Nexus-Sicherheitsbulletin – Dezember 2015

Veröffentlicht am 7. Dezember 2015 | Aktualisiert am 7. März 2016

Im Rahmen unseres monatlichen Release-Prozesses für Android-Sicherheitsbulletins haben wir ein Sicherheitsupdate für Nexus-Geräte als Over-the-air-Update (OTA-Update) veröffentlicht. Die Nexus-Firmware-Images wurden auch auf der Google Developer-Website veröffentlicht. Diese Probleme werden durch Builds LMY48Z oder höher und Android 6.0 mit dem Stand der Sicherheitsupdates vom 1. Dezember 2015 oder höher behoben. Weitere Informationen finden Sie im Abschnitt Häufig gestellte Fragen und Antworten.

Partner wurden am 2. November 2015 oder früher über diese Probleme informiert und erhielten Updates. Gegebenenfalls wurden Quellcode-Patches für diese Probleme im Repository des Android Open Source Project (AOSP) veröffentlicht.

Das schwerwiegendste dieser Probleme ist eine kritische Sicherheitslücke, die die Ausführung von Remote-Code auf einem betroffenen Gerät über mehrere Methoden wie E-Mail, Web-Browsing und MMS bei der Verarbeitung von Mediendateien ermöglichen könnte. Die Bewertung des Schweregrads basiert auf der Auswirkung, die die Ausnutzung der Sicherheitslücke auf ein betroffenes Gerät haben könnte, vorausgesetzt, die Plattform- und Dienstmitigationen sind zu Entwicklungszwecken deaktiviert oder werden erfolgreich umgangen.

Wir haben keine Berichte über eine aktive Ausnutzung dieser neu gemeldeten Probleme durch Kunden erhalten. Im Abschnitt Maßnahmen finden Sie Details zu den Sicherheitsmechanismen der Android-Plattform und zu Dienstmechanismen wie SafetyNet, die die Sicherheit der Android-Plattform verbessern. Wir empfehlen allen Kunden, diese Updates auf ihren Geräten zu akzeptieren.

Abhilfemaßnahmen

Hier finden Sie eine Zusammenfassung der Schutzmaßnahmen, die von der Android-Sicherheitsplattform und Dienstschutzmaßnahmen wie SafetyNet bereitgestellt werden. Diese Funktionen verringern die Wahrscheinlichkeit, dass Sicherheitslücken auf Android-Geräten erfolgreich ausgenutzt werden können.

  • Die Ausnutzung vieler Probleme auf Android-Geräten wird durch Verbesserungen in neueren Versionen der Android-Plattform erschwert. Wir empfehlen allen Nutzern, nach Möglichkeit auf die neueste Android-Version zu aktualisieren.
  • Das Android-Sicherheitsteam überwacht mithilfe von Verify Apps und SafetyNet aktiv den Missbrauch und warnt vor potenziell schädlichen Apps, die installiert werden sollen. Tools zum Rooten von Geräten sind bei Google Play verboten. Zum Schutz von Nutzern, die Apps von außerhalb von Google Play installieren, ist „Apps prüfen“ standardmäßig aktiviert. Nutzer werden dann vor bekannten Rooting-Apps gewarnt. Verify Apps versucht, die Installation bekannter schädlicher Anwendungen zu erkennen und zu blockieren, die eine Sicherheitslücke zur Berechtigungserweiterung ausnutzen. Wenn eine solche App bereits installiert ist, wird der Nutzer von Verify Apps benachrichtigt und die App wird entfernt.
  • Die Google Hangouts- und Messenger-Anwendungen übergeben Medien nicht automatisch an Prozesse wie den Medienserver.

Danksagungen

Wir möchten uns bei den folgenden Forschern für ihre Beiträge bedanken:

  • Abhishek Arya, Oliver Chang und Martin Barbella vom Google Chrome-Sicherheitsteam: CVE-2015-6616, CVE-2015-6617, CVE-2015-6623, CVE-2015-6626, CVE-2015-6619, CVE-2015-6633, CVE-2015-6634
  • Flanker (@flanker_hqd) vom KeenTeam (@K33nTeam): CVE-2015-6620
  • Guang Gong (龚广) (@oldfresher, higongguang@gmail.com) von Qihoo 360 Technology Co.Ltd: CVE-2015-6626
  • Mark Carter (@hanpingchinese) von EmberMitre Ltd: CVE-2015-6630
  • Michał Bednarski (https://github.com/michalbednarski): CVE-2015-6621
  • Natalie Silvanovich von Google Project Zero: CVE-2015-6616
  • Peter Pi von Trend Micro: CVE-2015-6616, CVE-2015-6628
  • Qidan He (@flanker_hqd) und Marco Grassi (@marcograss) vom KeenTeam (@K33nTeam): CVE-2015-6622
  • Tzu-Yin (Nina) Tai: CVE-2015-6627
  • Joaquín Rinaudo (@xeroxnir) vom Programa STIC der Fundación Dr. Manuel Sadosky, Buenos Aires, Argentinien: CVE-2015-6631
  • Wangtao (neobyte) vom Baidu X-Team: CVE-2015-6626

