עדכון אבטחה דחוף ל-Nexus – דצמבר 2015

תאריך פרסום: 7 בדצמבר 2015 | תאריך עדכון: 7 במרץ 2016

השקנו עדכון אבטחה למכשירי Nexus באמצעות עדכון אוויר (OTA) כחלק מתהליך ההשקה החודשי של עדכוני האבטחה של Android. קובצי האימג' של קושחת Nexus פורסמו גם באתר Google Developers. הגרסאות LMY48Z ואילך ו-Android 6.0 עם רמת תיקון האבטחה מ-1 בדצמבר 2015 ואילך פותרות את הבעיות האלה. פרטים נוספים זמינים בקטע שאלות נפוצות ותשובות.

השותפים עודכנו על הבעיות האלה ב-2 בנובמבר 2015 או לפני כן, וקיבלנו מהם עדכונים. במקרים הרלוונטיים, תיקוני קוד המקור לבעיות האלה פורסמו במאגר של פרויקט קוד פתוח של Android‏ (AOSP).

הבעיה החמורה ביותר היא נקודת חולשה קריטית באבטחה שעלולה לאפשר ביצוע קוד מרחוק במכשיר מושפע באמצעות כמה שיטות, כמו אימייל, גלישה באינטרנט והודעות MMS במהלך עיבוד קובצי מדיה. הערכת החומרה מבוססת על ההשפעה שעלולה להיות לניצול נקודת החולשה על מכשיר מושפע, בהנחה שהאמצעי למזעור הפגיעות בפלטפורמה ובשירות מושבתים למטרות פיתוח או אם הם עוקפים בהצלחה.

לא קיבלנו דיווחים על ניצול פעיל של הבעיות החדשות האלה על ידי לקוחות. בקטע הקלות מפורטים אמצעי ההגנה של פלטפורמת האבטחה של Android ואמצעי ההגנה של השירותים, כמו SafetyNet, שמשפרים את האבטחה של פלטפורמת Android. אנחנו ממליצים לכל הלקוחות לאשר את העדכונים האלה במכשירים שלהם.

פעולות מיטיגציה

זהו סיכום של אמצעי ההפחתה שסופקו על ידי פלטפורמת האבטחה של Android והגנות על שירותים כמו SafetyNet. היכולות האלה מצמצמות את הסבירות לניצול נקודות חולשה באבטחה ב-Android.

  • שיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של בעיות רבות ב-Android. אנחנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
  • צוות האבטחה של Android עוקב באופן פעיל אחר ניצול לרעה באמצעות Verify Apps ו-SafetyNet, שיזהירו מפני אפליקציות שעלולות להזיק ועומדות להתקנה. אסור לפרסם כלים להסרת האבטחה (rooting) של מכשירים ב-Google Play. כדי להגן על משתמשים שמתקינים אפליקציות ממקורות מחוץ ל-Google Play, התכונה 'אימות אפליקציות' מופעלת כברירת מחדל ומזהירה משתמשים מפני אפליקציות ידועות לצורך קבלת הרשאת root. Verify Apps מנסה לזהות ולחסום התקנה של אפליקציות זדוניות ידועות שמנצלות נקודת חולשה של הסלמת הרשאות. אם אפליקציה כזו כבר הותקנה, התכונה 'אימות אפליקציות' תודיע למשתמש ותנסה להסיר את האפליקציות האלה.
  • בהתאם לצורך, אפליקציות Google Hangouts ו-Messenger לא מעבירות מדיה באופן אוטומטי לתהליכים כמו mediaserver.

תודות

אנחנו רוצים להודות לחוקרים הבאים על התרומות שלהם:

