نشرة أمان أجهزة Nexus - كانون الأول (ديسمبر) 2015

تاريخ النشر: 7 كانون الأول (ديسمبر) 2015 | تاريخ التعديل: 7 آذار (مارس) 2016

لقد طرحنا تحديثًا للأمان على أجهزة Nexus من خلال تحديث عبر الهواء (OTA) كجزء من عملية الإصدار الشهري لنشرات أمان Android. تم أيضًا طرح صور البرامج الثابتة لأجهزة Nexus على موقع Google Developers الإلكتروني. تعالج الإصدارات LMY48Z أو الإصدارات الأحدث والإصدار 6.0 من نظام التشغيل Android مع مستوى تصحيح الأمان بتاريخ 1 كانون الأول (ديسمبر) 2015 أو الإصدارات الأحدث هذه المشاكل. يُرجى الرجوع إلى قسم الأسئلة الشائعة والأجوبة للحصول على مزيد من التفاصيل.

تم إشعار الشركاء بهذه المشاكل وتزويدهم بآخر المعلومات بشأنها في 2 تشرين الثاني (نوفمبر) 2015 أو قبل ذلك. تم إصدار تصحيحات رمز المصدر لهذه المشاكل، حيثما كان ذلك منطبقًا، في مستودع "مشروع Android المفتوح المصدر" ‏ (AOSP).

إنّ أخطر هذه المشاكل هي ثغرة أمنية خطيرة يمكن أن تؤدي إلى تفعيل تنفيذ الرموز البرمجية عن بُعد على الجهاز المتأثّر من خلال طُرق متعدّدة، مثل البريد الإلكتروني وتصفُّح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط. يستند تقييم الخطورة إلى التأثير الذي قد يُحدثه استغلال الثغرة الأمنية في الجهاز المتأثّر، بافتراض أنّه تم إيقاف تدابير التخفيف في النظام الأساسي والخدمة لأغراض التطوير أو إذا تم تجاوزها بنجاح.

لم نتلقّ أي تقارير عن استغلال العملاء النشطين لهذه الصعوبات التي تم الإبلاغ عنها حديثًا. يُرجى الرجوع إلى قسم الإجراءات الوقائية لمعرفة تفاصيل عن وسائل حماية نظام أمان Android الأساسي ووسائل حماية الخدمات، مثل SafetyNet، التي تحسِّن من أمان نظام Android الأساسي. وننصحك بقبول هذه التعديلات على أجهزتك.

إجراءات التخفيف

في ما يلي ملخّص للإجراءات الوقائية التي يوفّرها نظام أمان Android ووسائل حماية الخدمات، مثل SafetyNet. تقلِّل هذه الإمكانات من احتمالية استغلال ثغرات الأمان بنجاح على نظام التشغيل Android.

  • تم تحسين الإصدارات الأحدث من نظام Android لمنع استغلال العديد من المشاكل على هذا النظام. وننصحك جميع المستخدمين بالتحديث إلى أحدث إصدار من Android كلما أمكن ذلك.
  • يعمل فريق أمان Android على رصد إساءة الاستخدام بنشاط باستخدام ميزتَي "التحقّق من التطبيقات" وSafetyNet اللتين ستحذران من التطبيقات التي يُحتمَل أن تتسبّب بضرر والتي يوشك أن يتم تثبيتها. إنّ أدوات الوصول إلى الجذر للأجهزة محظورة على Google Play. لحماية المستخدمين الذين يثبّتون التطبيقات من خارج Google Play، تكون ميزة "التحقّق من التطبيقات" مفعّلة تلقائيًا وستحذّر المستخدمين من التطبيقات المعروفة التي تم إجراء عملية "التجذير" عليها. تحاول ميزة "التحقّق من التطبيقات" رصد التطبيقات المُضرة المعروفة التي تستغل ثغرة أمنية في تصعيد الأذونات وحظر تثبيتها. إذا سبق تثبيت أحد هذه التطبيقات، سيُرسِل تطبيق "التحقّق من التطبيقات" إشعارًا إلى المستخدم وسيحاول إزالة أي تطبيقات من هذا النوع.
  • لا تُمرِّر تطبيقات Google Hangouts وMessenger تلقائيًا الوسائط إلى عمليات مثل mediaserver، وذلك حسب الاقتضاء.

