Biuletyn bezpieczeństwa Nexusa — styczeń 2016 r.

Opublikowano 04 stycznia 2016 | Zaktualizowano 28 kwietnia 2016 r.

Wydaliśmy aktualizację zabezpieczeń dla urządzeń Nexus za pośrednictwem aktualizacji bezprzewodowej (OTA) w ramach procesu comiesięcznego wydawania biuletynów dotyczących bezpieczeństwa Androida. Obrazy oprogramowania sprzętowego Nexusa zostały również udostępnione w witrynie Google Developer . Kompilacje LMY49F lub nowsze oraz Androida 6.0 z poziomem poprawki zabezpieczeń z 1 stycznia 2016 lub nowszym rozwiązują te problemy. Więcej informacji można znaleźć w sekcji Często zadawane pytania i odpowiedzi .

Partnerzy zostali powiadomieni o problemach opisanych w niniejszym biuletynie i dostarczyli im aktualizacje w dniu 7 grudnia 2015 r. lub wcześniej. W stosownych przypadkach w repozytorium Android Open Source Project (AOSP) udostępniono poprawki kodu źródłowego dla tych problemów.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach, która podczas przetwarzania plików multimedialnych może umożliwić zdalne wykonanie kodu na zaatakowanym urządzeniu za pomocą wielu metod, takich jak poczta e-mail, przeglądanie stron internetowych i MMS. Ocena dotkliwości opiera się na możliwym wpływie wykorzystania luki na urządzenie, którego dotyczy, przy założeniu, że platforma i usługi ograniczania zagrożeń są wyłączone w celach programistycznych lub pomyślnie ominięte.

Nie mamy doniesień o aktywnym wykorzystywaniu przez klientów tych nowo zgłoszonych problemów. Zapoznaj się z sekcją Ograniczenia , aby uzyskać szczegółowe informacje na temat zabezpieczeń platformy Android i zabezpieczeń usług, takich jak SafetyNet, które poprawiają bezpieczeństwo platformy Android. Zachęcamy wszystkich klientów do zaakceptowania tych aktualizacji na swoich urządzeniach.

Łagodzenia

To jest podsumowanie środków łagodzących zapewnianych przez platformę zabezpieczeń Androida i zabezpieczenia usług, takie jak SafetyNet. Te możliwości zmniejszają prawdopodobieństwo pomyślnego wykorzystania luk w zabezpieczeniach w systemie Android.

• Wykorzystanie wielu problemów w systemie Android jest utrudnione przez ulepszenia w nowszych wersjach platformy Android. Zachęcamy wszystkich użytkowników do aktualizacji do najnowszej wersji Androida tam, gdzie to możliwe.
• Zespół Android Security aktywnie monitoruje pod kątem nadużyć za pomocą funkcji Verify Apps i SafetyNet, które będą ostrzegać o potencjalnie szkodliwych aplikacjach, które mają zostać zainstalowane. Narzędzia do rootowania urządzeń są zabronione w Google Play. Aby chronić użytkowników, którzy instalują aplikacje spoza Google Play, Weryfikacja aplikacji jest domyślnie włączona i będzie ostrzegać użytkowników o znanych aplikacjach do rootowania. Usługa Verify Apps próbuje zidentyfikować i zablokować instalację znanych złośliwych aplikacji, które wykorzystują lukę umożliwiającą eskalację uprawnień. Jeśli taka aplikacja została już zainstalowana, Weryfikacja aplikacji powiadomi użytkownika i spróbuje usunąć takie aplikacje.
• W stosownych przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak mediaserver.

Podziękowanie

Chcielibyśmy podziękować tym badaczom za ich wkład:

• Abhishek Arya, Oliver Chang i Martin Barbella z zespołu ds. bezpieczeństwa Google Chrome: CVE-2015-6636
• Sen Nie ( @nforest_ ) i jfang z KEEN lab, Tencent ( @K33nTeam ): CVE-2015-6637
• Yabin Cui z zespołu Android Bionic: CVE-2015-6640
• Tom Craig z Google X: CVE-2015-6641
• Jann Horn ( https://thejh.net ): CVE-2015-6642
• Identyfikator Jouni Malinen PGP EFC895FA: CVE-2015-5310
• Quan Nguyen z zespołu inżynierów ds. bezpieczeństwa informacji Google: CVE-2015-6644
• Gal Beniamini ( @laginimaineb , http://bits-please.blogspot.com ): CVE-2015-6639