  • Abhishek Arya,‏ Oliver Chang ו-Martin Barbella מצוות האבטחה של Google Chrome: ‏ CVE-2015-6616,‏ CVE-2015-6617,‏ CVE-2015-6623,‏ CVE-2015-6626,‏ CVE-2015-6619,‏ CVE-2015-6633,‏ CVE-2015-6634
  • Flanker‏ (@flanker_hqd) מ-KeenTeam‏ (@K33nTeam): CVE-2015-6620
  • Guang Gong‏ (龚广) (‎@oldfresher, ‏ higongguang@gmail.com) מ-Qihoo 360 Technology Co.Ltd: ‏ CVE-2015-6626
  • Mark Carter‏ (@hanpingchinese) מ-EmberMitre Ltd: ‏ CVE-2015-6630
  • Michał Bednarski‏ (https://github.com/michalbednarski): ‏ CVE-2015-6621
  • נטלי סילבאנוביץ' (Natalie Silvanovich) מ-Project Zero של Google: ‏ CVE-2015-6616
  • Peter Pi מ-Trend Micro: ‏ CVE-2015-6616, ‏ CVE-2015-6628
  • Qidan He‏ (@flanker_hqd) ו-Marco Grassi‏ (@marcograss) מ-KeenTeam‏ (@K33nTeam): ‏ CVE-2015-6622
  • Tzu-Yin (Nina) Tai‏: CVE-2015-6627
  • Joaquín Rinaudo‏ (@xeroxnir) מ-Programa STIC ב-Fundación Dr. Manuel Sadosky, בואנוס איירס, ארגנטינה: CVE-2015-6631
  • Wangtao‏ (neobyte) מצוות X של Baidu: ‏ CVE-2015-6626

פרטי נקודת החולשה באבטחה

בקטעים הבאים מפורטים פרטים על כל נקודת החולשה באבטחה שחלה על רמת התיקון מ-01 בדצמבר 2015. הדיווח כולל תיאור של הבעיה, הסבר על רמת החומרה וטבלה עם מספר ה-CVE, הבאג המשויך, רמת החומרה, הגרסאות המעודכנות והתאריך שבו הדיווח נשלח. כשהשינוי ב-AOSP יטפל בבעיה, נקשר אותו למזהה הבאג. כשיש כמה שינויים שקשורים לבאג אחד, הפניות נוספות ל-AOSP מקושרות למספרים שמופיעים אחרי מזהה הבאג.

נקודות חולשה של ביצוע קוד מרחוק ב-Mediaserver

במהלך עיבוד נתונים וקובצי מדיה של קובץ שנוצר במיוחד, נקודות חולשה ב-MediaServer עלולות לאפשר לתוקף לגרום לנזק בזיכרון ולהריץ קוד מרחוק בתהליך של MediaServer.

הפונקציונליות המושפעת היא חלק מרכזי במערכת ההפעלה, ויש כמה אפליקציות שמאפשרות לגשת אליה באמצעות תוכן מרחוק, בעיקר MMS והפעלת מדיה בדפדפן.

רמת החומרה של הבעיה הזו היא קריטית בגלל האפשרות להריץ קוד מרחוק בהקשר של שירות mediaserver. לשירות mediaserver יש גישה להזרמות אודיו ווידאו, וגם גישה להרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6616 ANDROID-24630158 קריטי 6.0 ומטה Google פנימי
ANDROID-23882800 קריטי 6.0 ומטה Google פנימי
ANDROID-17769851 קריטי 5.1 ומטה Google פנימי
ANDROID-24441553 קריטי 6.0 ומטה 22 בספטמבר 2015
ANDROID-24157524 קריטי 6.0 8 בספטמבר 2015

נקודת חולשה לביצוע קוד מרחוק ב-Skia

נקודת חולשה ברכיב Skia עלולה להוביל לניצול לרעה במהלך עיבוד של קובץ מדיה שנוצר במיוחד, שעלול לגרום לשיבוש בזיכרון ולהרצת קוד מרחוק בתהליך בעל הרשאות. רמת החומרה של הבעיה היא קריטית בגלל האפשרות להריץ קוד מרחוק באמצעות כמה שיטות התקפה, כמו אימייל, גלישה באינטרנט ו-MMS, במהלך עיבוד קובצי מדיה.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6617 ANDROID-23648740 קריטי 6.0 ומטה פנימי ל-Google

הסלמת הרשאות בליבה

נקודת חולשה של העלאת הרשאות בליבה של המערכת עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של שורש המכשיר. הבעיה הזו מסווגת ברמת חומרה קריטית בגלל האפשרות של פגיעה זמנית במכשיר, והמכשיר ניתן לתיקון רק על ידי מחיקת מערכת ההפעלה והפעלה מחדש שלה.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6619 ANDROID-23520714 קריטי 6.0 ומטה 7 ביוני 2015

