Boletín de seguridad de Nexus: marzo de 2016

Publicado el 7 de marzo de 2016 | Actualizado el 8 de marzo de 2016

Lanzamos una actualización de seguridad para dispositivos Nexus mediante una actualización por aire (OTA) como parte de nuestro proceso de lanzamiento mensual de boletines de seguridad de Android. Las imágenes del firmware de Nexus también se lanzaron en el sitio de Google Developer. Las compilaciones LMY49H o posteriores y Android M con el nivel de parche de seguridad del 1 de marzo de 2016 o posterior abordan estos problemas. Consulta la documentación de Nexus para obtener instrucciones sobre cómo verificar el nivel de parche de seguridad.

Los socios recibieron una notificación sobre los problemas descritos en el boletín el 1 de febrero de 2016 o antes. Cuando corresponda, los parches de código fuente para estos problemas se publicaron en el repositorio del Proyecto de código abierto de Android (AOSP).

El más grave de estos problemas es una vulnerabilidad de seguridad crítica que podría permitir la ejecución de código remoto en un dispositivo afectado a través de varios métodos, como el correo electrónico, la navegación web y los MMS cuando se procesan archivos multimedia. La evaluación de gravedad se basa en el efecto que podría tener la explotación de la vulnerabilidad en un dispositivo afectado, siempre y cuando las mitigaciones de la plataforma y el servicio estén inhabilitadas para fines de desarrollo o si se eluden correctamente.

No recibimos informes de clientes que estén aprovechando estos problemas informados recientemente. Consulta la sección Mitigaciones para obtener detalles sobre las protecciónes de la plataforma de seguridad de Android y las protecciones de servicios, como SafetyNet, que mejoran la seguridad de la plataforma de Android. Recomendamos a todos los clientes que acepten estas actualizaciones en sus dispositivos.

Mitigaciones

Este es un resumen de las mitigaciones que proporciona la plataforma de seguridad de Android y las protecciones de servicios, como SafetyNet. Estas funciones reducen la probabilidad de que se puedan explotar vulnerabilidades de seguridad de forma exitosa en Android.

  • Las mejoras en las versiones más recientes de la plataforma de Android dificultan el aprovechamiento de muchos problemas en Android. Recomendamos a todos los usuarios que actualicen a la versión más reciente de Android siempre que sea posible.
  • El equipo de Seguridad de Android supervisa de forma activa los abusos con Verify Apps y SafetyNet, que advertirán sobre las aplicaciones potencialmente dañinas que se instalarán. Las herramientas de acceso raíz de dispositivos están prohibidas en Google Play. Para proteger a los usuarios que instalan aplicaciones fuera de Google Play, Verificar aplicaciones está habilitado de forma predeterminada y les advertirá a los usuarios sobre las aplicaciones de acceso raíz conocidas. Verify Apps intenta identificar y bloquear la instalación de aplicaciones maliciosas conocidas que explotan una vulnerabilidad de elevación de privilegios. Si ya se instaló una aplicación de este tipo, Verificar aplicaciones le notificará al usuario y intentará quitarla.
  • Según corresponda, las aplicaciones de Google Hangouts y Messenger no pasan contenido multimedia automáticamente a procesos como mediaserver.

Agradecimientos

Queremos agradecer a los siguientes investigadores por sus contribuciones:

  • Abhishek Arya, Oliver Chang y Martin Barbella, del equipo de seguridad de Google Chrome: CVE-2016-0815
  • Anestis Bechtsoudis (@anestisb) de CENSUS S.A.: CVE-2016-0816 y CVE-2016-0824
  • Chad Brubaker, de Seguridad de Android: CVE-2016-0818
  • Marca de Mark de Google Project Zero: CVE-2016-0820
  • Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) y Xuxian Jiang del equipo C0RE de Qihoo 360: CVE-2016-0826
  • Peter Pi (@heisecode) de Trend Micro: CVE-2016-0827, CVE-2016-0828, CVE-2016-0829
  • Scott Bauer (sbauer@eng.utah.edu, sbauer@plzdonthack.me): CVE-2016-0822
  • Wish Wu (@wish_wu) de Trend Micro Inc.: CVE-2016-0819
  • Yongzheng Wu y Tieyan Li de Huawei: CVE-2016-0831
  • Su Mon Kywe y Yingjiu Li de la Singapore Management University: CVE-2016-0831
  • Zach Riggle (@ebeip90) del equipo de seguridad de Android: CVE-2016-0821

