Nexus Güvenlik Bülteni - Mart 2016

Yayınlanma tarihi: 7 Mart 2016 | Güncelleme tarihi: 8 Mart 2016

Android Güvenlik Bülteni Aylık Yayınlama sürecimiz kapsamında, Nexus cihazlara kablosuz (OTA) güncelleme aracılığıyla bir güvenlik güncellemesi yayınladık. Nexus donanım yazılımı resimleri de Google Developers sitesinde yayınlandı. LMY49H veya sonraki yapıların yanı sıra 1 Mart 2016 veya sonraki bir güvenlik yaması düzeyine sahip Android M, bu sorunları giderir. Güvenlik yaması düzeyini kontrol etmeyle ilgili talimatlar için Nexus dokümanlarına bakın.

İş ortakları, bültenimizde açıklanan sorunlar hakkında 1 Şubat 2016'da veya daha önce bilgilendirilmiştir. Uygun durumlarda, bu sorunlara yönelik kaynak kod yamaları Android Açık Kaynak Projesi (AOSP) deposunda yayınlanmıştır.

Bu sorunlardan en ciddi olanı, medya dosyaları işlenirken e-posta, web tarayıcısı ve MMS gibi birden fazla yöntemle etkilenen cihazda uzaktan kod çalıştırmayı etkinleştirebilecek kritik bir güvenlik açığıdır. Önem değerlendirmesi, platform ve hizmet azaltmalarının geliştirme amacıyla devre dışı bırakıldığı veya başarılı bir şekilde atlandığı varsayılarak, güvenlik açığından yararlanmanın etkilenen bir cihaz üzerinde oluşturabileceği etkiye dayanır.

Yeni bildirilen bu sorunların müşteriler tarafından aktif olarak istismar edildiğine dair bir bildirim almadık. Android güvenlik platformu korumaları ve Android platformunun güvenliğini artıran SafetyNet gibi hizmet korumaları hakkında ayrıntılı bilgi için Önlemler bölümüne bakın. Tüm müşterilerin cihazlarında bu güncellemeleri kabul etmelerini öneririz.

Çözümler

Bu, Android güvenlik platformu ve SafetyNet gibi hizmet korumaları tarafından sağlanan azaltıcı önlemlerin özetidir. Bu özellikler, Android'de güvenlik açıklarının başarılı bir şekilde kötüye kullanılması olasılığını azaltır.

  • Android platformunun yeni sürümlerindeki iyileştirmeler, Android'deki birçok sorunun istismar edilmesini zorlaştırmaktadır. Tüm kullanıcıları mümkün olduğunda Android'in en son sürümüne güncellemeye teşvik ederiz.
  • Android Güvenlik Ekibi, Uygulamaları Doğrula ve SafetyNet ile kötüye kullanım olup olmadığını etkin bir şekilde izler. Bu sayede, yüklenmek üzere olan potansiyel olarak zararlı uygulamalar hakkında uyarı alırsınız. Cihaz köklendirme araçları Google Play'de yasaktır. Google Play dışından uygulama yükleyen kullanıcıları korumak için Uygulamaları Doğrula özelliği varsayılan olarak etkindir ve kullanıcıları bilinen köklendirme uygulamaları konusunda uyarır. Doğrula Uygulamalar, ayrıcalık yükseltme güvenlik açıklarından yararlanan bilinen kötü amaçlı uygulamaların yüklenmesini tespit edip engellemeye çalışır. Bu tür bir uygulama zaten yüklüyse Uygulamaları Doğrula, kullanıcıyı bilgilendirir ve bu tür uygulamaları kaldırmaya çalışır.
  • Google Hangouts ve Messenger uygulamaları, uygun olduğunda medyayı mediaserver gibi işlemlere otomatik olarak iletmez.

Teşekkür ederiz

Katkılarından dolayı aşağıdaki araştırmacılara teşekkür ederiz:

  • Google Chrome Güvenlik Ekibi'nden Abhishek Arya, Oliver Chang ve Martin Barbella: CVE-2016-0815
  • CENSUS S.A.'dan Anestis Bechtsoudis (@anestisb): CVE-2016-0816, CVE-2016-0824
  • Android Security'den Chad Brubaker: CVE-2016-0818
  • Google Project Zero Markası: CVE-2016-0820
  • Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) ve Qihoo 360'daki C0RE Ekibi'nden Xuxian Jiang: CVE-2016-0826
  • Trend Micro'dan Peter Pi (@heisecode): CVE-2016-0827, CVE-2016-0828, CVE-2016-0829
  • Scott Bauer (sbauer@eng.utah.edu, sbauer@plzdonthack.me): CVE-2016-0822
  • Trend Micro Inc.'den Wish Wu (@wish_wu): CVE-2016-0819
  • Huawei'den Yongzheng Wu ve Tieyan Li: CVE-2016-0831
  • Singapore Management Üniversitesi'nden Su Mon Kywe ve Yingjiu Li: CVE-2016-0831
  • Android Güvenlik Ekibi'nden Zach Riggle (@ebeip90): CVE-2016-0821

