Buletin Keamanan Nexus - Desember 2015

Dipublikasikan 07 Desember 2015 | Diperbarui 7 Maret 2016

Kami telah merilis update keamanan ke perangkat Nexus melalui update over-the-air (OTA) sebagai bagian dari proses Rilis Bulanan Buletin Keamanan Android kami. Image firmware Nexus juga telah dirilis ke situs Developer Google. Build LMY48Z atau yang lebih baru dan Android 6.0 dengan Tingkat Patch Keamanan 1 Desember 2015 atau yang lebih baru mengatasi masalah ini. Lihat bagian Pertanyaan Umum dan Jawaban untuk mengetahui detail selengkapnya.

Partner telah diberi tahu dan menerima info terbaru terkait masalah ini pada 2 November 2015 atau sebelumnya. Jika berlaku, patch kode sumber untuk masalah ini telah dirilis ke repositori Project Open Source Android (AOSP).

Masalah yang paling parah adalah kerentanan keamanan Kritis yang dapat memungkinkan eksekusi kode jarak jauh di perangkat yang terpengaruh melalui beberapa metode seperti email, penjelajahan web, dan MMS saat memproses file media. Penilaian keparahan berdasarkan efek yang mungkin akan ditimbulkan oleh eksploitasi kerentanan pada perangkat yang terpengaruh, dengan asumsi mitigasi platform dan layanan dinonaktifkan untuk tujuan pengembangan atau jika berhasil diabaikan.

Kami tidak menerima laporan tentang eksploitasi aktif oleh pelanggan terhadap masalah yang baru dilaporkan ini. Lihat bagian Mitigasi untuk mengetahui detail tentang perlindungan platform keamanan Android dan perlindungan layanan seperti SafetyNet, yang meningkatkan keamanan platform Android. Sebaiknya semua pelanggan menyetujui update ini ke perangkat mereka.

Mitigasi

Ini adalah ringkasan mitigasi yang disediakan oleh platform keamanan Android dan perlindungan layanan seperti SafetyNet. Kemampuan ini mengurangi kemungkinan kerentanan keamanan berhasil dieksploitasi di Android.

  • Eksploitasi untuk banyak masalah di Android menjadi lebih sulit karena peningkatan di platform Android versi yang lebih baru. Sebaiknya semua pengguna mengupdate ke versi Android terbaru jika memungkinkan.
  • Tim Android Security secara aktif memantau penyalahgunaan dengan Verify Apps dan SafetyNet yang akan memperingatkan tentang aplikasi yang berpotensi berbahaya yang akan diinstal. Alat rooting perangkat dilarang di Google Play. Untuk melindungi pengguna yang menginstal aplikasi dari luar Google Play, Verifikasi Aplikasi diaktifkan secara default dan akan memperingatkan pengguna tentang aplikasi rooting yang diketahui. Verify Apps mencoba mengidentifikasi dan memblokir penginstalan aplikasi berbahaya yang diketahui mengeksploitasi kerentanan eskalasi hak istimewa. Jika aplikasi tersebut telah diinstal, Verifikasi Aplikasi akan memberi tahu pengguna dan mencoba menghapus aplikasi tersebut.
  • Sesuai kebutuhan, aplikasi Google Hangouts dan Messenger tidak otomatis meneruskan media ke proses seperti mediaserver.

Ucapan Terima Kasih

Kami ingin mengucapkan terima kasih kepada para peneliti berikut atas kontribusi mereka:

  • Abhishek Arya, Oliver Chang, dan Martin Barbella dari Tim Keamanan Google Chrome: CVE-2015-6616, CVE-2015-6617, CVE-2015-6623, CVE-2015-6626, CVE-2015-6619, CVE-2015-6633, CVE-2015-6634
  • Flanker (@flanker_hqd) dari KeenTeam (@K33nTeam): CVE-2015-6620
  • Guang Gong (龚广) (@oldfresher, higongguang@gmail.com) dari Qihoo 360 Technology Co.Ltd: CVE-2015-6626
  • Mark Carter (@hanpingchinese) dari EmberMitre Ltd: CVE-2015-6630
  • Michał Bednarski (https://github.com/michalbednarski): CVE-2015-6621
  • Natalie Silvanovich dari Project Zero Google: CVE-2015-6616
  • Peter Pi dari Trend Micro: CVE-2015-6616, CVE-2015-6628
  • Qidan He (@flanker_hqd) dan Marco Grassi (@marcograss) dari KeenTeam (@K33nTeam): CVE-2015-6622
  • Tzu-Yin (Nina) Tai: CVE-2015-6627
  • Joaquín Rinaudo (@xeroxnir) dari Programa STIC di Fundación Dr. Manuel Sadosky, Buenos Aires, Argentina: CVE-2015-6631
  • Wangtao (neobyte) dari Baidu X-Team: CVE-2015-6626