Detalles de la vulnerabilidad de seguridad

En las siguientes secciones, proporcionamos detalles sobre cada una de las vulnerabilidades de seguridad que se aplican al nivel de parche del 1 de marzo de 2016. Hay una descripción del problema, una justificación de la gravedad y una tabla con el CVE, el error asociado, la gravedad, las versiones afectadas y la fecha en que se informó. Cuando esté disponible, vincularemos el cambio de AOSP que solucionó el problema al ID de error. Cuando varios cambios se relacionan con un solo error, las referencias adicionales de AOSP se vinculan a números que siguen al ID del error.

Remote Code Execution Vulnerability in Mediaserver

Durante el procesamiento de datos y archivos multimedia de un archivo creado especialmente, las vulnerabilidades en mediaserver podrían permitir que un atacante cause daños en la memoria y ejecución de código remoto durante el proceso de mediaserver.

La funcionalidad afectada se proporciona como una parte principal del sistema operativo, y hay varias aplicaciones que permiten acceder a ella con contenido remoto, en particular, MMS y reproducción de contenido multimedia en el navegador.

Este problema se calificó como de gravedad crítica debido a la posibilidad de ejecución de código remoto en el contexto del servicio de mediaserver. El servicio de mediaserver tiene acceso a transmisiones de audio y video, así como a privilegios a los que las apps de terceros no suelen tener acceso.

CVE Errores con vínculos del AOSP Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0815 ANDROID-26365349 Crítico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Interna de Google
CVE-2016-0816 ANDROID-25928803 Crítico 6.0 y 6.0.1 Interna de Google

Vulnerabilidades de ejecución de código remoto en libvpx

Durante el procesamiento de datos y archivos multimedia de un archivo creado especialmente, las vulnerabilidades en mediaserver podrían permitir que un atacante cause daños en la memoria y ejecución de código remoto durante el proceso de mediaserver.

La funcionalidad afectada se proporciona como una parte principal del sistema operativo y existen varias aplicaciones que permiten acceder a ella con contenido remoto, en particular, MMS y reproducción de contenido multimedia en el navegador.

Los problemas se clasifican como de gravedad crítica porque se podrían usar para la ejecución de código remoto en el contexto del servicio de mediaserver. El servicio de mediaserver tiene acceso a transmisiones de audio y video, así como a privilegios a los que las apps de terceros no pueden acceder de forma normal.

CVE Error con los vínculos del AOSP Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-1621 ANDROID-23452792 [2] [3] Crítico 4.4.4, 5.0.2, 5.1.1, 6.0 Interna de Google

Elevación de privilegios en Conscrypt

Una vulnerabilidad en Conscrypt podría permitir que se confíe de forma incorrecta en un tipo específico de certificado no válido emitido por una autoridad certificadora (AC) intermedia. Esto puede habilitar un ataque de intermediario. Este problema se calificó como de gravedad crítica debido a la posibilidad de una elevación de privilegios y una ejecución remota de código arbitraria.

CVE Error con los vínculos del AOSP Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0818 ANDROID-26232830 [2] Crítico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Interna de Google

Vulnerabilidad de elevación de privilegios en el componente de rendimiento de Qualcomm

Una vulnerabilidad de elevación de privilegios en el componente de rendimiento de Qualcomm podría permitir que una aplicación maliciosa local ejecute código arbitrario en el kernel. Este problema se clasifica como de gravedad crítica debido a la posibilidad de que se produzca una vulneración permanente del dispositivo local, y el dispositivo solo se puede reparar si se vuelve a escribir el sistema operativo.

CVE Error Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0819 ANDROID-25364034* Crítico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 29 de octubre de 2015

* El parche para este problema no está en AOSP. La actualización se incluye en los controladores binarios más recientes para dispositivos Nexus disponibles en el sitio de Google Developer.

Vulnerabilidad de elevación de privilegios en el controlador de kernel de Wi-Fi de MediaTek

Hay una vulnerabilidad en el controlador de kernel de Wi-Fi de MediaTek que podría permitir que una aplicación maliciosa local ejecute código arbitrario en el contexto del kernel. Este problema se calificó como de gravedad crítica debido a la posibilidad de elevación de privilegios y ejecución de código arbitraria en el contexto del kernel.