الشكر والتقدير

نشكر الباحثين التاليين على مساهماتهم:

  • أبهيشيك آريا وأوليفر تشانغ ومارتن باربيلا من فريق أمان Google Chrome: CVE-2015-6616 وCVE-2015-6617 وCVE-2015-6623 وCVE-2015-6626 وCVE-2015-6619 وCVE-2015-6633 وCVE-2015-6634
  • Flanker (‎@flanker_hqd) من KeenTeam (‎@K33nTeam): CVE-2015-6620
  • غوانغ غون (龚广) (@oldfresher، higongguang@gmail.com) من Qihoo 360 Technology Co.Ltd: CVE-2015-6626
  • مارك كارتر (‎@hanpingchinese) من شركة EmberMitre Ltd: CVE-2015-6630
  • Michał Bednarski (https://github.com/michalbednarski): CVE-2015-6621
  • ناتالي سيلفانوفيتش من فريق Project Zero في Google: CVE-2015-6616
  • "بيتر بي" من Trend Micro: CVE-2015-6616 وCVE-2015-6628
  • قيدان هي (‎@flanker_hqd) ومارك غراسّي (‎@marcograss) من KeenTeam (‎@K33nTeam): CVE-2015-6622
  • تسو-ين (نينا) تاي: CVE-2015-6627
  • Joaquín Rinaudo (‎@xeroxnir) من Programa STIC في Fundación Dr. Manuel Sadosky، بوينس آيرس، الأرجنتين: CVE-2015-6631
  • وانغ تاو (نيوبيت) من فريق Baidu X-Team: CVE-2015-6626

تفاصيل الثغرة الأمنية

في الأقسام أدناه، نقدّم تفاصيل عن كل من نقاط الضعف في الأمان التي تنطبق على مستوى التصحيح في 01-12-2015. يتضمّن السجلّ وصفًا للمشكلة وسببًا لمستوى خطورتها وجدولاً يعرض معرّف CVE والعيوب المرتبطة به ومستوى خطورته والإصدارات المعدّلة وتاريخ الإبلاغ. سنربط بين رقم تعريف الخطأ وتغيير AOSP الذي تم من خلاله حلّ المشكلة، إذا كان ذلك متاحًا. عندما تكون هناك تغييرات متعدّدة مرتبطة بخطأ واحد، يتم ربط مراجع AOSP إضافية بالأرقام التي تتبع معرّف الخطأ.

ثغرات تنفيذ الرمز البرمجي عن بُعد في Mediaserver

أثناء معالجة ملفات الوسائط والبيانات لملف تم إنشاؤه خصيصًا، يمكن أن تسمح الثغرات الأمنية في mediaserver للمهاجم بإتلاف الذاكرة وتنفيذ رمز برمجي عن بُعد أثناء عملية mediaserver.

يتم توفير الوظيفة المتأثرة كجزء أساسي من نظام التشغيل، ويتوفر العديد من التطبيقات التي تتيح الوصول إليها باستخدام محتوى عن بُعد، وأبرزها رسائل الوسائط المتعددة وتشغيل الوسائط في المتصفّح.

تم تصنيف هذه المشكلة على أنّها ذات خطورة بالغة بسبب إمكانية تنفيذ رمزبرمجي عن بُعد في سياق خدمة mediaserver. يمكن للخدمة mediaserver الوصول إلى أحداث البث الصوتي والمرئي، بالإضافة إلى الوصول إلى امتيازات لا يمكن للتطبيقات التابعة لجهات خارجية الوصول إليها عادةً.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6616 ANDROID-24630158 حرِج 6.0 والإصدارات الأقدم Google داخلي
ANDROID-23882800 حرِج 6.0 والإصدارات الأقدم Google داخلي
ANDROID-17769851 حرِج 5.1 والإصدارات الأقدم Google داخلي
ANDROID-24441553 حرِج 6.0 والإصدارات الأقدم 22 أيلول (سبتمبر) 2015
ANDROID-24157524 حرِج 6.0 8 أيلول (سبتمبر) 2015

ثغرة أمنية في Skia تتيح تنفيذ رمز عن بُعد

يمكن استغلال ثغرة أمنية في مكوّن Skia عند معالجة ملف وسائط مُعدّ خصيصًا، ما قد يؤدي إلى تلف الذاكرة وتنفيذ رمزبرمجي عن بُعد في عملية مميّزة. تم تصنيف هذه المشكلة على أنّها خطيرة بسبب إمكانية تنفيذ رمز عن بُعد من خلال عدة methods هجمات، مثل البريد الإلكتروني وتصفّح الويب ورسائل الوسائط المتعددة عند معالجة ملفّات media.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6617 ANDROID-23648740 حرِج 6.0 والإصدارات الأقدم Google فقط