Güvenlik Açığı Ayrıntıları

Aşağıdaki bölümlerde, 01.03.2016 yaması düzeyi için geçerli olan güvenlik açıklarının her biri hakkında ayrıntılı bilgi verilmektedir. Sorunun açıklaması, önem düzeyi gerekçesi ve CVE, ilişkili hata, önem düzeyi, etkilenen sürümler ve bildirilme tarihi içeren bir tablo bulunur. Mümkün olduğunda, sorunu gideren AOSP değişikliğini hata kimliğine bağlayacağız. Tek bir hatayla ilgili birden fazla değişiklik olduğunda, ek AOSP referansları hata kimliğinin ardından gelen sayılara bağlanır.

Mediaserver'da Uzaktan Kod Yürütme Güvenlik Açığı

Özel olarak hazırlanmış bir medya dosyasının ve verilerinin işlenmesi sırasında mediaserver'daki güvenlik açıkları, saldırganın mediaserver işlemi olarak bellek bozulmasına ve uzaktan kod yürütmeye neden olmasına izin verebilir.

Etkilenen işlev, işletim sisteminin temel bir parçası olarak sağlanır ve uzak içerikle erişilmesine olanak tanıyan birden fazla uygulama vardır. Bunlardan en önemlileri MMS ve medya oynatıcı tarayıcıdır.

Bu sorun, mediaserver hizmeti bağlamında uzaktan kod çalıştırma olasılığı nedeniyle Kritik önem düzeyinde olarak derecelendirilmiştir. mediaserver hizmeti, ses ve video akışlarının yanı sıra üçüncü taraf uygulamalarının normalde erişemeyeceği ayrıcalıklara da erişebilir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0815 ANDROID-26365349 Kritik (Critical) 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google Dahili
CVE-2016-0816 ANDROID-25928803 Kritik (Critical) 6.0, 6.0.1 Google Dahili

libvpx'teki Uzaktan Kod Yürütme Güvenlik Açıkları

Özel olarak hazırlanmış bir medya dosyasının ve verilerinin işlenmesi sırasında mediaserver'daki güvenlik açıkları, saldırganın mediaserver işlemi olarak bellek bozulmasına ve uzaktan kod yürütmeye neden olmasına izin verebilir.

Etkilenen işlev, işletim sisteminin temel bir parçası olarak sağlanır ve uzaktan içerikle erişilmesine olanak tanıyan birden fazla uygulama vardır. Bunlardan en önemlileri MMS ve tarayıcıda medya oynatmadır.

Bu sorunlar, mediaserver hizmeti bağlamında uzaktan kod yürütme için kullanılabileceğinden Kritik olarak derecelendirilir. mediaserver hizmeti, ses ve video akışlarına ve üçüncü taraf uygulamalarının normalde erişemeyeceği ayrıcalıklara erişebilir.

CVE AOSP bağlantılarıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-1621 ANDROID-23452792 [2] [3] Kritik (Critical) 4.4.4, 5.0.2, 5.1.1, 6.0 Google Dahili

Conscrypt'te ayrıcalık yükseltme

Conscrypt'teki bir güvenlik açığı, ara sertifika yetkilisi (CA) tarafından verilen belirli bir tür geçersiz sertifikaya yanlışlıkla güvenilmesine neden olabilir. Bu, ortadaki adam saldırılarına neden olabilir. Bu sorun, ayrıcalık yükseltme ve uzaktan keyfi kod çalıştırma olasılığı nedeniyle Kritik önem düzeyinde olarak derecelendirilmiştir.

CVE AOSP bağlantılarıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0818 ANDROID-26232830 [2] Kritik (Critical) 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google Dahili

Qualcomm Performans Bileşeninde Yetki Yükseltme Güvenlik Açığı

Qualcomm performans bileşeninde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdekte keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik önem düzeyinde olarak değerlendirilir ve cihazın onarılması için işletim sisteminin yeniden yüklenmesi gerekir.