CVE Error Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0820 ANDROID-26267358* Crítico 6.0.1 18 de dic de 2015

* El parche para este problema no está en AOSP. La actualización se incluye en los controladores binarios más recientes para dispositivos Nexus disponibles en el sitio de Google Developer.

Vulnerabilidad de elevación de privilegios en el componente del llavero del kernel

Una vulnerabilidad de elevación de privilegios en el componente del llavero del kernel podría permitir que una aplicación maliciosa local ejecute código arbitrario dentro del kernel. Este problema se clasifica como de gravedad crítica debido a la posibilidad de que se produzca una vulneración permanente del dispositivo local y, en ese caso, solo se podría reparar si se vuelve a escribir en la memoria flash el sistema operativo. Sin embargo, en las versiones 5.0 y posteriores de Android, las reglas de SELinux impiden que las aplicaciones de terceros accedan al código afectado.

Nota: A modo de referencia, el parche en AOSP está disponible para versiones específicas del kernel: 4.1, 3.18, 3.14 y 3.10.

CVE Error Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0728 ANDROID-26636379 Crítico 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11 de ene de 2016

Vulnerabilidad de omisión de mitigación en el kernel

Una vulnerabilidad de omisión de mitigación en el kernel podría permitir omitir las medidas de seguridad existentes para aumentar la dificultad de los atacantes que explotan la plataforma. Este problema se calificó como de gravedad alta porque podría permitir eludir las medidas de seguridad existentes para aumentar la dificultad de los atacantes que aprovechen la plataforma.

Nota: La actualización de este problema se encuentra en la versión upstream de Linux.

CVE Error Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0821 ANDROID-26186802 Alto 6.0.1 Interna de Google

Elevación de privilegios en el controlador de kernel de conectividad de MediaTek

Hay una vulnerabilidad de elevación de privilegios en un controlador de kernel de conectividad MediaTek que podría permitir que una aplicación maliciosa local ejecute código arbitrario dentro del contexto del kernel. Por lo general, un error de ejecución de código del kernel como este se clasificaría como crítico, pero como primero requiere vulnerar el servicio conn_launcher, justifica una baja a la clasificación de gravedad alta.

CVE Error Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0822 ANDROID-25873324* Alto 6.0.1 24 de noviembre de 2015

* El parche para este problema no está en AOSP. La actualización se incluye en los controladores binarios más recientes para dispositivos Nexus disponibles en el sitio de Google Developer.

Vulnerabilidad de divulgación de información en el kernel

Una vulnerabilidad de divulgación de información en el kernel podría permitir eludir las medidas de seguridad existentes para aumentar la dificultad de los atacantes que explotan la plataforma. Estos problemas se clasifican como de gravedad alta porque podrían permitir un bypass local de las tecnologías de mitigación de exploits, como ASLR, en un proceso con privilegios.

Nota: La solución a este problema se encuentra en la versión upstream de Linux.

CVE Error Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0823 ANDROID-25739721* Alto 6.0.1 Interna de Google

* El parche para este problema no está en AOSP. La actualización se incluye en los controladores binarios más recientes para dispositivos Nexus disponibles en el sitio de Google Developer.

Vulnerabilidad de divulgación de información en libstagefright

Una vulnerabilidad de divulgación de información en libstagefright podría permitir eludir las medidas de seguridad implementadas para aumentar la dificultad de los atacantes que explotan la plataforma. Estos problemas se clasifican como de gravedad alta porque también se pueden usar para obtener capacidades elevadas, como los privilegios de permisos de Signature o SignatureOrSystem, a los que no pueden acceder las aplicaciones de terceros.

CVE Error con el vínculo del AOSP Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0824 ANDROID-25765591 Alto 6.0 y 6.0.1 18 de noviembre de 2015

Vulnerabilidad de divulgación de información en Widevine

Una vulnerabilidad de divulgación de información en la aplicación de confianza de Widevine podría permitir que el código que se ejecuta en el contexto del kernel acceda a la información en el almacenamiento seguro de TrustZone. Este problema se calificó como de gravedad alta porque podría usarse para obtener capacidades elevadas, como privilegios de permisos de Signature o SignatureOrSystem.