נקודות חולשה לביצוע קוד מרחוק במנהל התצוגה

יש נקודות חולשה במנהלי המסכים שעלולות לגרום לזיהום זיכרון ולביצוע קוד שרירותי בהקשר של מנהל המצב של המשתמש שנטען על ידי mediaserver, במהלך עיבוד קובץ מדיה. רמת החומרה של הבעיה הזו היא קריטית בגלל האפשרות להריץ קוד מרחוק באמצעות כמה שיטות התקפה, כמו אימייל, גלישה באינטרנט ו-MMS, במהלך עיבוד קובצי מדיה.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6633 ANDROID-23987307* קריטי 6.0 ומטה Google פנימי
CVE-2015-6634 ANDROID-24163261 [2] [3] [4] קריטי 5.1 ומטה Google פנימי

*התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ה-binary העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה לביצוע קוד מרחוק ב-Bluetooth

נקודת חולשה ברכיב ה-Bluetooth של Android עלולה לאפשר הפעלה מרחוק של קוד. עם זאת, כדי שזה יקרה, צריך לבצע כמה שלבים ידניים. כדי לעשות זאת, צריך מכשיר שמותאם בהצלחה, אחרי שהפרופיל של רשת האזור האישי (PAN) מופעל (לדוגמה, באמצעות קישור Bluetooth) והמכשיר מותאם. הרצת הקוד מרחוק תתבצע בהרשאה של שירות ה-Bluetooth. המכשיר חשוף לבעיה הזו רק ממכשיר שמותאם בהצלחה, בקרבת מקום.

רמת החומרה של הבעיה הזו היא גבוהה, כי תוקף יכול להריץ קוד שרירותי מרחוק רק אחרי ביצוע כמה שלבים ידניים, ותוקף שנמצא בסביבה הקרובה של המכשיר וקיבל בעבר הרשאה להתאים מכשיר.

CVE באגים מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6618 ANDROID-24595992* רחב 4.4,‏ 5.0 ו-5.1 28 בספטמבר 2015

*התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ה-binary העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודות חולשה של הסלמת הרשאות ב-libstagefright

יש כמה נקודות חולשה ב-libstagefright שעלולות לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של שירות mediaserver. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות של צד שלישי לא יכולות לגשת אליהן.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6620 ANDROID-24123723 רחב 6.0 ומטה 10 בספטמבר 2015
ANDROID-24445127 רחב 6.0 ומטה 2 בספטמבר 2015

נקודת חולשה של הסלמת הרשאות (privilege escalation) ב-SystemUI

כשמגדירים התראה באמצעות אפליקציית השעון, נקודת חולשה ברכיב SystemUI עלולה לאפשר לאפליקציה לבצע משימה ברמת הרשאה גבוהה. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות צד שלישי לא יכולות לגשת אליהן.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6621 ANDROID-23909438 רחב 5.0,‏ 5.1 ו-6.0 7 בספטמבר 2015

נקודת חולשה של חשיפת מידע בספריית Native Frameworks

נקודת חולשה של חשיפת מידע ב-Android Native Frameworks Library עלולה לאפשר עקיפה של אמצעי האבטחה שנועדו להקשות על תוקפים לנצל את הפלטפורמה. הבעיות האלה סווגו ברמת חומרה גבוהה כי אפשר להשתמש בהן גם כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות של צד שלישי לא יכולות לגשת אליהן.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6622 ANDROID-23905002 רחב 6.0 ומטה 7 בספטמבר 2015

נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) ב-Wi-Fi

נקודת חולשה של הסלמת הרשאות ב-Wi-Fi עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של שירות מערכת ברמה גבוהה. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות משופרות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6623 ANDROID-24872703 רחב 6.0 Google פנימי

נקודת חולשה של הרשאות מוגברות בשרת המערכת

נקודת חולשה של הסלמת הרשאות ברכיב System Server עלולה לאפשר לאפליקציה זדונית מקומית לקבל גישה למידע שקשור לשירות. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות צד שלישי לא יכולות לגשת אליהן.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6624 ANDROID-23999740 רחב 6.0 פנימי ל-Google

