Publicado em 4 de janeiro de 2016 | Atualizado em 28 de abril de 2016
Lançamos uma atualização de segurança para dispositivos Nexus por uma atualização OTA como parte do nosso processo de lançamento mensal do Boletim de segurança do Android. As imagens de firmware do Nexus também foram lançadas no site para desenvolvedores do Google. As builds LMY49F ou mais recentes e o Android 6.0 com o nível do patch de segurança de 1º de janeiro de 2016 ou mais recente resolvem esses problemas. Consulte a seção Perguntas e respostas comuns para mais detalhes.
Os parceiros foram notificados e receberam atualizações sobre os problemas descritos neste boletim em 7 de dezembro de 2015 ou antes. Quando aplicável, os patches de código-fonte para esses problemas foram lançados no repositório do Android Open Source Project (AOSP).
O problema mais grave é uma vulnerabilidade de segurança crítica que pode permitir a execução remota de código em um dispositivo afetado por vários métodos, como e-mail, navegação na Web e MMS ao processar arquivos de mídia. A avaliação de gravidade é baseada no efeito que a exploração da vulnerabilidade teria em um dispositivo afetado, supondo que as mitigações de plataforma e serviço estejam desativadas para fins de desenvolvimento ou se forem contornadas.
Não recebemos relatos de clientes que estão usando ativamente esses problemas recém relatados. Consulte a seção Mitigações para saber mais sobre as proteções da plataforma de segurança do Android e as proteções de serviço, como a SafetyNet, que melhoram a segurança da plataforma Android. Recomendamos que todos os clientes aceitem essas atualizações nos dispositivos.
Mitigações
Este é um resumo das mitigações fornecidas pela plataforma de segurança do Android e proteções de serviço, como a SafetyNet. Esses recursos reduzem a probabilidade de que vulnerabilidades de segurança sejam exploradas no Android.
- A exploração de muitos problemas no Android fica mais difícil devido a melhorias nas versões mais recentes da plataforma Android. Recomendamos que todos os usuários atualizem para a versão mais recente do Android, sempre que possível.
- A equipe de segurança do Android monitora ativamente o abuso com o Verify Apps e a SafetyNet, que alertam sobre aplicativos potencialmente nocivos que estão prestes a ser instalados. Ferramentas de acesso root a dispositivos são proibidas no Google Play. Para proteger os usuários que instalam apps de fora do Google Play, a verificação de apps está ativada por padrão e alerta os usuários sobre apps de acesso root conhecidos. O Verify Apps tenta identificar e bloquear a instalação de aplicativos maliciosos conhecidos que exploram uma vulnerabilidade de elevação de privilégios. Se esse app já tiver sido instalado, o recurso "Verificar apps" vai notificar o usuário e tentar remover esses apps.
- Conforme apropriado, os aplicativos do Google Hangouts e do Messenger não transmitem mídia automaticamente para processos, como o mediaserver.
Agradecimentos
Agradecemos as contribuições dos seguintes pesquisadores:
- Abhishek Arya, Oliver Chang e Martin Barbella, da equipe de segurança do Google Chrome: CVE-2015-6636
- Sen Nie (@nforest_) e Jfang do laboratório KEEN, Tencent (@K33nTeam): CVE-2015-6637
- Yabin Cui da equipe do Android Bionic: CVE-2015-6640
- Tom Craig, do Google X: CVE-2015-6641
- Jann Horn (https://thejh.net): CVE-2015-6642
- Jouni Malinen PGP id EFC895FA: CVE-2015-5310
- Quan Nguyen, da equipe de engenheiros de segurança da informação do Google: CVE-2015-6644
- Gal Beniamini (@laginimaineb, http://bits-please.blogspot.com): CVE-2015-6639
Detalhes da vulnerabilidade de segurança
Nas seções abaixo, fornecemos detalhes sobre cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 2016-01-01. Há uma descrição do problema, um raciocínio sobre a gravidade e uma tabela com a CVE, o bug associado, a gravidade, as versões atualizadas e a data de notificação. Quando disponível, vamos vincular a mudança do AOSP que resolveu o problema ao ID do bug. Quando várias mudanças se relacionam a um único bug, outras referências do AOSP são vinculadas a números após o ID do bug.