Detail Kerentanan Keamanan

Di bagian di bawah, kami memberikan detail untuk setiap kerentanan keamanan yang berlaku untuk tingkat patch 01-12-2015. Terdapat deskripsi masalah, alasan tingkat keparahan, dan tabel dengan CVE, bug terkait, tingkat keparahan, versi yang diupdate, dan tanggal dilaporkan. Jika tersedia, kami akan menautkan perubahan AOSP yang mengatasi masalah tersebut ke ID bug. Jika beberapa perubahan terkait dengan satu bug, referensi AOSP tambahan akan ditautkan ke angka yang mengikuti ID bug.

Kerentanan Eksekusi Kode Jarak Jauh di Mediaserver

Selama pemrosesan file media dan data dari file yang dibuat secara khusus, kerentanan di mediaserver dapat memungkinkan penyerang menyebabkan kerusakan memori dan eksekusi kode jarak jauh saat proses mediaserver.

Fungsi yang terpengaruh disediakan sebagai bagian inti dari sistem operasi dan ada beberapa aplikasi yang memungkinkannya dijangkau dengan konten jarak jauh, terutama MMS dan pemutaran media browser.

Masalah ini dinilai sebagai Keparahan kritis karena kemungkinan eksekusi kode jarak jauh dalam konteks layanan mediaserver. Layanan mediaserver memiliki akses ke streaming audio dan video serta akses ke hak istimewa yang biasanya tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6616 ANDROID-24630158 Kritis 6.0 dan yang lebih lama Internal Google
ANDROID-23882800 Kritis 6.0 dan yang lebih lama Internal Google
ANDROID-17769851 Kritis 5.1 dan yang lebih lama Internal Google
ANDROID-24441553 Kritis 6.0 dan yang lebih lama 22 September 2015
ANDROID-24157524 Kritis 6.0 08 September 2015

Kerentanan Eksekusi Kode Jarak Jauh di Skia

Kerentanan dalam komponen Skia dapat dimanfaatkan saat memproses file media yang dibuat khusus, yang dapat menyebabkan kerusakan memori dan eksekusi kode jarak jauh dalam proses dengan hak istimewa. Masalah ini diberi rating sebagai tingkat keparahan kritis karena kemungkinan eksekusi kode jarak jauh melalui beberapa metode serangan seperti email, penjelajahan web, dan MMS saat memproses file media.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6617 ANDROID-23648740 Kritis 6.0 dan yang lebih lama Internal Google

Elevasi Hak Istimewa di Kernel

Kerentanan elevasi hak istimewa di kernel sistem dapat memungkinkan aplikasi berbahaya lokal untuk mengeksekusi kode arbitrer dalam konteks root perangkat. Masalah ini diberi rating keparahan Kritis karena kemungkinan kompromi perangkat permanen lokal dan perangkat hanya dapat diperbaiki dengan meng-flash ulang sistem operasi.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6619 ANDROID-23520714 Kritis 6.0 dan yang lebih lama 7 Juni 2015

Kerentanan Eksekusi Kode Jarak Jauh di Driver Layar

Ada kerentanan dalam driver tampilan yang, saat memproses file media, dapat menyebabkan kerusakan memori dan potensi eksekusi kode arbitrer dalam konteks driver mode pengguna yang dimuat oleh mediaserver. Masalah ini diberi rating sebagai tingkat keparahan Kritis karena kemungkinan eksekusi kode jarak jauh melalui beberapa metode serangan seperti email, penjelajahan web, dan MMS saat memproses file media.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6633 ANDROID-23987307* Kritis 6.0 dan yang lebih lama Internal Google
CVE-2015-6634 ANDROID-24163261 [2] [3] [4] Kritis 5.1 dan yang lebih lama Internal Google

*Patch untuk masalah ini tidak ada di AOSP. Update ini terdapat dalam driver biner terbaru untuk perangkat Nexus yang tersedia dari situs Developer Google.

