 ส.ค. 2558

การเพิ่มช่องโหว่ของ Privilege ใน Bluetooth

มีช่องโหว่ใน Bluetooth ที่สามารถเปิดใช้งานแอปพลิเคชันในพื้นที่เพื่อส่งคำสั่งไปยังพอร์ตดีบักการฟังบนอุปกรณ์ ปัญหานี้จัดอยู่ในประเภทความรุนแรงสูง เนื่องจากสามารถใช้เพื่อเพิ่มความสามารถ เช่น สิทธิ์ของ ลาย เซ็นหรือ SignatureOrSystem ซึ่งแอปพลิเคชันของบริษัทอื่นไม่สามารถเข้าถึงได้

CVE ข้อบกพร่องที่มีลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ วันที่รายงาน
CVE-2015-6613 ANDROID-24371736 สูง 6.0 Google Internal

การยกระดับช่องโหว่ของสิทธิ์ในการโทรศัพท์

ช่องโหว่ในองค์ประกอบโทรศัพท์ที่สามารถเปิดใช้งานแอปพลิเคชันที่เป็นอันตรายในพื้นที่เพื่อส่งข้อมูลที่ไม่ได้รับอนุญาตไปยังอินเทอร์เฟซเครือข่ายที่ถูกจำกัด ซึ่งอาจส่งผลกระทบต่อค่าบริการข้อมูล นอกจากนี้ยังสามารถป้องกันไม่ให้อุปกรณ์รับสายรวมทั้งอนุญาตให้ผู้โจมตีควบคุมการตั้งค่าปิดเสียงของการโทร ปัญหานี้จัดอยู่ในประเภทความรุนแรงปานกลาง เนื่องจากสามารถใช้เพื่อให้ได้รับสิทธิ์ " อันตราย " อย่างไม่เหมาะสม

CVE ข้อบกพร่องที่มีลิงก์ AOSP ความรุนแรง เวอร์ชันที่ได้รับผลกระทบ วันที่รายงาน
CVE-2015-6614 ANDROID-21900139 [ 2 ] [ 3 ] ปานกลาง 5.0, 5.1 8 มิ.ย. 2015

คำถามและคำตอบทั่วไป

ส่วนนี้จะทบทวนคำตอบของคำถามทั่วไปที่อาจเกิดขึ้นหลังจากอ่านกระดานข่าวนี้

1. ฉันจะทราบได้อย่างไรว่าอุปกรณ์ของฉันได้รับการอัปเดตเพื่อแก้ไขปัญหาเหล่านี้หรือไม่

บิวด์ LMY48X หรือใหม่กว่าและ Android Marshmallow ที่มี Security Patch Level ตั้งแต่วันที่ 1 พฤศจิกายน 2015 หรือใหม่กว่าเพื่อแก้ไขปัญหาเหล่านี้ โปรดดู เอกสารประกอบของ Nexus สำหรับคำแนะนำเกี่ยวกับวิธีการตรวจสอบระดับแพตช์ความปลอดภัย ผู้ผลิตอุปกรณ์ที่มีการอัปเดตเหล่านี้ควรตั้งค่าระดับสตริงของโปรแกรมแก้ไขเป็น: [ro.build.version.security_patch]:[2015-11-01]

การแก้ไข

  • 02 พฤศจิกายน 2558: เผยแพร่ครั้งแรก