עדכון אבטחה דחוף ל-Nexus – ינואר 2016

תאריך פרסום: 4 בינואר 2016 | תאריך עדכון: 28 באפריל 2016

השקנו עדכון אבטחה למכשירי Nexus באמצעות עדכון אוויר (OTA) כחלק מתהליך ההשקה החודשי של עדכוני האבטחה של Android. קובצי האימג' של קושחת Nexus פורסמו גם באתר Google Developers. הגרסאות LMY49F ואילך ו-Android 6.0 עם רמת תיקון האבטחה מ-1 בינואר 2016 ואילך פותרות את הבעיות האלה. פרטים נוספים זמינים בקטע שאלות נפוצות ותשובות.

השותפים עודכנו בקשר לבעיות המתוארות בהודעה הזו ב-7 בדצמבר 2015 או לפני כן, וקיבלנו מהם עדכונים לגביהן. במקרים הרלוונטיים, תיקוני קוד המקור לבעיות האלה פורסמו במאגר של פרויקט הקוד הפתוח של Android‏ (AOSP).

הבעיה החמורה ביותר היא נקודת חולשה קריטית באבטחה שעלולה לאפשר ביצוע קוד מרחוק במכשיר מושפע באמצעות כמה שיטות, כמו אימייל, גלישה באינטרנט והודעות MMS במהלך עיבוד קובצי מדיה. הערכת החומרה מבוססת על ההשפעה שעלולה להיות לניצול נקודת החולשה על מכשיר מושפע, בהנחה שהאמצעי למזעור הפגיעות בפלטפורמה ובשירות מושבתים למטרות פיתוח או אם הם עוקפים בהצלחה.

לא קיבלנו דיווחים על ניצול פעיל של הבעיות החדשות האלה על ידי לקוחות. בקטע הקלות מפורטים אמצעי ההגנה של פלטפורמת האבטחה של Android ואמצעי ההגנה של השירותים, כמו SafetyNet, שמשפרים את האבטחה של פלטפורמת Android. אנחנו ממליצים לכל הלקוחות לאשר את העדכונים האלה במכשירים שלהם.

פעולות מיטיגציה

זהו סיכום של אמצעי המיטיגציה שסופקו על ידי פלטפורמת האבטחה של Android והגנות על שירותים כמו SafetyNet. היכולות האלה מצמצמות את הסבירות לניצול נקודות חולשה באבטחה ב-Android.

  • שיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של בעיות רבות ב-Android. אנחנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
  • צוות האבטחה של Android עוקב באופן פעיל אחר ניצול לרעה באמצעות Verify Apps ו-SafetyNet, שיזהירו מפני אפליקציות שעלולות להזיק ועומדות להתקנה. אסור לפרסם כלים להסרת האבטחה (rooting) של מכשירים ב-Google Play. כדי להגן על משתמשים שמתקינים אפליקציות ממקורות מחוץ ל-Google Play, התכונה 'אימות אפליקציות' מופעלת כברירת מחדל ומזהירה משתמשים מפני אפליקציות ידועות לצורך קבלת הרשאת root. Verify Apps מנסה לזהות ולחסום התקנה של אפליקציות זדוניות ידועות שמנצלות נקודת חולשה של הסלמת הרשאות. אם אפליקציה כזו כבר הותקנה, התכונה 'אימות אפליקציות' תודיע למשתמש ותנסה להסיר את האפליקציות האלה.
  • בהתאם לצורך, אפליקציות Google Hangouts ו-Messenger לא מעבירות מדיה באופן אוטומטי לתהליכים כמו mediaserver.

תודות

אנחנו רוצים להודות לחוקרים הבאים על התרומות שלהם:

  • Abhishek Arya,‏ Oliver Chang ו-Martin Barbella מצוות האבטחה של Google Chrome: ‏ CVE-2015-6636
  • Sen Nie‏ (‎@nforest_) ו-jfang ממעבדת KEEN, Tencent‏ (‎@K33nTeam): ‏ CVE-2015-6637
  • Yabin Cui מצוות Android Bionic: ‏ CVE-2015-6640
  • טום קרייג (Tom Craig) מ-Google X: ‏ CVE-2015-6641
  • Jann Horn‏ (https://thejh.net): ‏ CVE-2015-6642
  • Jouni Malinen PGP id EFC895FA: ‏ CVE-2015-5310
  • Quan Nguyen מצוות מהנדסי אבטחת המידע של Google: CVE-2015-6644
  • גאל בנימיני (‎@laginimaineb,‏ http://bits-please.blogspot.com): ‏ CVE-2015-6639

פרטי נקודת החולשה באבטחה

בקטעים הבאים מפורטים פרטים על כל נקודת החולשה באבטחה שחלה על רמת התיקון 2016-01-01. הדיווח כולל תיאור של הבעיה, הסבר על רמת החומרה וטבלה עם מספר ה-CVE, הבאג המשויך, רמת החומרה, הגרסאות המעודכנות והתאריך שבו הדיווח נשלח. כשהשינוי ב-AOSP יטפל בבעיה, נקשר אותו למזהה הבאג. כשיש כמה שינויים שקשורים לבאג אחד, הפניות נוספות ל-AOSP מקושרות למספרים שמופיעים אחרי מזהה הבאג.