CVE Hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0819 ANDROID-25364034* Kritik (Critical) 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 29 Ekim 2015

* Bu sorunun yaması AOSP'de yoktur. Güncelleme, Google geliştirici sitesinden edinilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

MediaTek Wi-Fi Çekirdek Sürücüsünde Ayrıcalık Yükseltme Güvenlik Açığı

MediaTek Wi-Fi çekirdek sürücüsünde, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilecek bir güvenlik açığı vardır. Bu sorun, çekirdek bağlamında ayrıcalık yükseltme ve keyfi kod yürütme olasılığı nedeniyle Kritik önem düzeyinde olarak derecelendirilmiştir.

CVE Hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0820 ANDROID-26267358* Kritik (Critical) 6.0.1 18 Aralık 2015

* Bu sorunun yaması AOSP'de yoktur. Güncelleme, Google geliştirici sitesinden edinilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Çekirdek Anahtarlığı Bileşeninde Yetki Yükseltme Güvenlik Açığı

Çekirdek Anahtarlığı Bileşeni'nde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdekte keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali ve cihazın yalnızca işletim sistemini yeniden flaşlayarak onarılabilmesi nedeniyle Kritik önem düzeyinde olarak değerlendirilmiştir. Ancak Android 5.0 ve sonraki sürümlerde SELinux kuralları, üçüncü taraf uygulamalarının etkilenen koda ulaşmasını engeller.

Not: AOSP'deki yama, referans olarak aşağıdaki çekirdek sürümlerinde kullanılabilir: 4.1, 3.18, 3.14 ve 3.10.

CVE Hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0728 ANDROID-26636379 Kritik (Critical) 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11 Ocak 2016

Çekirdekteki Azaltma Baypas Güvenlik Açığı

Çekirdekteki azaltma atlama güvenlik açığı, platformdan yararlanan saldırganların zorluğunu artırmak için mevcut güvenlik önlemlerinin atlanmasına izin verebilir. Bu sorun, saldırganların platformu kötüye kullanmasını zorlaştırmak için uygulanan güvenlik önlemlerinin atlanmasına izin verebileceğinden yüksek önem düzeyinde olarak derecelendirilmiştir.

Not: Bu sorunla ilgili güncelleme Linux yayınında yer almaktadır.

CVE Hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0821 ANDROID-26186802 Yüksek 6.0.1 Google Dahili

MediaTek Bağlantı Çekirdek Sürücüsünde Yetki Yükseltme

Bir MediaTek bağlantı çekirdek sürücüsünde, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilecek ayrıcalık yükseltme güvenlik açığı vardır. Normalde bu tür bir çekirdek kodu yürütme hatası kritik olarak değerlendirilir ancak önce conn_launcher hizmetinin güvenliğinin ihlal edilmesi gerektiğinden, önem derecesinin yüksek olarak değerlendirilmesi doğrudur.

CVE Hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0822 ANDROID-25873324* Yüksek 6.0.1 24 Kasım 2015

* Bu sorunun yaması AOSP'de yoktur. Güncelleme, Google geliştirici sitesinden edinilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Çekirdekte Bilgi Açıklama Güvenlik Açığı

Çekirdekteki bir bilgi ifşa etme güvenlik açığı, platformdan yararlanan saldırganların zorluğunu artırmak için mevcut güvenlik önlemlerinin atlanmasına izin verebilir. Bu sorunlar, ayrıcalıklı bir işlemde ASLR gibi istismar azaltma teknolojilerinin yerel olarak atlanmasına izin verebileceğinden yüksek önem düzeyinde olarak değerlendirilir.

Not: Bu sorunun düzeltmesi Linux yayınında yer almaktadır.

CVE Hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0823 ANDROID-25739721* Yüksek 6.0.1 Google Dahili

* Bu sorunun yaması AOSP'de yoktur. Güncelleme, Google geliştirici sitesinden edinilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

libstagefright'ta Bilgi Açıklama Güvenlik Açığı

libstagefright'taki bir bilgi açığı, saldırganların platformdan yararlanmasını zorlaştırmak için uygulanan güvenlik önlemlerinin atlanmasına izin verebilir. Bu sorunlar, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek düzeyli özellikler elde etmek için de kullanılabileceğinden yüksek önem düzeyinde olarak değerlendirilir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0824 ANDROID-25765591 Yüksek 6.0, 6.0.1 18 Kasım 2015

Widevine'de Bilgi İfşa Etme Güvenlik Açığı

Widevine Güvenilir Uygulaması'ndaki bilgi ifşa etme güvenlik açığı, çekirdek bağlamında çalışan kodun TrustZone güvenli depolama alanındaki bilgilere erişmesine izin verebilir. Bu sorun, Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek düzeyli özellikler elde etmek için kullanılabileceğinden yüksek önem düzeyinde olarak derecelendirilmiştir.