تصعيد الأذونات في النواة

يمكن أن تؤدي ثغرة أمنية في نواة النظام تؤدي إلى رفع مستوى الأذونات إلى السماح لتطبيق ضار محلي بتنفيذ رمز عشوائي ضمن سياق ملف التمهيد (root) للجهاز. تم تصنيف هذه المشكلة على أنّها خطيرة جدًا بسبب احتمال تعرُّض الجهاز لاختراق دائم على الجهاز، ولا يمكن إصلاح الجهاز إلا من خلال إعادة فلاش نظام التشغيل.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6619 ANDROID-23520714 حرِج 6.0 والإصدارات الأقدم 7 حزيران (يونيو) 2015

ثغرات تنفيذ الرموز البرمجية عن بُعد في برنامج تشغيل العرض

هناك ثغرات أمنية في برامج تشغيل الشاشة يمكن أن تؤدي إلى تلف الذاكرة وتنفيذ رمز عشوائي محتمل عند معالجة ملف وسائط في سياق برنامج تشغيل وضع المستخدم الذي يحمّله خادم الوسائط. تم تصنيف هذه المشكلة على أنّها ذات خطورة بالغة بسبب إمكانية تنفيذ رمز عن بُعد من خلال طرق هجوم متعدّدة، مثل البريد الإلكتروني وتصفّح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6633 ANDROID-23987307* حرِج 6.0 والإصدارات الأقدم Google داخلي
CVE-2015-6634 ANDROID-24163261 [2] [3] [4] حرِج 5.1 والإصدارات الأقدم Google داخلي

*لا يتوفّر تصحيح لهذه المشكلة في AOSP. يتضمّن التحديث أحدث برامج تشغيل ثنائية لأجهزة Nexus المتوفّرة من موقع Google Developer الإلكتروني.

ثغرة أمنية في البلوتوث تتيح تنفيذ رمز عن بُعد

يمكن أن تسمح ثغرة أمنية في مكوّن البلوتوث في Android بتنفيذ تعليمات برمجية عن بُعد. ومع ذلك، يجب اتّباع خطوات يدوية متعدّدة قبل أن يحدث ذلك. لإجراء ذلك، يجب إقران الجهاز بنجاح بعد تفعيل ملف شخصي لشبكة المنطقة الشخصية (PAN) (على سبيل المثال، باستخدام ميزة "ربط" تقنية البلوتوث) وإقران الجهاز. سيكون تنفيذ الرمز عن بُعد من امتيازات خدمة البلوتوث. لا يتعرّض الجهاز لهذه المشكلة إلا من جهاز تم إقرانه بنجاح أثناء التواجد في مكان قريب.

تم تصنيف هذه المشكلة على أنّها ذات خطورة عالية لأنّه لا يمكن للمهاجم تنفيذ رمزبرمجي مُعيّن عن بُعد إلا بعد اتّخاذ خطوات يدوية متعدّدة ومن مهاجم قريب محليًا سبق أن تمّ السماح له بإقران جهاز.

CVE الأخطاء درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6618 ANDROID-24595992* عالية 4.4 و5.0 و5.1 28 أيلول (سبتمبر) 2015

*لا يتوفّر تصحيح لهذه المشكلة في AOSP. يتضمّن التحديث أحدث برامج تشغيل ثنائية لأجهزة Nexus المتوفّرة من موقع Google Developer الإلكتروني.

ثغرات أمنية في libstagefright تؤدي إلى إساءة استخدام الأذونات المميزة والعالية المستوى

هناك ثغرات أمنية متعددة في libstagefright يمكن أن تسمح لتطبيق محلي ضار بتنفيذ رمز عشوائي في سياق خدمة mediaserver. تم تصنيف هذه المشكلة على أنّها ذات خطورة عالية لأنّه يمكن استخدامها للحصول على إمكانات مميّزة، مثل أذونات Signature أو SignatureOrSystem، والتي لا يمكن لتطبيقات تابعة لجهات خارجية الوصول إليها.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6620 ANDROID-24123723 عالية 6.0 والإصدارات الأقدم 10 أيلول (سبتمبر) 2015
ANDROID-24445127 عالية 6.0 والإصدارات الأقدم 2 أيلول (سبتمبر) 2015