נקודת חולשה לביצוע קוד מרחוק ב-Mediaserver

במהלך עיבוד נתונים וקובצי מדיה של קובץ שנוצר במיוחד, נקודות חולשה ב-MediaServer עלולות לאפשר לתוקף לגרום לנזק בזיכרון ולהריץ קוד מרחוק בתהליך של MediaServer.

הפונקציונליות המושפעת היא חלק מרכזי במערכת ההפעלה, ויש כמה אפליקציות שמאפשרות לגשת אליה באמצעות תוכן מרחוק, בעיקר MMS והפעלת מדיה בדפדפן.

רמת החומרה של הבעיה הזו היא קריטית בגלל האפשרות להריץ קוד מרחוק בהקשר של שירות mediaserver. לשירות mediaserver יש גישה להזרמות אודיו ווידאו, וגם גישה להרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6636 ANDROID-25070493 קריטי 5.0, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי
ANDROID-24686670 קריטי 5.0, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי

נקודת חולשה של הסלמת הרשאות (privilege escalation) ב-misc-sd driver

נקודת חולשה של הסלמת הרשאות (privilege escalation) במנהל misc-sd של MediaTek עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בליבה. הדירוג של הבעיה הזו הוא קריטי בגלל האפשרות של פגיעה קבועה במכשיר ברמה המקומית. במקרה כזה, יכול להיות שיהיה צורך לתקן את המכשיר על ידי מחיקת הקושחה והפעלתה מחדש.

CVE באגים מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6637 ANDROID-25307013* קריטי 4.4.4, ‏ 5.0, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 26 באוקטובר 2015

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ה-binary העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה מסוג הרשאות מוגברות ב-driver של Imagination Technologies

נקודת חולשה של הסלמת הרשאות (privilege escalation) במנהל ליבה של Imagination Technologies עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בליבה. רמת החומרה של הבעיה היא קריטית כי קיימת אפשרות של פגיעה חמורה במכשיר באופן קבוע. במקרה כזה, יכול להיות שיהיה צורך לתקן את המכשיר על ידי מחיקת נתוני הקושחה והפעלה מחדש של מערכת ההפעלה.

CVE באגים מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6638 ANDROID-24673908* קריטי 5.0, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ה-binary העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודות חולשה של הרשאות גישה מורחבות ב-Trustzone

נקודות חולשה של הסלמת הרשאות באפליקציית Widevine QSEE TrustZone עלולות לאפשר לאפליקציה עם הרשאות גישה ל-QSEECOM לבצע קוד שרירותי בהקשר של Trustzone. הדירוג של הבעיה הזו הוא קריטי בגלל האפשרות של פגיעה קבועה במכשיר המקומי. במקרה כזה, יכול להיות שיהיה צורך לתקן את המכשיר על ידי מחיקת מערכת ההפעלה והפעלה מחדש שלה.

CVE באגים מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6639 ANDROID-24446875* קריטי 5.0, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 23 בספטמבר 2015
CVE-2015-6647 ANDROID-24441554* קריטי 5.0, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 27 בספטמבר 2015

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ה-binary העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה של הסלמת הרשאות בליבה

נקודת חולשה של הסלמת הרשאות בליבה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בליבה. הבעיה הזו מסווגת ברמת חומרה קריטית בגלל האפשרות של פגיעה קבועה במכשיר המקומי. במקרה כזה, יכול להיות שיהיה צורך לתקן את המכשיר על ידי מחיקת מערכת ההפעלה והפעלה מחדש שלה.

CVE באגים ב-AOSP Link מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6640 ANDROID-20017123 קריטי 4.4.4, ‏ 5.0, ‏ 5.1.1, ‏ 6.0 Google פנימי

נקודת חולשה של הסלמת הרשאות ב-Bluetooth

נקודת חולשה של העלאת הרשאות ברכיב ה-Bluetooth עלולה לאפשר למכשיר מרוחק שמותאם באמצעות Bluetooth לקבל גישה למידע הפרטי של המשתמש (אנשי קשר). רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות מסוכנות מרחוק. ההרשאות האלה זמינות רק לאפליקציות צד שלישי שמותקנות באופן מקומי.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6641 ANDROID-23607427 [2] רחב 6.0, ‏ 6.0.1 Google פנימי

נקודת חולשה של חשיפת מידע בליבה

נקודת חולשה של חשיפת מידע בליבה עשויה לאפשר עקיפה של אמצעי האבטחה שנועדו להקשות על תוקפים לנצל לרעה את הפלטפורמה. הבעיות האלה סווגו ברמת חומרה גבוהה כי אפשר להשתמש בהן גם כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות צד שלישי לא יכולות לגשת אליהן.

