Buletin Keamanan Nexus - Februari 2016

Dipublikasikan 01 Februari 2016 | Diperbarui 7 Maret 2016

Kami telah merilis update keamanan ke perangkat Nexus melalui update over-the-air (OTA) sebagai bagian dari proses Rilis Bulanan Buletin Keamanan Android kami. Image firmware Nexus juga telah dirilis ke situs Developer Google. Build LMY49G atau yang lebih baru dan Android M dengan Tingkat Patch Keamanan 1 Februari 2016 atau yang lebih baru mengatasi masalah ini. Lihat dokumentasi Nexus untuk mengetahui petunjuk cara memeriksa tingkat patch keamanan.

Partner telah diberi tahu tentang masalah yang dijelaskan dalam buletin pada 4 Januari 2016 atau sebelumnya. Jika berlaku, patch kode sumber untuk masalah ini telah dirilis ke repositori Android Open Source Project (AOSP).

Masalah yang paling parah adalah kerentanan keamanan Kritis yang dapat memungkinkan eksekusi kode jarak jauh di perangkat yang terpengaruh melalui beberapa metode seperti email, penjelajahan web, dan MMS saat memproses file media. Kerentanan Eksekusi Kode Jarak Jauh di driver Wi-Fi Broadcom juga memiliki tingkat keparahan Kritis karena dapat memungkinkan eksekusi kode jarak jauh di perangkat yang terpengaruh saat terhubung ke jaringan yang sama dengan penyerang. Penilaian keparahan berdasarkan efek yang mungkin akan ditimbulkan oleh eksploitasi kerentanan pada perangkat yang terpengaruh, dengan asumsi mitigasi platform dan layanan dinonaktifkan untuk tujuan pengembangan atau jika berhasil diabaikan.

Kami tidak menerima laporan tentang eksploitasi aktif oleh pelanggan terhadap masalah yang baru dilaporkan ini. Lihat bagian Mitigasi untuk mengetahui detail tentang perlindungan platform keamanan Android dan perlindungan layanan seperti SafetyNet, yang meningkatkan keamanan platform Android. Sebaiknya semua pelanggan menyetujui update ini ke perangkat mereka.

Mitigasi

Ini adalah ringkasan mitigasi yang disediakan oleh platform keamanan Android dan perlindungan layanan seperti SafetyNet. Kemampuan ini mengurangi kemungkinan kerentanan keamanan berhasil dieksploitasi di Android.

  • Eksploitasi untuk banyak masalah di Android menjadi lebih sulit karena peningkatan di platform Android versi yang lebih baru. Sebaiknya semua pengguna mengupdate ke versi Android terbaru jika memungkinkan.
  • Tim Android Security secara aktif memantau penyalahgunaan dengan Verify Apps dan SafetyNet yang akan memperingatkan tentang aplikasi yang berpotensi berbahaya yang akan diinstal. Alat rooting perangkat dilarang di Google Play. Untuk melindungi pengguna yang menginstal aplikasi dari luar Google Play, Verifikasi Aplikasi diaktifkan secara default dan akan memperingatkan pengguna tentang aplikasi rooting yang diketahui. Verify Apps mencoba mengidentifikasi dan memblokir penginstalan aplikasi berbahaya yang diketahui mengeksploitasi kerentanan eskalasi hak istimewa. Jika aplikasi tersebut telah diinstal, Verifikasi Aplikasi akan memberi tahu pengguna dan mencoba menghapus aplikasi tersebut.
  • Sesuai kebutuhan, aplikasi Google Hangouts dan Messenger tidak otomatis meneruskan media ke proses seperti mediaserver.

Ucapan Terima Kasih

Kami ingin mengucapkan terima kasih kepada para peneliti berikut atas kontribusi mereka:

Detail Kerentanan Keamanan

Di bagian di bawah, kami memberikan detail untuk setiap kerentanan keamanan yang berlaku untuk tingkat patch 01-02-2016. Terdapat deskripsi masalah, alasan tingkat keparahan, dan tabel dengan CVE, bug terkait, tingkat keparahan, versi yang terpengaruh, dan tanggal dilaporkan. Jika tersedia, kami akan menautkan commit AOSP yang mengatasi masalah tersebut ke ID bug. Jika beberapa perubahan terkait dengan satu bug, referensi AOSP tambahan akan ditautkan ke angka yang mengikuti ID bug.

