Boletim de segurança do Nexus: fevereiro de 2016

Publicado em 1º de fevereiro de 2016 | Atualizado em 7 de março de 2016

Lançamos uma atualização de segurança para dispositivos Nexus por uma atualização OTA como parte do nosso processo de lançamento mensal do Boletim de segurança do Android. As imagens de firmware do Nexus também foram lançadas no site para desenvolvedores do Google. As versões LMY49G ou mais recentes e o Android M com o nível do patch de segurança de 1º de fevereiro de 2016 ou mais recente resolvem esses problemas. Consulte a documentação do Nexus para instruções sobre como verificar o nível do patch de segurança.

Os parceiros foram notificados sobre os problemas descritos no boletim em 4 de janeiro de 2016 ou antes. Quando aplicável, os patches de código-fonte para esses problemas foram lançados no repositório do Android Open Source Project (AOSP).

O problema mais grave é uma vulnerabilidade de segurança crítica que pode permitir a execução remota de código em um dispositivo afetado por vários métodos, como e-mail, navegação na Web e MMS ao processar arquivos de mídia. A vulnerabilidade de execução remota de código no driver de Wi-Fi da Broadcom também tem gravidade crítica, já que permite a execução remota de código em um dispositivo afetado enquanto ele está conectado à mesma rede que o invasor. A avaliação de gravidade é baseada no efeito que a exploração da vulnerabilidade teria em um dispositivo afetado, supondo que as mitigações de plataforma e serviço estejam desativadas para fins de desenvolvimento ou se forem contornadas.

Não recebemos relatos de clientes que estão usando ativamente esses problemas recém relatados. Consulte a seção Mitigações para saber mais sobre as proteções da plataforma de segurança do Android e as proteções de serviço, como a SafetyNet, que melhoram a segurança da plataforma Android. Recomendamos que todos os clientes aceitem essas atualizações nos dispositivos.

Mitigações

Este é um resumo das mitigações fornecidas pela plataforma de segurança do Android e proteções de serviço, como o SafetyNet. Esses recursos reduzem a probabilidade de que vulnerabilidades de segurança sejam exploradas no Android.

  • A exploração de muitos problemas no Android fica mais difícil devido a melhorias nas versões mais recentes da plataforma Android. Recomendamos que todos os usuários atualizem para a versão mais recente do Android, sempre que possível.
  • A equipe de segurança do Android monitora ativamente o abuso com o Verify Apps e a SafetyNet, que alertam sobre aplicativos potencialmente nocivos que estão prestes a ser instalados. Ferramentas de acesso root a dispositivos são proibidas no Google Play. Para proteger os usuários que instalam apps de fora do Google Play, a verificação de apps está ativada por padrão e alerta os usuários sobre apps de acesso root conhecidos. O Verify Apps tenta identificar e bloquear a instalação de aplicativos maliciosos conhecidos que exploram uma vulnerabilidade de elevação de privilégios. Se esse app já tiver sido instalado, o recurso "Verificar apps" vai notificar o usuário e tentar remover esses apps.
  • Conforme apropriado, os aplicativos do Google Hangouts e do Messenger não transmitem mídia automaticamente para processos, como o mediaserver.

Agradecimentos

Agradecemos as contribuições dos seguintes pesquisadores:

  • Equipe de segurança do Android e do Chrome: CVE-2016-0809, CVE-2016-0810
  • Equipe da Broadgate: CVE-2016-0801, CVE-2015-0802
  • Chiachih Wu (@chiachih_wu), Mingjian Zhou (@Mingjian_Zhou) e Xuxian Jiang da Equipe C0RE, Qihoo 360: CVE-2016-0804
  • David Riley, do time do Google Pixel C: CVE-2016-0812
  • Gengjia Chen (@chengjia4574) do Lab IceSword, Qihoo 360: CVE-2016-0805
  • Qidan He (@Flanker_hqd) do KeenLab (@keen_lab), Tencent: CVE-2016-0811
  • Seven Shen (@lingtongshen) da Trend Micro (www.trendmicro.com): CVE-2016-0803
  • Weichao Sun (@sunblate) da Alibaba Inc.: CVE-2016-0808
  • Zach Riggle (@ebeip90) da equipe de segurança do Android: CVE-2016-0807

Detalhes da vulnerabilidade de segurança

Nas seções abaixo, fornecemos detalhes sobre cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 2016-02-01. Há uma descrição do problema, um raciocínio sobre a gravidade e uma tabela com a CVE, o bug associado, a gravidade, as versões afetadas e a data de notificação. Quando disponível, vamos vincular o commit do AOSP que resolveu o problema ao ID do bug. Quando várias mudanças se relacionam a um único bug, outras referências do AOSP são vinculadas a números após o ID do bug.