CVE Hatalar Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0825 ANDROID-20860039* Yüksek 6.0.1 Google Dahili

* Bu sorunun yaması AOSP'de yoktur. Güncelleme, Google geliştirici sitesinden edinilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Mediaserver'da ayrıcalık yükseltme güvenlik açığı

mediaserver'da ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın ayrıcalıklı bir sistem uygulaması bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek düzeyli özellikler elde etmek için kullanılabileceğinden yüksek önem derecesine sahiptir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0826 ANDROID-26265403 [2] Yüksek 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 17 Aralık 2015
CVE-2016-0827 ANDROID-26347509 Yüksek 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 28 Aralık 2015

Mediaserver'da Bilgi İfşa Etme Güvenlik Açığı

mediaserver'da bilgi açığa çıkarma güvenlik açığı, platformdan yararlanan saldırganların zorluğunu artırmak için mevcut güvenlik önlemlerinin atlanmasına izin verebilir. Bu sorunlar, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek düzeyli özellikler elde etmek için de kullanılabileceğinden yüksek önem düzeyinde olarak değerlendirilir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0828 ANDROID-26338113 Yüksek 5.0.2, 5.1.1, 6.0, 6.0.1 27 Aralık 2015
CVE-2016-0829 ANDROID-26338109 Yüksek 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 27 Aralık 2015

Bluetooth'ta Uzaktan Hizmet Reddi Güvenlik Açığı

Bluetooth bileşenindeki uzaktan hizmet reddi güvenlik açığı, yakın bir saldırganın etkilenen bir cihaza erişimi engellemesine olanak tanıyabilir. Bir saldırgan, Bluetooth bileşeninde tanımlanan Bluetooth cihazlarının taşmasına neden olabilir. Bu durum, bellek bozulmasına ve hizmetin durmasına yol açar. Bu güvenlik açığı, Bluetooth hizmetinde Hizmet Dışı Bırakma'ya neden olduğu için yüksek önem düzeyinde olarak değerlendirilir. Bu sorun, yalnızca cihazın yeniden başlatılmasıyla düzeltilebilir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0830 ANDROID-26071376 Yüksek 6.0, 6.0.1 Google Dahili

Telefon Hizmetinde Bilgi Açıklama Güvenlik Açığı

Telefon bileşenindeki bilgi ifşa güvenlik açığı, bir uygulamanın hassas bilgilere erişmesine izin verebilir. İzinsiz olarak verilere uygunsuz şekilde erişmek için kullanılabileceğinden bu sorunun önem derecesi Orta olarak belirlenmiştir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0831 ANDROID-25778215 Orta seviye 5.0.2, 5.1.1, 6.0, 6.0.1 16 Kasım 2015

Kurulum Sihirbazı'nda Yetki Yükseltme Güvenlik Açığı

Kurulum Sihirbazı'ndaki bir güvenlik açığı, cihaza fiziksel erişimi olan bir saldırganın cihaz ayarlarına erişmesine ve manuel cihaz sıfırlaması yapmasına olanak tanıyabilir. Fabrika ayarlarına sıfırlama korumasını atlatmak için kötüye kullanılabileceğinden bu sorun orta önem düzeyinde olarak derecelendirilmiştir.

CVE Hatalar Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0832 ANDROID-25955042* Orta seviye 5.1.1, 6.0, 6.0.1 Google Dahili

* Bu güncelleme için kaynak kod yaması sağlanmamıştır.

Sık Sorulan Sorular ve Yanıtları

Bu bölümde, bu bülteni okuduktan sonra aklınıza gelebilecek sık sorulan soruların yanıtları ele alınmaktadır.

1. Cihazımın bu sorunları giderecek şekilde güncellenip güncellenmediğini nasıl öğrenebilirim?

LMY49H veya sonraki sürümler ve 1 Mart 2016 veya sonraki bir güvenlik yaması düzeyine sahip Android 6.0 bu sorunları giderir. Güvenlik yaması düzeyini kontrol etmeyle ilgili talimatlar için Nexus dokümanlarına bakın. Bu güncellemeleri içeren cihaz üreticileri, yama dizesi düzeyini şu şekilde ayarlamalıdır: [ro.build.version.security_patch]:[2016-03-01]

Düzeltmeler

  • 7 Mart 2016: Bülten yayınlandı.
  • 08 Mart 2016: Bülten, AOSP bağlantılarını içerecek şekilde düzeltildi.