Kerentanan Eksekusi Kode Jarak Jauh di Driver Wi-Fi Broadcom

Beberapa kerentanan eksekusi jarak jauh di driver Wi-Fi Broadcom dapat memungkinkan penyerang jarak jauh menggunakan paket pesan kontrol nirkabel yang dibuat khusus untuk merusak memori kernel dengan cara yang mengarah ke eksekusi kode jarak jauh dalam konteks kernel. Kerentanan ini dapat dipicu saat penyerang dan korban dikaitkan dengan jaringan yang sama. Masalah ini dinilai sebagai tingkat keparahan Kritis karena kemungkinan eksekusi kode jarak jauh dalam konteks kernel tanpa memerlukan interaksi pengguna.

CVE Bug Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0801 ANDROID-25662029
ANDROID-25662233		 Kritis 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 25 Oktober 2015
CVE-2016-0802 ANDROID-25306181 Kritis 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 26 Oktober 2015

Kerentanan Eksekusi Kode Jarak Jauh di Mediaserver

Selama pemrosesan file media dan data dari file yang dibuat secara khusus, kerentanan di mediaserver dapat memungkinkan penyerang menyebabkan kerusakan memori dan eksekusi kode jarak jauh saat proses mediaserver.

Fungsi yang terpengaruh disediakan sebagai bagian inti dari sistem operasi dan ada beberapa aplikasi yang memungkinkannya dijangkau dengan konten jarak jauh, terutama MMS dan pemutaran media browser.

Masalah ini dinilai sebagai Keparahan kritis karena kemungkinan eksekusi kode jarak jauh dalam konteks layanan mediaserver. Layanan mediaserver memiliki akses ke streaming audio dan video serta akses ke hak istimewa yang biasanya tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0803 ANDROID-25812794 Kritis 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 19 November 2015
CVE-2016-0804 ANDROID-25070434 Kritis 5.0, 5.1.1, 6.0, 6.0.1 12 Oktober 2015

Kerentanan Elevasi Hak Istimewa di Modul Performa Qualcomm

Kerentanan elevasi hak istimewa dalam komponen pengelola peristiwa performa untuk prosesor ARM dari Qualcomm dapat memungkinkan aplikasi lokal jahat untuk mengeksekusi kode arbitrer dalam kernel. Masalah ini diberi rating sebagai Keparahan Kritis karena kemungkinan adanya kompromi perangkat lokal yang permanen dan perangkat mungkin perlu diperbaiki dengan mem-flash ulang sistem operasi.

CVE Bug Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0805 ANDROID-25773204* Kritis 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 15 November 2015

* Patch untuk masalah ini tidak ada di AOSP. Update ini terdapat dalam driver biner terbaru untuk perangkat Nexus yang tersedia dari situs Developer Google.

Kerentanan Elevasi Hak Istimewa di Driver Wi-Fi Qualcomm

Ada kerentanan dalam driver Wi-Fi Qualcomm yang dapat memungkinkan aplikasi jahat lokal untuk mengeksekusi kode arbitrer dalam konteks kernel. Masalah ini diberi rating keparahan Kritis karena kemungkinan kompromi perangkat permanen lokal dan perangkat mungkin perlu diperbaiki dengan mem-flash ulang sistem operasi.

CVE Bug Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0806 ANDROID-25344453* Kritis 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 15 November 2015

* Patch untuk masalah ini tidak ada di AOSP. Update ini terdapat dalam driver biner terbaru untuk perangkat Nexus yang tersedia dari situs Developer Google.