Vulnerabilidade de execução remota de código no driver de Wi-Fi da Broadcom

Várias vulnerabilidades de execução remota no driver de Wi-Fi da Broadcom podem permitir que um invasor remoto use pacotes de mensagens de controle sem fio especialmente criados para corromper a memória do kernel de uma forma que leve à execução remota de código no contexto do kernel. Essas vulnerabilidades podem ser acionadas quando o atacante e a vítima estão associados à mesma rede. Esse problema é classificado como de gravidade crítica devido à possibilidade de execução remota de código no contexto do kernel sem exigir interação do usuário.

CVE Bugs Gravidade Versões atualizadas Data de denúncia
CVE-2016-0801 ANDROID-25662029
ANDROID-25662233		 Crítico 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 25 de outubro de 2015
CVE-2016-0802 ANDROID-25306181 Crítico 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 26 de outubro de 2015

Vulnerabilidade de execução remota de código no Mediaserver

Durante o processamento de arquivos de mídia e dados de um arquivo criado especialmente, as vulnerabilidades no mediaserver podem permitir que um invasor cause corrupção de memória e execução remota de código como o processo do mediaserver.

A funcionalidade afetada é fornecida como parte principal do sistema operacional e há vários aplicativos que permitem o acesso a ela com conteúdo remoto, principalmente MMS e reprodução de mídia no navegador.

Esse problema tem gravidade crítica devido à possibilidade de execução remota de código no contexto do serviço do mediaserver. O serviço de mediaserver tem acesso a streams de áudio e vídeo, além de privilégios que apps de terceiros normalmente não podem acessar.

CVE Bugs com links do AOSP Gravidade Versões atualizadas Data de denúncia
CVE-2016-0803 ANDROID-25812794 Crítico 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 19 de novembro de 2015
CVE-2016-0804 ANDROID-25070434 Crítico 5.0, 5.1.1, 6.0, 6.0.1 12 de outubro de 2015

Vulnerabilidade de elevação de privilégio no módulo de desempenho da Qualcomm

Uma elevação de vulnerabilidade de privilégio no componente do gerenciador de eventos de desempenho para processadores ARM da Qualcomm pode permitir que um aplicativo local malicioso execute códigos arbitrários no kernel. Esse problema é classificado como de gravidade crítica devido à possibilidade de comprometimento permanente do dispositivo local. O dispositivo provavelmente precisa ser reparado com uma nova atualização do sistema operacional.

CVE Bug Gravidade Versões atualizadas Data de denúncia
CVE-2016-0805 ANDROID-25773204* Crítico 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 15 de novembro de 2015

* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.

Vulnerabilidade de elevação de privilégio no driver do Wi-Fi da Qualcomm

Há uma vulnerabilidade no driver de Wi-Fi da Qualcomm que pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como de gravidade crítica devido à possibilidade de comprometimento permanente do dispositivo local. O dispositivo provavelmente precisará ser reparado reinstalando o sistema operacional.

CVE Bug Gravidade Versões atualizadas Data de denúncia
CVE-2016-0806 ANDROID-25344453* Crítico 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 15 de novembro de 2015

* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.

Elevação de vulnerabilidade de privilégio no depurador

Uma elevação de vulnerabilidade de privilégio no componente Debuggerd pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto raiz do dispositivo. Esse problema é classificado como de gravidade crítica devido à possibilidade de comprometimento permanente do dispositivo local. O dispositivo provavelmente precisará ser reparado reinstalando o sistema operacional.