Vulnerabilidade de execução remota de código no Mediaserver
Durante o processamento de arquivos de mídia e dados de um arquivo criado especialmente, as vulnerabilidades no mediaserver podem permitir que um invasor cause corrupção de memória e execução remota de código como o processo do mediaserver.
A funcionalidade afetada é fornecida como parte principal do sistema operacional e há vários aplicativos que permitem o acesso a ela com conteúdo remoto, principalmente MMS e reprodução de mídia no navegador.
Esse problema tem gravidade crítica devido à possibilidade de execução remota de código no contexto do serviço do mediaserver. O serviço de mediaserver tem acesso a streams de áudio e vídeo, além de privilégios que apps de terceiros normalmente não podem acessar.
| CVE | Bugs com links do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6636 | ANDROID-25070493 | Crítico | 5.0, 5.1.1, 6.0, 6.0.1 | Interno do Google |
| ANDROID-24686670 | Crítico | 5.0, 5.1.1, 6.0, 6.0.1 | Interno do Google |
Vulnerabilidade de elevação de privilégio no driver misc-sd
Uma elevação de vulnerabilidade de privilégio no driver misc-sd da MediaTek pode permitir que um aplicativo malicioso local execute códigos arbitrários no kernel. Esse problema é classificado como de gravidade crítica devido à possibilidade de comprometimento permanente do dispositivo. Nesse caso, o dispositivo precisa ser reparado com uma nova instalação do sistema operacional.
| CVE | Bugs | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6637 | ANDROID-25307013* | Crítico | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 26 de outubro de 2015 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no driver da Imagination Technologies
Uma elevação de vulnerabilidade de privilégio em um driver do kernel da Imagination Technologies pode permitir que um aplicativo malicioso local execute código arbitrário no kernel. Esse problema é classificado como de gravidade crítica devido à possibilidade de comprometimento permanente local do dispositivo. Nesse caso, o dispositivo precisa ser reparado com uma nova atualização do sistema operacional.
| CVE | Bugs | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6638 | ANDROID-24673908* | Crítico | 5.0, 5.1.1, 6.0, 6.0.1 | Interno do Google |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidades de elevação de privilégios na Trustzone
O aumento de vulnerabilidades de privilégio no aplicativo Widevine QSEE TrustZone pode permitir que um aplicativo privilegiado comprometido com acesso a QSEECOM execute códigos arbitrários no contexto da Trustzone. Esse problema é classificado como de gravidade crítica devido à possibilidade de comprometimento permanente do dispositivo local. Nesse caso, o dispositivo precisa ser reparado reinstalando o sistema operacional.
| CVE | Bugs | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6639 | ANDROID-24446875* | Crítico | 5.0, 5.1.1, 6.0, 6.0.1 | 23 de setembro de 2015 |
| CVE-2015-6647 | ANDROID-24441554* | Crítico | 5.0, 5.1.1, 6.0, 6.0.1 | 27 de setembro de 2015 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Elevação de vulnerabilidade de privilégio no kernel
Uma elevação de vulnerabilidade de privilégio no kernel pode permitir que um aplicativo malicioso local execute um código arbitrário no kernel. Esse problema é classificado como de gravidade crítica devido à possibilidade de comprometimento permanente do dispositivo local. Nesse caso, o dispositivo precisaria ser reparado reinstalando o sistema operacional.
| CVE | Bugs com link do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6640 | ANDROID-20017123 | Crítico | 4.4.4, 5.0, 5.1.1, 6.0 | Interno do Google |
Vulnerabilidade de elevação de privilégio no Bluetooth
Uma elevação de vulnerabilidade de privilégio no componente Bluetooth pode permitir que um dispositivo remoto pareado por Bluetooth tenha acesso às informações particulares do usuário (contatos). Esse problema foi classificado como de alta gravidade porque pode ser usado para acessar remotamente recursos perigosos. Essas permissões só podem ser acessadas por apps de terceiros instalados localmente.