Kerentanan Elevasi Hak Istimewa di Debuggerd

Kerentanan peningkatan hak istimewa di komponen Debuggerd dapat memungkinkan aplikasi berbahaya lokal untuk mengeksekusi kode arbitrer dalam konteks root perangkat. Masalah ini diberi rating keparahan Kritis karena kemungkinan kompromi perangkat permanen lokal dan perangkat mungkin perlu diperbaiki dengan mem-flash ulang sistem operasi.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0807 ANDROID-25187394 Kritis 6.0 dan 6.0.1 Internal Google

Kerentanan Denial of Service di Minikin

Kerentanan denial of service di library Minikin dapat memungkinkan penyerang lokal memblokir akses ke perangkat yang terpengaruh untuk sementara. Penyerang dapat menyebabkan font yang tidak tepercaya dimuat dan menyebabkan overflow pada komponen Minikin yang menyebabkan error. Hal ini dinilai sebagai keparahan tinggi karena Denial of Service menyebabkan loop mulai ulang yang berkelanjutan.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0808 ANDROID-25645298 Tinggi 5.0, 5.1.1, 6.0, 6.0.1 3 November 2015

Kerentanan Elevasi Hak Istimewa di Wi-Fi

Kerentanan elevasi hak istimewa di komponen Wi-Fi dapat memungkinkan aplikasi berbahaya lokal untuk menjalankan kode arbitrer dalam konteks Sistem. Perangkat hanya rentan terhadap masalah ini saat berada di sekitar lokal. Masalah ini diberi rating Keparahan tinggi karena dapat digunakan untuk mendapatkan kemampuan “normal” dari jarak jauh. Umumnya, izin ini hanya dapat diakses oleh aplikasi pihak ketiga yang diinstal secara lokal.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0809 ANDROID-25753768 Tinggi 6.0, 6.0.1 Internal Google

Kerentanan Elevasi Hak Istimewa di Mediaserver

Kerentanan elevasi hak istimewa di mediaserver dapat memungkinkan aplikasi berbahaya lokal untuk mengeksekusi kode arbitrer dalam konteks aplikasi sistem yang ditingkatkan. Masalah ini diberi rating keparahan Tinggi karena dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa izin Signature atau SignatureOrSystem, yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0810 ANDROID-25781119 Tinggi 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 Internal Google

Kerentanan Pengungkapan Informasi di libmediaplayerservice

Kerentanan pengungkapan informasi di libmediaplayerservice dapat memungkinkan pengabaian tindakan keamanan yang diterapkan untuk mempersulit penyerang dalam mengeksploitasi platform. Masalah ini diberi rating Keparahan tinggi karena juga dapat digunakan untuk mendapatkan kemampuan yang ditingkatkan, seperti hak istimewa izin Signature atau SignatureOrSystem, yang tidak dapat diakses oleh aplikasi pihak ketiga.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0811 ANDROID-25800375 Tinggi 6.0, 6.0.1 16 November 2015

Kerentanan Elevasi Hak Istimewa di Wizard Penyiapan

Kerentanan di Wizard Penyiapan dapat memungkinkan penyerang berbahaya mengabaikan Perlindungan Reset ke Setelan Pabrik dan mendapatkan akses ke perangkat. Hal ini diberi rating sebagai Keparahan sedang karena berpotensi memungkinkan seseorang dengan akses fisik ke perangkat untuk mengabaikan Perlindungan Reset ke Setelan Pabrik, yang memungkinkan penyerang berhasil mereset perangkat, sehingga menghapus semua data.

CVE Bug pada link AOSP Tingkat Keparahan Versi yang diperbarui Tanggal dilaporkan
CVE-2016-0812 ANDROID-25229538 Sedang 5.1.1, 6.0 Internal Google
CVE-2016-0813 ANDROID-25476219 Sedang 5.1.1, 6.0, 6.0.1 Internal Google

Pertanyaan Umum dan Jawaban

Bagian ini meninjau jawaban atas pertanyaan umum yang mungkin muncul setelah membaca berita ini.

1. Bagaimana cara menentukan apakah perangkat saya telah diupdate untuk menyelesaikan masalah ini?

Build LMY49G atau yang lebih baru dan Android 6.0 dengan Tingkat Patch Keamanan 1 Februari 2016 atau yang lebih baru mengatasi masalah ini. Lihat dokumentasi Nexus untuk mengetahui petunjuk cara memeriksa tingkat patch keamanan. Produsen perangkat yang menyertakan update ini harus menetapkan level string patch ke: [ro.build.version.security_patch]:[2016-02-01]

Revisi

  • 01 Februari 2016: Buletin dipublikasikan.
  • 02 Februari 2016: Buletin direvisi untuk menyertakan link AOSP.
  • 07 Maret 2016: Buletin direvisi untuk menyertakan link AOSP tambahan.