CVE Bug com link do AOSP Gravidade Versões atualizadas Data de denúncia
CVE-2016-0807 ANDROID-25187394 Crítico 6.0 e 6.0.1 Interno do Google

Vulnerabilidade de negação de serviço no Minikin

Uma vulnerabilidade de negação de serviço na biblioteca Minikin pode permitir que um invasor local bloqueie temporariamente o acesso a um dispositivo afetado. Um invasor pode fazer com que uma fonte não confiável seja carregada e causar um overflow no componente Minikin, o que leva a uma falha. Isso é classificado como de alta gravidade porque a negação de serviço leva a um ciclo de reinicialização contínuo.

CVE Bug com link do AOSP Gravidade Versões atualizadas Data de denúncia
CVE-2016-0808 ANDROID-25645298 Alta 5.0, 5.1.1, 6.0, 6.0.1 3 de novembro de 2015

Vulnerabilidade de elevação de privilégio no Wi-Fi

Uma elevação de vulnerabilidade de privilégio no componente Wi-Fi pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do sistema. Um dispositivo só fica vulnerável a esse problema quando está na proximidade local. Esse problema tem classificação de alta gravidade porque pode ser usado para acessar remotamente os recursos normais. Geralmente, essas permissões só são acessíveis a aplicativos de terceiros instalados localmente.

CVE Bug com link do AOSP Gravidade Versões atualizadas Data de denúncia
CVE-2016-0809 ANDROID-25753768 Alta 6.0, 6.0.1 Interno do Google

Vulnerabilidade de elevação de privilégio no Mediaserver

Uma vulnerabilidade de elevação de privilégio no mediaserver pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto de um aplicativo de sistema elevado. Esse problema tem uma gravidade alta porque pode ser usado para acessar recursos elevados, como os privilégios de permissões Signature ou SignatureOrSystem, que não são acessíveis para um aplicativo de terceiros.

CVE Bug com link do AOSP Gravidade Versões atualizadas Data de denúncia
CVE-2016-0810 ANDROID-25781119 Alta 4.4.4, 5.0, 5.1.1, 6.0, 6.0.1 Interno do Google

Vulnerabilidade de divulgação de informações no libmediaplayerservice

Uma vulnerabilidade de divulgação de informações no libmediaplayerservice pode permitir a ignorância das medidas de segurança em vigor para aumentar a dificuldade de ataques à plataforma. Esses problemas são classificados como de alta gravidade porque também podem ser usados para acessar recursos elevados, como os privilégios de permissões Signature ou SignatureOrSystem, que não são acessíveis para aplicativos de terceiros.

CVE Bug com link do AOSP Gravidade Versões atualizadas Data de denúncia
CVE-2016-0811 ANDROID-25800375 Alta 6.0, 6.0.1 16 de novembro de 2015

Vulnerabilidade de elevação de privilégio no assistente de configuração

Uma vulnerabilidade no assistente de configuração pode permitir que um invasor malicioso ignore a proteção contra redefinição de fábrica e tenha acesso ao dispositivo. Isso é classificado como moderado porque pode permitir que alguém com acesso físico a um dispositivo contorne a proteção contra redefinição de fábrica, o que permite que um invasor redefina um dispositivo, apagando todos os dados.

CVE Bugs com links do AOSP Gravidade Versões atualizadas Data de denúncia
CVE-2016-0812 ANDROID-25229538 Moderada 5.1.1, 6.0 Interno do Google
CVE-2016-0813 ANDROID-25476219 Moderada 5.1.1, 6.0, 6.0.1 Interno do Google

Perguntas e respostas comuns

Esta seção responde a perguntas comuns que podem surgir após a leitura deste boletim.

1. Como determino se meu dispositivo está atualizado para resolver esses problemas?

As builds LMY49G ou mais recentes e o Android 6.0 com o nível de patch de segurança de 1º de fevereiro de 2016 ou mais recente resolvem esses problemas. Consulte a documentação do Nexus para instruções sobre como verificar o nível do patch de segurança. Os fabricantes de dispositivos que incluem essas atualizações precisam definir o nível da string de patch como: [ro.build.version.security_patch]:[2016-02-01]

Revisões

  • 1º de fevereiro de 2016: boletim publicado.
  • 2 de fevereiro de 2016: o boletim foi revisado para incluir links do AOSP.
  • 7 de março de 2016: o boletim foi revisado para incluir mais links do AOSP.