Details zur Sicherheitslücke

In den folgenden Abschnitten finden Sie Details zu den einzelnen Sicherheitslücken, die für das Patchlevel vom 01.12.2015 gelten. Es gibt eine Beschreibung des Problems, eine Begründung für den Schweregrad und eine Tabelle mit dem CVE, dem zugehörigen Fehler, dem Schweregrad, den aktualisierten Versionen und dem Meldedatum. Sobald verfügbar, verknüpfen wir die AOSP-Änderung, mit der das Problem behoben wurde, mit der Fehler-ID. Wenn sich mehrere Änderungen auf einen einzelnen Fehler beziehen, werden zusätzliche AOSP-Referenzen mit den Zahlen verknüpft, die auf die Fehler-ID folgen.

Sicherheitslücken bei der Remote-Codeausführung im Mediaserver

Bei der Verarbeitung von Mediendateien und Daten einer speziell erstellten Datei können Sicherheitslücken im Mediaserver es einem Angreifer ermöglichen, den Arbeitsspeicher zu beschädigen und Remote-Code im Rahmen des Mediaserver-Prozesses auszuführen.

Die betroffenen Funktionen sind ein zentraler Bestandteil des Betriebssystems und es gibt mehrere Anwendungen, über die sie mit Remote-Inhalten erreicht werden können, insbesondere MMS und die Browserwiedergabe von Medien.

Dieses Problem wird aufgrund der Möglichkeit der Remote-Codeausführung im Kontext des Mediaserver-Dienstes als kritisch eingestuft. Der Mediaserverdienst hat Zugriff auf Audio- und Videostreams sowie auf Berechtigungen, auf die Apps von Drittanbietern normalerweise nicht zugreifen können.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6616 ANDROID-24630158 Kritisch 6.0 und niedriger Google Intern
ANDROID-23882800 Kritisch 6.0 und niedriger Google Intern
ANDROID-17769851 Kritisch 5.1 und niedriger Google Intern
ANDROID-24441553 Kritisch 6.0 und niedriger 22. September 2015
ANDROID-24157524 Kritisch 6.0 8. September 2015

Sicherheitslücke bei der Remote-Codeausführung in Skia

Eine Sicherheitslücke in der Skia-Komponente kann bei der Verarbeitung einer speziell erstellten Mediendatei ausgenutzt werden, was zu einer Beschädigung des Arbeitsspeichers und zur Ausführung von Remote-Code in einem privilegierten Prozess führen kann. Dieses Problem wird als kritisch eingestuft, da bei der Verarbeitung von Mediendateien eine Remote-Codeausführung über mehrere Angriffsmethoden wie E-Mail, Web-Browsing und MMS möglich ist.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6617 ANDROID-23648740 Kritisch 6.0 und niedriger Google intern

Rechteausweitung im Kernel

Eine Sicherheitslücke zur Erhöhung der Berechtigungen im Systemkernel kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Root-Kontext des Geräts auszuführen. Dieses Problem wird als kritisch eingestuft, da das Gerät lokal dauerhaft manipuliert werden kann und nur durch ein erneutes Flashen des Betriebssystems repariert werden kann.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6619 ANDROID-23520714 Kritisch 6.0 und niedriger 7. Juni 2015

Sicherheitslücken bei der Remote-Codeausführung im Displaytreiber

Es gibt Sicherheitslücken in den Displaytreibern, die bei der Verarbeitung einer Mediendatei zu einer Beschädigung des Arbeitsspeichers und zur potenziellen Ausführung beliebigen Codes im Kontext des vom Mediaserver geladenen Nutzermodus-Treibers führen können. Dieses Problem wird als kritisch eingestuft, da bei der Verarbeitung von Mediendateien eine Remote-Codeausführung über mehrere Angriffsmethoden wie E-Mail, Web-Browsing und MMS möglich ist.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6633 ANDROID-23987307* Kritisch 6.0 und niedriger Google Intern
CVE-2015-6634 ANDROID-24163261 [2] [3] [4] Kritisch 5.1 und niedriger Google Intern

*Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google-Entwicklerwebsite verfügbar sind.