נקודות חולשה של חשיפת מידע ב-libstagefright

ב-libstagefright יש נקודות חולשה לחשיפת מידע, שיכולות לאפשר במהלך התקשורת עם mediaserver לעקוף את אמצעי האבטחה הקיימים כדי להקשות על תוקפים לנצל את הפלטפורמה. הבעיות האלה סווגו ברמת חומרה גבוהה כי אפשר להשתמש בהן גם כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות צד שלישי לא יכולות לגשת אליהן.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6632 ANDROID-24346430 רחב 6.0 ומטה Google פנימי
CVE-2015-6626 ANDROID-24310423 רחב 6.0 ומטה 2 בספטמבר 2015
CVE-2015-6631 ANDROID-24623447 רחב 6.0 ומטה 21 באוגוסט 2015

נקודת חולשה של חשיפת מידע באודיו

אפשר לנצל נקודת חולשה ברכיב האודיו במהלך עיבוד קובץ האודיו. נקודת החולשה הזו עלולה לאפשר לאפליקציה זדונית מקומית לגרום לחשיפת מידע במהלך עיבוד של קובץ שנוצר במיוחד. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות משופרות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות צד שלישי לא יכולות לגשת אליהן.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6627 ANDROID-24211743 רחב 6.0 ומטה Google פנימי

נקודת חולשה לחשיפת מידע במסגרת המדיה

ב-Media Framework יש נקודת חולשה לחשיפת מידע, שעלולה לאפשר במהלך התקשורת עם mediaserver לעקוף את אמצעי האבטחה שנועדו להקשות על תוקפים לנצל את הפלטפורמה. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה גם כדי לקבל יכולות משופרות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות צד שלישי לא יכולות לגשת אליהן.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6628 ANDROID-24074485 רחב 6.0 ומטה 8 בספטמבר 2015

נקודת חולשה של חשיפת מידע ב-Wi-Fi

נקודת חולשה ברכיב ה-Wi-Fi עלולה לאפשר לתוקף לגרום לשירות ה-Wi-Fi לחשוף מידע. רמת החומרה של הבעיה היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות צד שלישי לא יכולות לגשת אליהן.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6629 ANDROID-22667667 רחב 5.1 ו-5.0 Google פנימי

נקודת חולשה של הרשאות מוגברות בשרת המערכת

נקודת חולשה של הסלמת הרשאות (privilege escalation) בשרת המערכת עלולה לאפשר לאפליקציה זדונית מקומית לקבל גישה למידע שקשור לשירות Wi-Fi. רמת החומרה של הבעיה הזו היא בינונית כי אפשר להשתמש בה כדי לקבל הרשאות 'מסוכנות' באופן לא תקין.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6625 ANDROID-23936840 בינונית 6.0 Google פנימי

נקודת חולשה של חשיפת מידע ב-SystemUI

נקודת חולשה של חשיפת מידע ב-SystemUI עלולה לאפשר לאפליקציה זדונית מקומית לקבל גישה לצילומי מסך. רמת החומרה של הבעיה הזו היא בינונית, כי אפשר להשתמש בה כדי לקבל הרשאות 'מסוכנות' באופן לא תקין.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6630 ANDROID-19121797 בינונית 5.0,‏ 5.1 ו-6.0 22 בינואר 2015

שאלות נפוצות ותשובות

בקטע הזה נספק תשובות לשאלות נפוצות שעשויות להתעורר אחרי קריאת העדכון.

1. איך אפשר לדעת אם המכשיר מעודכן כדי לטפל בבעיות האלה?

הגרסאות LMY48Z ואילך ו-Android 6.0 עם רמת תיקון האבטחה מ-1 בדצמבר 2015 ואילך פותרות את הבעיות האלה. הוראות לבדיקה של רמת תיקון האבטחה מפורטות במסמכי העזרה של Nexus. יצרני המכשירים שכוללים את העדכונים האלה צריכים להגדיר את רמת מחרוזת התיקון ל-:‏[ro.build.version.security_patch]:‏[2015-12-01]

גרסאות קודמות

  • 7 בדצמבר 2015: התאריך המקורי של הפרסום
  • 9 בדצמבר 2015: העדכון עודכן ונוספו אליו קישורים ל-AOSP.
  • 22 בדצמבר 2015: נוספה קרדיט חסר לקטע 'הכרת תודה'.
  • 7 במרץ 2016: נוספה קרדיט חסר לקטע 'הכרת תודה'.