Szczegóły luki w zabezpieczeniach

W poniższych sekcjach podajemy szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z dnia 2016-01-01. Znajduje się tam opis problemu, uzasadnienie istotności oraz tabela z CVE, powiązanym błędem, istotnością, zaktualizowanymi wersjami i datą zgłoszenia. Gdy będzie to możliwe, połączymy zmianę AOSP, która rozwiązała problem, z identyfikatorem błędu. Gdy wiele zmian dotyczy pojedynczego błędu, dodatkowe odniesienia AOSP są powiązane z liczbami następującymi po identyfikatorze błędu.

Luka umożliwiająca zdalne wykonanie kodu w Mediaserver

Podczas przetwarzania pliku multimedialnego i danych w specjalnie spreparowanym pliku luki w serwerze multimediów mogą umożliwić osobie atakującej uszkodzenie pamięci i zdalne wykonanie kodu jako procesu serwera multimediów.

Zakłócona funkcja jest dostarczana jako podstawowa część systemu operacyjnego i istnieje wiele aplikacji, które umożliwiają dostęp do niej za pomocą zdalnej zawartości, w szczególności MMS i odtwarzanie multimediów w przeglądarce.

Ten problem jest oceniany jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście usługi mediaserver. Usługa mediaserver ma dostęp do strumieni audio i wideo, a także dostęp do uprawnień, do których normalnie nie mają dostępu aplikacje innych firm.

Podniesienie poziomu luki w zabezpieczeniach w sterowniku misc-sd

Luka umożliwiająca podniesienie uprawnień w sterowniku misc-sd firmy MediaTek może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w jądrze. Ten problem jest oceniany jako ważność krytyczna ze względu na możliwość lokalnego trwałego naruszenia bezpieczeństwa urządzenia, w którym to przypadku urządzenie może wymagać naprawy przez ponowne załadowanie systemu operacyjnego.

* Łata dla tego problemu nie znajduje się w AOSP. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Podwyższenie luki związanej z przywilejami w sterowniku technologii wyobraźni

Luka umożliwiająca podniesienie uprawnień w sterowniku jądra firmy Imagination Technologies może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w jądrze. Ten problem jest oceniany jako krytyczny ze względu na możliwość lokalnego trwałego naruszenia bezpieczeństwa urządzenia, w którym to przypadku urządzenie prawdopodobnie będzie wymagało naprawy przez ponowne załadowanie systemu operacyjnego.

* Łata dla tego problemu nie znajduje się w AOSP. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Podniesienie poziomu luk w uprawnieniach w strefie Trustzone

Podwyższone luki związane z uprawnieniami w aplikacji Widevine QSEE TrustZone mogą umożliwić złamanej, uprzywilejowanej aplikacji z dostępem do QSEECOM wykonanie dowolnego kodu w kontekście Trustzone. Ten problem jest oceniany jako ważność krytyczna ze względu na możliwość lokalnego trwałego naruszenia bezpieczeństwa urządzenia, w którym to przypadku urządzenie może wymagać naprawy przez ponowne załadowanie systemu operacyjnego.

* Łata dla tego problemu nie znajduje się w AOSP. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Podwyższenie luki związanej z przywilejami w Kernel

Luka umożliwiająca podniesienie uprawnień w jądrze może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w jądrze. Ten problem jest oceniany jako ważność krytyczna ze względu na możliwość lokalnego trwałego naruszenia bezpieczeństwa urządzenia, w którym to przypadku urządzenie może wymagać naprawy przez ponowne załadowanie systemu operacyjnego.

Podwyższenie luki związanej z przywilejami w Bluetooth

Luka umożliwiająca podniesienie uprawnień w składniku Bluetooth może umożliwić zdalnemu urządzeniu sparowanemu przez Bluetooth uzyskanie dostępu do prywatnych informacji użytkownika (Kontaktów). Ten problem jest oceniany jako wysoki, ponieważ może zostać wykorzystany do zdalnego uzyskania „ niebezpiecznych ” możliwości. Uprawnienia te są dostępne tylko dla aplikacji innych firm zainstalowanych lokalnie.

Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w jądrze

Luka umożliwiająca ujawnienie informacji w jądrze może pozwolić na obejście stosowanych środków bezpieczeństwa w celu zwiększenia trudności atakujących wykorzystujących platformę. Te problemy są oceniane jako wysoki poziom ważności, ponieważ mogą być również używane do uzyskiwania podwyższonych możliwości, takich jak uprawnienia uprawnień podpisu lub podpisu lub systemu, które nie są dostępne dla aplikacji innych firm.

* Łata dla tego problemu nie znajduje się w AOSP. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Podniesienie poziomu luki w uprawnieniach w kreatorze konfiguracji

Luka umożliwiająca podniesienie uprawnień w Kreatorze konfiguracji może umożliwić osobie atakującej mającej fizyczny dostęp do urządzenia uzyskanie dostępu do ustawień urządzenia i wykonanie ręcznego resetowania urządzenia. Ten problem jest oceniany jako umiarkowana istotność, ponieważ może być używany do nieprawidłowego obejścia ochrony przywracania ustawień fabrycznych.

Podwyższenie luki związanej z przywilejami w sieci Wi-Fi

Luka umożliwiająca podniesienie uprawnień w składniku Wi-Fi może umożliwić atakującemu lokalnie dostęp do informacji związanych z usługą Wi-Fi. Urządzenie jest podatne na ten problem tylko wtedy, gdy znajduje się w pobliżu. Ten problem jest oceniany jako średni poziom ważności, ponieważ można go wykorzystać do zdalnego uzyskania „ normalnych ” możliwości. Uprawnienia te są dostępne tylko dla zainstalowanych lokalnie aplikacji innych firm.

Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w nadmuchiwanym zamku

Luka umożliwiająca ujawnienie informacji w Bouncy Castle może umożliwić lokalnej złośliwej aplikacji uzyskanie dostępu do prywatnych informacji użytkownika. Ten problem jest oceniany jako średni poziom ważności, ponieważ może zostać wykorzystany do niewłaściwego uzyskania uprawnień „ niebezpiecznych ”.

Luka w zabezpieczeniach typu „odmowa usługi” w SyncManager

Luka w zabezpieczeniach typu „odmowa usługi” w programie SyncManager może spowodować, że lokalna złośliwa aplikacja może spowodować pętlę ponownego rozruchu. Ten problem ma średni poziom ważności, ponieważ może powodować lokalną tymczasową odmowę usługi, która prawdopodobnie wymagałaby naprawy przez przywrócenie ustawień fabrycznych.

Redukcja powierzchni ataku dla jąder Nexusa

SysV IPC nie jest obsługiwany w żadnym jądrze systemu Android. Usunęliśmy to z systemu operacyjnego, ponieważ ujawnia dodatkową powierzchnię ataku, która nie dodaje funkcjonalności systemu, która może zostać wykorzystana przez złośliwe aplikacje. Ponadto IPC System V nie są zgodne z cyklem życia aplikacji systemu Android, ponieważ przydzielone zasoby nie są zwalniane przez menedżera pamięci, co prowadzi do globalnego wycieku zasobów jądra. Ta zmiana rozwiązuje problem, taki jak CVE-2015-7613.

* Łata dla tego problemu nie znajduje się w AOSP. Aktualizacja jest zawarta w najnowszych sterownikach binarnych dla urządzeń Nexus dostępnych w witrynie Google Developer .

Często zadawane pytania i odpowiedzi

W tej sekcji przedstawiono odpowiedzi na często zadawane pytania, które mogą pojawić się po przeczytaniu niniejszego biuletynu.

1. Jak sprawdzić, czy moje urządzenie zostało zaktualizowane w celu rozwiązania tych problemów?

Kompilacje LMY49F lub nowsze oraz Androida 6.0 z poziomem poprawki zabezpieczeń z 1 stycznia 2016 lub nowszym rozwiązują te problemy. Zapoznaj się z dokumentacją Nexusa, aby dowiedzieć się, jak sprawdzić poziom poprawki zabezpieczeń. Producenci urządzeń, którzy zawierają te aktualizacje, powinni ustawić poziom ciągu poprawek na: [ro.build.version.security_patch]:[2016-01-01]

Rewizje

• 04 stycznia 2016: Biuletyn opublikowany.
• 6 stycznia 2016 r.: Biuletyn zaktualizowany w celu uwzględnienia łączy AOSP.
• 28 kwietnia 2016: Usunięto CVE-2015-6617 z Podziękowania i dodano CVE-2015-6647 do tabeli podsumowań