CVE באגים מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6642 ANDROID-24157888* רחב 4.4.4, ‏ 5.0, ‏ 5.1.1, ‏ 6.0 12 בספטמבר 2015

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ה-binary העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה מסוג הרשאות מורחבות באשף ההגדרה

נקודת חולשה של העלאת הרשאות באשף ההגדרה עלולה לאפשר לתוקף עם גישה פיזית למכשיר לקבל גישה להגדרות המכשיר ולבצע איפוס ידני של המכשיר. הדירוג של הבעיה הזו הוא 'חומרה בינונית' כי אפשר להשתמש בה כדי לעקוף באופן לא תקין את ההגנה מפני איפוס להגדרות המקוריות.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6643 ANDROID-25290269 [2] בינונית 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי

נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) ב-Wi-Fi

נקודת חולשה של הסלמת הרשאות (privilege escalation) ברכיב ה-Wi-Fi עלולה לאפשר לתוקף שנמצא בקרבת מקום לקבל גישה למידע שקשור לשירות ה-Wi-Fi. המכשיר חשוף לבעיה הזו רק כשהוא נמצא בקרבת מקום. הדירוג של הבעיה הזו הוא 'חומרה בינונית' כי אפשר להשתמש בה כדי לקבל יכולות 'רגילות' מרחוק. ההרשאות האלה זמינות רק לאפליקציות צד שלישי שמותקנות באופן מקומי.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-5310 ANDROID-25266660 בינונית 4.4.4, ‏ 5.0, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 25 באוקטובר 2015

נקודת חולשה של חשיפת מידע ב-Bouncy Castle

נקודת חולשה של חשיפת מידע ב-Bouncy Castle עלולה לאפשר לאפליקציה זדונית מקומית לקבל גישה למידע הפרטי של המשתמשים. רמת החומרה של הבעיה הזו היא בינונית כי אפשר להשתמש בה כדי לקבל באופן לא תקין הרשאות 'מסוכנות'.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6644 ANDROID-24106146 בינונית 4.4.4, ‏ 5.0, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי

נקודת חולשה של התקפת מניעת שירות (DoS) ב-SyncManager

נקודת חולשה של התקפת מניעת שירות (DoS) ב-SyncManager עלולה לאפשר לאפליקציה זדונית מקומית לגרום ללולא של הפעלה מחדש. הדירוג של הבעיה הזו הוא 'חומרה בינונית' כי אפשר להשתמש בה כדי לגרום להתקפת מניעת שירות (DoS) מקומית זמנית, שיכול להיות שיהיה צורך לתקן באמצעות איפוס להגדרות המקוריות.

CVE באגים בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6645 ANDROID-23591205 בינונית 4.4.4, ‏ 5.0, ‏ 5.1.1, ‏ 6.0 Google פנימי

צמצום שטח ההתקפה לליבת Nexus

אין תמיכה ב-SysV IPC באף ליבה של Android. הסרנו את התכונה הזו ממערכת ההפעלה כי היא חושפת שטח התקפה נוסף שלא מוסיף למערכת פונקציונליות שאפשר לנצל אותה על ידי אפליקציות זדוניות. בנוסף, יצירת ה-IPC ב-System V לא תואמת למחזור החיים של האפליקציות ב-Android, כי מנהל הזיכרון לא יכול לפנות את המשאבים שהוקצו, וכתוצאה מכך מתרחשת דליפת משאבים גלובלית בליבה. השינוי הזה מתייחס לבעיות כמו CVE-2015-7613.

CVE באגים מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-6646 ANDROID-22300191* בינונית 6.0 Google פנימי

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ה-binary העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

שאלות נפוצות ותשובות

בקטע הזה מפורטות תשובות לשאלות נפוצות שעשויות להתעורר אחרי קריאת העדכון.

1. איך אפשר לדעת אם המכשיר מעודכן כדי לטפל בבעיות האלה?

הגרסאות LMY49F ואילך ו-Android 6.0 עם רמת תיקון האבטחה מ-1 בינואר 2016 ואילך פותרות את הבעיות האלה. הוראות לבדיקה של רמת תיקון האבטחה מפורטות במסמכי העזרה של Nexus. יצרני המכשירים שכוללים את העדכונים האלה צריכים להגדיר את רמת מחרוזת התיקון ל-:‏[ro.build.version.security_patch]:‏[2016-01-01]

גרסאות קודמות

  • 4 בינואר 2016: פורסם עדכון בנושא.
  • 6 בינואר 2016: העדכון עודכן ונוספו אליו קישורים ל-AOSP.
  • 28 באפריל 2016: הוסר CVE-2015-6617 מהקטע 'הכרת תודה' והוספה CVE-2015-6647 לטבלת הסיכום