Sicherheitslücke bei der Remote-Codeausführung in Bluetooth

Eine Sicherheitslücke in der Bluetooth-Komponente von Android kann die Ausführung von Remote-Code ermöglichen. Es sind jedoch mehrere manuelle Schritte erforderlich, bevor dies möglich ist. Dazu ist ein erfolgreich gekoppeltes Gerät erforderlich, nachdem das PAN-Profil (Personal Area Network) aktiviert wurde (z. B. über Bluetooth-Tethering) und das Gerät gekoppelt wurde. Die Remote-Codeausführung erfolgt mit den Berechtigungen des Bluetooth-Dienstes. Ein Gerät ist nur dann anfällig für dieses Problem, wenn es sich in der Nähe eines erfolgreich gekoppelten Geräts befindet.

Dieses Problem hat den Schweregrad „Hoch“, da ein Angreifer nur nach mehreren manuellen Schritten und nur von einem lokal anwesenden Angreifer, der zuvor die Kopplung eines Geräts erlaubt wurde, beliebigen Code aus der Ferne ausführen kann.

CVE Fehler Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6618 ANDROID-24595992* Hoch 4.4, 5.0 und 5.1 28. September 2015

*Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google-Entwicklerwebsite verfügbar sind.

Sicherheitslücken zur Rechteausweitung in libstagefright

Es gibt mehrere Sicherheitslücken in libstagefright, die es einer lokalen schädlichen Anwendung ermöglichen könnten, beliebigen Code im Kontext des Mediaserver-Dienstes auszuführen. Dieses Problem hat den Schweregrad „Hoch“, da es dazu verwendet werden kann, erweiterte Funktionen zu erhalten, z. B. Berechtigungen für Signature oder SignatureOrSystem, auf die Drittanbieteranwendungen nicht zugreifen können.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6620 ANDROID-24123723 Hoch 6.0 und niedriger 10. September 2015
ANDROID-24445127 Hoch 6.0 und niedriger 2. September 2015

Sicherheitslücke vom Typ „Rechteausweitung“ in SystemUI

Wenn Sie mit der Uhren-App einen Wecker stellen, kann eine Sicherheitslücke in der SystemUI-Komponente einer Anwendung ermöglichen, eine Aufgabe mit erhöhten Berechtigungen auszuführen. Dieses Problem hat den Schweregrad „Hoch“, da es dazu verwendet werden kann, erweiterte Funktionen zu erhalten, z. B. Berechtigungen für Signature oder SignatureOrSystem, auf die Drittanbieteranwendungen nicht zugreifen können.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6621 ANDROID-23909438 Hoch 5.0, 5.1 und 6.0 7. September 2015

Sicherheitslücke bei der Offenlegung von Informationen in der Native Frameworks Library

Eine Sicherheitslücke in der Android Native Frameworks Library könnte es ermöglichen, die Sicherheitsmaßnahmen zu umgehen, die die Ausnutzung der Plattform durch Angreifer erschweren sollen. Diese Probleme werden als „Hoch“ eingestuft, da sie auch dazu verwendet werden können, erweiterte Funktionen zu erhalten, z. B. Berechtigungen für Signature oder SignatureOrSystem, auf die Anwendungen von Drittanbietern nicht zugreifen können.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6622 ANDROID-23905002 Hoch 6.0 und niedriger 7. September 2015

Sicherheitslücke bei der Rechteausweitung in WLANs

Eine Sicherheitslücke zur Berechtigungsaufhebung in WLANs kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext eines erhöhten Systemdienstes auszuführen. Dieses Problem hat den Schweregrad „Hoch“, da es dazu verwendet werden könnte, erweiterte Funktionen zu erhalten, z. B. Berechtigungen für Signature oder SignatureOrSystem, auf die eine Drittanbieteranwendung nicht zugreifen kann.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6623 ANDROID-24872703 Hoch 6.0 Google Intern

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im Systemserver

Eine Sicherheitslücke zur Berechtigungserweiterung in der Systemserver-Komponente könnte es einer lokalen schädlichen Anwendung ermöglichen, auf dienstbezogene Informationen zuzugreifen. Dieses Problem hat den Schweregrad „Hoch“, da es dazu verwendet werden könnte, erweiterte Funktionen zu erhalten, z. B. Berechtigungen für Signature oder SignatureOrSystem, auf die Drittanbieteranwendungen nicht zugreifen können.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6624 ANDROID-23999740 Hoch 6.0 Google intern

Sicherheitslücken in libstagefright, die zur Offenlegung von Informationen führen

In libstagefright gibt es Sicherheitslücken, die bei der Kommunikation mit dem Mediaserver dazu führen können, dass die Sicherheitsmaßnahmen umgangen werden, die die Ausnutzung der Plattform durch Angreifer erschweren sollen. Diese Probleme werden als „Hoch“ eingestuft, da sie auch dazu verwendet werden können, erweiterte Funktionen zu erhalten, z. B. Berechtigungen für Signature oder SignatureOrSystem, auf die Drittanbieteranwendungen nicht zugreifen können.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6632 ANDROID-24346430 Hoch 6.0 und niedriger Google Intern
CVE-2015-6626 ANDROID-24310423 Hoch 6.0 und niedriger 2. September 2015
CVE-2015-6631 ANDROID-24623447 Hoch 6.0 und niedriger 21. August 2015