ثغرة أمنية في SystemUI تؤدي إلى تصعيد الأذونات

عند ضبط منبّه باستخدام تطبيق الساعة، يمكن أن تسمح إحدى نقاط الضعف في ملف SystemUI بتنفيذ تطبيق لمهمة بمستوى امتيازات مرتفع. تم تصنيف هذه المشكلة على أنّها ذات خطورة عالية لأنّه يمكن استخدامها للحصول على إمكانات مميّزة، مثل أذونات Signature أو SignatureOrSystem، والتي لا يمكن لتطبيقات تابعة لجهات خارجية الوصول إليها.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6621 ANDROID-23909438 عالية 5.0 و5.1 و6.0 7 أيلول (سبتمبر) 2015

ثغرة أمنية في مكتبة Native Frameworks Library تؤدي إلى إفشاء المعلومات

هناك ثغرة أمنية في "مكتبة إطارات العمل الأصلية لنظام التشغيل Android" تتعلّق بكشف المعلومات، ويمكن أن تسمح هذه الثغرة بتجاوز تدابير الأمان المتّبعة لزيادة صعوبة استغلال المهاجمين للمنصة. تم تصنيف هذه المشاكل على أنّها ذات خطورة عالية لأنّه يمكن أيضًا استخدامها للحصول على إمكانات مميّزة، مثل امتيازات أذونات Signature أو SignatureOrSystem، والتي لا يمكن للتطبيقات التابعة لجهات خارجية الوصول إليها.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6622 ANDROID-23905002 عالية 6.0 والإصدارات الأقدم 7 أيلول (سبتمبر) 2015

ثغرة أمنية في شبكة Wi-Fi تؤدي إلى تجاوز الأذونات

يمكن أن تؤدي ثغرة أمنية في الحصول على أذونات مميزة في شبكة Wi-Fi إلى السماح لتطبيق محلي ضارٍ بتنفيذ رمز برمجي عشوائي في سياق خدمة نظام ذات أذونات مميزة. تم تصنيف هذه المشكلة على أنّها ذات خطورة عالية لأنّه يمكن استخدامها للحصول على إمكانات مميّزة، مثل أذونات Signature أو SignatureOrSystem، والتي لا يمكن لأحد التطبيقات التابعة لجهة خارجية الوصول إليها.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6623 ANDROID-24872703 عالية 6.0 Google داخلي

ثغرة أمنية في "خادم النظام" تؤدي إلى تصعيد الأذونات

يمكن أن تؤدي إحدى الثغرات الأمنية التي تؤدي إلى الحصول على أذونات مميزة في مكوّن "خادم النظام" إلى السماح لتطبيق ضار على الجهاز بالوصول إلى معلومات متعلقة بالخدمة. تم تصنيف هذه المشكلة على أنّها ذات خطورة عالية لأنّه يمكن استخدامها للحصول على ميزات متقدّمة، مثل أذونات Signature أو SignatureOrSystem، والتي لا يمكن للتطبيقات التابعة لجهات خارجية الوصول إليها.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6624 ANDROID-23999740 عالية 6.0 Google فقط

ثغرات أمنية في libstagefright تؤدي إلى الكشف عن المعلومات

هناك ثغرات أمنية في libstagefright تسمح أثناء التواصل مع mediaserver بتجاوز تدابير الأمان المفروضة لزيادة صعوبة استغلال المهاجمين للمنصة. تم تصنيف هذه المشاكل على أنّها ذات خطورة عالية لأنّه يمكن استخدامها أيضًا للحصول على إمكانات مميّزة، مثل أذونات Signature أو SignatureOrSystem، والتي لا يمكن للتطبيقات التابعة لجهات خارجية الوصول إليها.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6632 ANDROID-24346430 عالية 6.0 والإصدارات الأقدم Google داخلي
CVE-2015-6626 ANDROID-24310423 عالية 6.0 والإصدارات الأقدم 2 أيلول (سبتمبر) 2015
CVE-2015-6631 ANDROID-24623447 عالية 6.0 والإصدارات الأقدم 21 آب (أغسطس) 2015

ثغرة أمنية في ميزة "التعرّف على المحتوى الصوتي" تؤدي إلى الإفصاح عن المعلومات

يمكن استغلال ثغرة أمنية في مكوّن الصوت أثناء معالجة ملف صوتي. يمكن أن تسمح هذه الثغرة الأمنية لتطبيق ضار محلي بالكشف عن المعلومات أثناء معالجة ملف تم إنشاؤه خصيصًا. تم تصنيف هذه المشكلة على أنّها ذات خطورة عالية لأنّه يمكن استخدامها للحصول على ميزات متقدّمة، مثل أذونات Signature أو SignatureOrSystem، والتي لا يمكن للتطبيقات التابعة لجهات خارجية الوصول إليها.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6627 ANDROID-24211743 عالية 6.0 والإصدارات الأقدم Google داخلي