| CVE | Bugs com links do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6641 | ANDROID-23607427 [2] | Alta | 6.0, 6.0.1 | Interno do Google |
Vulnerabilidade de divulgação de informações no kernel
Uma vulnerabilidade de divulgação de informações no kernel pode permitir a ignorância das medidas de segurança em vigor para aumentar a dificuldade dos invasores de explorar a plataforma. Esses problemas são classificados como de alta gravidade porque também podem ser usados para acessar recursos elevados, como os privilégios de permissões Signature ou SignatureOrSystem, que não são acessíveis para aplicativos de terceiros.
| CVE | Bugs | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6642 | ANDROID-24157888* | Alta | 4.4.4, 5.0, 5.1.1, 6.0 | 12 de setembro de 2015 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no assistente de configuração
Uma vulnerabilidade de elevação de privilégio no Assistente de configuração pode permitir que um invasor com acesso físico ao dispositivo tenha acesso às configurações do dispositivo e realize uma redefinição manual. Esse problema tem uma gravidade moderada porque pode ser usado para contornar incorretamente a proteção de redefinição para a configuração original.
| CVE | Bugs com links do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6643 | ANDROID-25290269 [2] | Moderada | 5.1.1, 6.0, 6.0.1 | Interno do Google |
Vulnerabilidade de elevação de privilégio no Wi-Fi
Uma elevação de vulnerabilidade de privilégio no componente Wi-Fi pode permitir que um invasor localmente próximo tenha acesso a informações relacionadas ao serviço Wi-Fi. Um dispositivo só fica vulnerável a esse problema quando está na proximidade local. Esse problema é classificado como de gravidade moderada porque pode ser usado para acessar remotamente os recursos normais. Essas permissões são acessíveis apenas para apps de terceiros instalados localmente.
| CVE | Bugs com links do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-5310 | ANDROID-25266660 | Moderada | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | 25 de outubro de 2015 |
Vulnerabilidade de divulgação de informações no Bouncy Castle
Uma vulnerabilidade de divulgação de informações no Bouncy Castle poderia permitir que um app malicioso local tivesse acesso às informações particulares do usuário. Esse problema é classificado como de gravidade moderada porque pode ser usado para conseguir permissões perigosas.
| CVE | Bugs com links do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6644 | ANDROID-24106146 | Moderada | 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 | Interno do Google |
Vulnerabilidade de negação de serviço no SyncManager
Uma vulnerabilidade de negação de serviço no SyncManager pode permitir que um aplicativo malicioso local cause um ciclo de reinicialização. Esse problema é classificado como de gravidade moderada porque pode ser usado para causar uma negação de serviço temporária local que possivelmente precisa ser corrigida com uma redefinição de fábrica.
| CVE | Bugs com links do AOSP | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6645 | ANDROID-23591205 | Moderada | 4.4.4, 5.0, 5.1.1, 6.0 | Interno do Google |
Redução da superfície de ataque para núcleos do Nexus
O SysV IPC não tem suporte em nenhum kernel do Android. Removemos isso do SO porque ele expõe uma superfície de ataque adicional que não adiciona funcionalidade ao sistema que pode ser explorada por aplicativos maliciosos. Além disso, os IPCs do System V não são compatíveis com o ciclo de vida do aplicativo do Android porque os recursos alocados não podem ser liberados pelo gerenciador de memória, o que leva a uma vazamento global de recursos do kernel. Essa mudança resolve problemas como o CVE-2015-7613.
| CVE | Bugs | Gravidade | Versões atualizadas | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-6646 | ANDROID-22300191* | Moderada | 6.0 | Interno do Google |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Perguntas e respostas comuns
Esta seção responde a perguntas comuns que podem surgir após a leitura deste boletim.
1. Como determino se meu dispositivo está atualizado para resolver esses problemas?
As builds LMY49F ou mais recentes e o Android 6.0 com o nível do patch de segurança de 1º de janeiro de 2016 ou mais recente resolvem esses problemas. Consulte a documentação do Nexus para instruções sobre como verificar o nível do patch de segurança. Os fabricantes de dispositivos que incluem essas atualizações precisam definir o nível da string de patch como: [ro.build.version.security_patch]:[2016-01-01]
Revisões
- 4 de janeiro de 2016: publicação do boletim.
- 6 de janeiro de 2016: o boletim foi revisado para incluir links do AOSP.
- 28 de abril de 2016: a CVE-2015-6617 foi removida das confirmações e a CVE-2015-6647 foi adicionada à tabela de resumo.