Kerentanan Eksekusi Kode Jarak Jauh di Bluetooth

Kerentanan pada komponen Bluetooth Android dapat memungkinkan eksekusi kode jarak jauh. Namun, beberapa langkah manual diperlukan sebelum hal ini dapat terjadi. Untuk melakukannya, Anda memerlukan perangkat yang berhasil disambungkan, setelah profil jaringan area pribadi (PAN) diaktifkan (misalnya menggunakan Tethering Bluetooth) dan perangkat disambungkan. Eksekusi kode jarak jauh akan berada di hak istimewa layanan Bluetooth. Perangkat hanya rentan terhadap masalah ini dari perangkat yang berhasil disambungkan saat berada dalam jarak dekat.

Masalah ini diberi rating Keparahan tinggi karena penyerang dapat mengeksekusi kode arbitrer dari jarak jauh hanya setelah beberapa langkah manual dilakukan dan dari penyerang yang berada di dekat perangkat secara lokal yang sebelumnya diizinkan untuk menyambungkan perangkat.

CVE Bug Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6618 ANDROID-24595992* Tinggi 4.4, 5.0, dan 5.1 28 September 2015

*Patch untuk masalah ini tidak ada di AOSP. Update ini terdapat dalam driver biner terbaru untuk perangkat Nexus yang tersedia dari situs Developer Google.

Kerentanan Elevasi Hak Istimewa di libstagefright

Ada beberapa kerentanan di libstagefright yang dapat memungkinkan aplikasi berbahaya lokal untuk mengeksekusi kode arbitrer dalam konteks layanan mediaserver. Masalah ini diberi rating Keparahan tinggi karena dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa izin Signature atau SignatureOrSystem, yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6620 ANDROID-24123723 Tinggi 6.0 dan yang lebih lama 10 September 2015
ANDROID-24445127 Tinggi 6.0 dan yang lebih lama 2 September 2015

Kerentanan Elevasi Hak Istimewa di SystemUI

Saat menyetel alarm menggunakan aplikasi jam, kerentanan dalam komponen SystemUI dapat memungkinkan aplikasi menjalankan tugas pada tingkat hak istimewa yang ditingkatkan. Masalah ini diberi rating Keparahan tinggi karena dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa izin Signature atau SignatureOrSystem, yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6621 ANDROID-23909438 Tinggi 5.0, 5.1, dan 6.0 7 September 2015

Kerentanan Pengungkapan Informasi di Library Framework Native

Kerentanan pengungkapan informasi di Library Framework Native Android dapat memungkinkan pengabaian langkah-langkah keamanan yang diterapkan untuk meningkatkan kesulitan penyerang dalam mengeksploitasi platform. Masalah ini diberi rating Keparahan tinggi karena juga dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa izin Signature atau SignatureOrSystem, yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6622 ANDROID-23905002 Tinggi 6.0 dan yang lebih lama 7 September 2015

Kerentanan Elevasi Hak Istimewa di Wi-Fi

Kerentanan elevasi hak istimewa di Wi-Fi dapat memungkinkan aplikasi berbahaya lokal mengeksekusi kode arbitrer dalam konteks layanan sistem yang ditingkatkan. Masalah ini diberi rating Keparahan tinggi karena dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa izin Signature atau SignatureOrSystem, yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6623 ANDROID-24872703 Tinggi 6.0 Internal Google

Kerentanan Elevasi Hak Istimewa di Server Sistem

Kerentanan peningkatan hak istimewa di komponen Server Sistem dapat memungkinkan aplikasi berbahaya lokal mendapatkan akses ke informasi terkait layanan. Masalah ini diberi rating keparahan Tinggi karena dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa izin Signature atau SignatureOrSystem, yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6624 ANDROID-23999740 Tinggi 6.0 Internal Google