Sicherheitslücke bei der Offenlegung von Informationen in Audioinhalten

Eine Sicherheitslücke in der Audiokomponente kann bei der Verarbeitung von Audiodateien ausgenutzt werden. Diese Sicherheitslücke könnte es einer lokalen schädlichen Anwendung ermöglichen, bei der Verarbeitung einer speziell erstellten Datei zur Offenlegung von Informationen zu führen. Dieses Problem hat den Schweregrad „Hoch“, da es dazu verwendet werden könnte, erweiterte Funktionen zu erhalten, z. B. Berechtigungen für Signature oder SignatureOrSystem, auf die Drittanbieteranwendungen nicht zugreifen können.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6627 ANDROID-24211743 Hoch 6.0 und niedriger Google Intern

Sicherheitslücke im Media Framework, die zur Offenlegung von Informationen führt

Im Media Framework gibt es eine Sicherheitslücke, durch die bei der Kommunikation mit dem Mediaserver Sicherheitsmaßnahmen umgangen werden können, die die Ausnutzung der Plattform durch Angreifer erschweren sollen. Dieses Problem hat den Schweregrad „Hoch“, da es auch dazu verwendet werden kann, erweiterte Funktionen zu erhalten, z. B. Berechtigungen für Signature oder SignatureOrSystem, auf die Drittanbieteranwendungen nicht zugreifen können.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6628 ANDROID-24074485 Hoch 6.0 und niedriger 8. September 2015

Sicherheitslücke bei der Offenlegung von Informationen in WLANs

Eine Sicherheitslücke in der WLAN-Komponente kann es einem Angreifer ermöglichen, den WLAN-Dienst dazu zu bringen, Informationen offenzulegen. Dieses Problem hat den Schweregrad „Hoch“, da es dazu verwendet werden könnte, erweiterte Funktionen zu erhalten, z. B. Berechtigungen für Signature oder SignatureOrSystem, auf die Drittanbieteranwendungen nicht zugreifen können.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6629 ANDROID-22667667 Hoch 5.1 und 5.0 Google Intern

Sicherheitslücke vom Typ „Ausweitung von Berechtigungen“ im Systemserver

Eine Sicherheitslücke zur Berechtigungserweiterung auf dem Systemserver kann es einer lokalen schädlichen Anwendung ermöglichen, auf Informationen zu WLAN-Diensten zuzugreifen. Dieses Problem hat den Schweregrad „Mittel“, da es dazu verwendet werden könnte, unberechtigt gefährliche Berechtigungen zu erhalten.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6625 ANDROID-23936840 Moderat 6.0 Google Intern

Sicherheitslücke in SystemUI, die zur Offenlegung von Informationen führt

Eine Sicherheitslücke in der SystemUI könnte es einer schädlichen lokalen Anwendung ermöglichen, auf Screenshots zuzugreifen. Dieses Problem hat den Schweregrad „Mittel“, da es dazu verwendet werden könnte, unberechtigt gefährliche Berechtigungen zu erlangen.

CVE Fehler mit AOSP-Links Schweregrad Aktualisierte Versionen Datum der Meldung
CVE-2015-6630 ANDROID-19121797 Moderat 5.0, 5.1 und 6.0 22. Januar 2015

Häufig gestellte Fragen und Antworten

In diesem Abschnitt werden häufige Fragen zu diesem Bulletin beantwortet.

1. Wie finde ich heraus, ob mein Gerät entsprechend aktualisiert wurde?

Diese Probleme werden durch Builds LMY48Z oder höher und Android 6.0 mit dem Stand der Sicherheitsupdates vom 1. Dezember 2015 oder höher behoben. Eine Anleitung zum Prüfen des Sicherheitspatches finden Sie in der Nexus-Dokumentation. Gerätehersteller, die diese Updates einbinden, sollten die Patch-Stringebene auf Folgendes festlegen: [ro.build.version.security_patch]:[2015-12-01]

Überarbeitungen

  • 7. Dezember 2015: Erstveröffentlichung
  • 9. Dezember 2015: Das Bulletin wurde überarbeitet und enthält jetzt AOSP-Links.
  • 22. Dezember 2015: Im Abschnitt „Mitwirkende“ wurde eine fehlende Erwähnung hinzugefügt.
  • 7. März 2016: Im Abschnitt „Mitwirkende“ wurde eine fehlende Erwähnung hinzugefügt.