ثغرة أمنية في إطار عمل الوسائط تؤدي إلى الإفصاح عن المعلومات

هناك ثغرة أمنية لكشف المعلومات في Media Framework يمكن أن تسمح أثناء التواصل مع mediaserver بتجاوز تدابير الأمان التي تم وضعها لزيادة صعوبة استغلال المهاجمين للمنصة. تم تصنيف هذه الحالة على أنّها ذات خطورة عالية لأنّه يمكن استخدامها أيضًا للحصول على إمكانات مميّزة، مثل أذونات Signature أو SignatureOrSystem، والتي لا يمكن للتطبيقات التابعة لجهات خارجية الوصول إليها.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6628 ANDROID-24074485 عالية 6.0 والإصدارات الأقدم 8 أيلول (سبتمبر) 2015

ثغرة أمنية في شبكة Wi-Fi تؤدي إلى الإفصاح عن المعلومات

يمكن أن تسمح إحدى الثغرات الأمنية في مكوّن Wi-Fi للمهاجم بجعل خدمة Wi-Fi تفصح عن معلومات. تم تصنيف هذه المشكلة على أنّها ذات خطورة عالية لأنّه يمكن استخدامها للحصول على إمكانات متقدّمة، مثل امتيازات أذونات Signature أو SignatureOrSystem، والتي لا يمكن لتطبيقات تابعة لجهات خارجية الوصول إليها.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6629 ANDROID-22667667 عالية ‫5.1 و5.0 Google داخلي

ثغرة أمنية في "خادم النظام" تؤدي إلى تصعيد الأذونات

يمكن أن تؤدي إحدى الثغرات الأمنية التي تؤدي إلى الحصول على أذونات مميزة في "خادم النظام" إلى السماح لتطبيق محلي ضار بالوصول إلى معلومات متعلقة بخدمتَي Wi-Fi وBluetooth. تم تصنيف هذه المشكلة على أنّها ذات خطورة متوسطة لأنّه يمكن استخدامها للحصول على أذونات "خطيرة" بشكل غير صحيح.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6625 ANDROID-23936840 متوسط 6.0 Google داخلي

ثغرة أمنية في SystemUI تؤدي إلى الإفصاح عن المعلومات

يمكن أن تؤدي ثغرة أمنية في SystemUI إلى السماح لتطبيق محلي ضار بالوصول إلى لقطات الشاشة. تم تصنيف هذه المشكلة على أنّها شديدة الخطورة لأنّه يمكن استخدامها للحصول على أذونات "خطيرة" بشكل غير صحيح.

CVE أخطاء في روابط AOSP درجة الخطورة الإصدارات المعدَّلة تاريخ الإبلاغ
CVE-2015-6630 ANDROID-19121797 متوسط 5.0 و5.1 و6.0 22 كانون الثاني (يناير) 2015

الأسئلة الشائعة والأجوبة عنها

سيراجع هذا القسم إجابات عن الأسئلة الشائعة التي قد تخطر لك بعد قراءة هذه النشرة.

1. كيف يمكنني معرفة ما إذا كان جهازي محدّثًا لحلّ هذه المشاكل؟

تعالج الإصدارات LMY48Z أو الإصدارات الأحدث والإصدار 6.0 من نظام التشغيل Android مع مستوى تصحيح الأمان بتاريخ 1 كانون الأول (ديسمبر) 2015 أو الإصدارات الأحدث هذه المشاكل. يُرجى الرجوع إلى مستندات Nexus للحصول على تعليمات حول كيفية التحقّق من مستوى تصحيح الأمان. على المصنّعين للأجهزة الذين يضيفون هذه التحديثات ضبط مستوى سلسلة التصحيح على: [ro.build.version.security_patch]:[2015-12-01]

إصدارات

  • 7 كانون الأول (ديسمبر) 2015: تاريخ النشر الأصلي
  • 9 كانون الأول (ديسمبر) 2015: تم تعديل النشرة لتضمين روابط AOSP.
  • 22 كانون الأول (ديسمبر) 2015: تمت إضافة المساهمين غير المُدرَجين في قسم "الشكر".
  • 7 آذار (مارس) 2016: تمت إضافة المساهمين غير المُدرَجين في قسم "الشكر".