Kerentanan Pengungkapan Informasi di libstagefright

Ada kerentanan pengungkapan informasi di libstagefright yang selama komunikasi dengan mediaserver, dapat mengizinkan pengabaian tindakan keamanan yang diterapkan untuk mempersulit penyerang dalam mengeksploitasi platform. Masalah ini diberi rating sebagai Tingkat keparahan tinggi karena juga dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa izin Signature atau SignatureOrSystem, yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6632 ANDROID-24346430 Tinggi 6.0 dan yang lebih lama Internal Google
CVE-2015-6626 ANDROID-24310423 Tinggi 6.0 dan yang lebih lama 2 September 2015
CVE-2015-6631 ANDROID-24623447 Tinggi 6.0 dan yang lebih lama 21 Agustus 2015

Kerentanan Pengungkapan Informasi dalam Audio

Kerentanan dalam komponen Audio dapat dieksploitasi selama pemrosesan file audio. Kerentanan ini dapat memungkinkan aplikasi berbahaya lokal, selama pemrosesan file yang dibuat khusus, menyebabkan pengungkapan informasi. Masalah ini diberi rating Keparahan tinggi karena dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa izin Signature atau SignatureOrSystem, yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6627 ANDROID-24211743 Tinggi 6.0 dan yang lebih lama Internal Google

Kerentanan Pengungkapan Informasi dalam Framework Media

Ada kerentanan pengungkapan informasi di Media Framework yang selama komunikasi dengan mediaserver, dapat mengizinkan pengabaian tindakan keamanan yang diterapkan untuk mempersulit penyerang mengeksploitasi platform. Masalah ini diberi rating Keparahan tinggi karena juga dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa izin Signature atau SignatureOrSystem, yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6628 ANDROID-24074485 Tinggi 6.0 dan yang lebih lama 8 September 2015

Kerentanan Pengungkapan Informasi di Wi-Fi

Kerentanan pada komponen Wi-Fi dapat memungkinkan penyerang menyebabkan layanan Wi-Fi mengungkapkan informasi. Masalah ini diberi rating Keparahan tinggi karena dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa izin Signature atau SignatureOrSystem, yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6629 ANDROID-22667667 Tinggi 5.1 dan 5.0 Internal Google

Kerentanan Elevasi Hak Istimewa di Server Sistem

Kerentanan peningkatan hak istimewa di Server Sistem dapat memungkinkan aplikasi berbahaya lokal mendapatkan akses ke informasi terkait layanan Wi-Fi. Masalah ini diberi rating Keparahan sedang karena dapat digunakan untuk mendapatkan izin “berbahaya” secara tidak semestinya.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6625 ANDROID-23936840 Sedang 6.0 Internal Google

Kerentanan Pengungkapan Informasi di SystemUI

Kerentanan pengungkapan informasi di SystemUI dapat memungkinkan aplikasi jahat lokal mendapatkan akses ke screenshot. Masalah ini diberi rating Keparahan sedang karena dapat digunakan untuk mendapatkan izin “berbahaya” secara tidak tepat.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2015-6630 ANDROID-19121797 Sedang 5.0, 5.1, dan 6.0 22 Jan 2015

Pertanyaan Umum dan Jawaban

Bagian ini akan meninjau jawaban atas pertanyaan umum yang mungkin muncul setelah membaca buletin ini.

1. Bagaimana cara menentukan apakah perangkat saya telah diupdate untuk menyelesaikan masalah ini?

Build LMY48Z atau yang lebih baru dan Android 6.0 dengan Tingkat Patch Keamanan 1 Desember 2015 atau yang lebih baru mengatasi masalah ini. Lihat dokumentasi Nexus untuk mengetahui petunjuk cara memeriksa tingkat patch keamanan. Produsen perangkat yang menyertakan update ini harus menetapkan level string patch ke: [ro.build.version.security_patch]:[2015-12-01]

Revisi

  • 07 Desember 2015: Pertama Kali Dipublikasikan
  • 09 Desember 2015: Buletin direvisi untuk menyertakan link AOSP.
  • 22 Desember 2015: Menambahkan kredit yang hilang ke bagian Penghargaan.
  • 07 Maret 2016: Menambahkan kredit yang tidak ada ke bagian Penghargaan.