CVE Errores Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0825 ANDROID-20860039* Alto 6.0.1 Interna de Google

* El parche para este problema no está en AOSP. La actualización se incluye en los controladores binarios más recientes para dispositivos Nexus disponibles en el sitio de Google Developer.

Vulnerabilidad de elevación de privilegios en Mediaserver

Una vulnerabilidad de elevación de privilegios en mediaserver podría permitir que una aplicación maliciosa local ejecute código arbitrario en el contexto de una aplicación del sistema elevada. Este problema se calificó como de gravedad alta porque se podría usar para obtener capacidades elevadas, como los privilegios de permisos de Signature o SignatureOrSystem, a los que no puede acceder una aplicación de terceros.

CVE Errores con vínculos del AOSP Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0826 ANDROID-26265403 [2] Alto 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 17 de diciembre de 2015
CVE-2016-0827 ANDROID-26347509 Alto 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 28 de dic de 2015

Vulnerabilidad de divulgación de información en Mediaserver

Una vulnerabilidad de divulgación de información en mediaserver podría permitir eludir las medidas de seguridad existentes para aumentar la dificultad de los atacantes que explotan la plataforma. Estos problemas se clasifican como de gravedad alta porque también se pueden usar para obtener capacidades elevadas, como los privilegios de permisos de Signature o SignatureOrSystem, a los que no pueden acceder las aplicaciones de terceros.

CVE Errores con vínculos del AOSP Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0828 ANDROID-26338113 Alto 5.0.2, 5.1.1, 6.0, 6.0.1 27 de diciembre de 2015
CVE-2016-0829 ANDROID-26338109 Alto 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 27 de diciembre de 2015

Denegación del servicio remota en Bluetooth

Una vulnerabilidad de denegación del servicio remota en el componente Bluetooth podría permitir que un atacante cercano bloquee el acceso a un dispositivo afectado. Un atacante podría causar un desbordamiento de dispositivos Bluetooth identificados en el componente Bluetooth, lo que provocaría la corrupción de la memoria y la detención del servicio. Tiene una calificación de gravedad alta porque genera un ataque de denegación del servicio al servicio de Bluetooth, que solo se podría solucionar con un restablecimiento del dispositivo.

CVE Error con el vínculo del AOSP Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0830 ANDROID-26071376 Alto 6.0 y 6.0.1 Interna de Google

Vulnerabilidad de divulgación de información en telefonía

Una vulnerabilidad de divulgación de información en el componente de telefonía podría permitir que una aplicación acceda a información sensible. Este problema se calificó como de gravedad moderada porque se podría usar para acceder de forma inadecuada a los datos sin permiso.

CVE Error con el vínculo del AOSP Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0831 ANDROID-25778215 Moderada 5.0.2, 5.1.1, 6.0, 6.0.1 16 de noviembre de 2015

Vulnerabilidad de elevación de privilegios en el asistente de configuración

Una vulnerabilidad en el Asistente de configuración podría permitir que un atacante que tuviera acceso físico al dispositivo obtuviera acceso a la configuración del dispositivo y realizara un restablecimiento manual del dispositivo. Este problema se calificó como de gravedad moderada porque se podría usar para evitar de forma incorrecta la protección de restablecimiento de la configuración de fábrica.

CVE Errores Gravedad Versiones actualizadas Fecha de denuncia
CVE-2016-0832 ANDROID-25955042* Moderada 5.1.1, 6.0, 6.0.1 Interna de Google

* No se proporciona un parche de código fuente para esta actualización.

Preguntas y respuestas frecuentes

En esta sección, se revisan las respuestas a preguntas frecuentes que pueden surgir después de leer este boletín.

1. ¿Cómo puedo determinar si mi dispositivo está actualizado para solucionar estos problemas?

Las compilaciones LMY49H o posteriores y Android 6.0 con el nivel de parche de seguridad del 1 de marzo de 2016 o una versión posterior abordan estos problemas. Consulta la documentación de Nexus para obtener instrucciones sobre cómo verificar el nivel de parche de seguridad. Los fabricantes de dispositivos que incluyen estas actualizaciones deben establecer el nivel de la cadena de parches en [ro.build.version.security_patch]:[2016-03-01].

Revisiones

  • 7 de marzo de 2016: Se publicó el boletín.
  • 8 de marzo de 2016: Se revisó el boletín para incluir vínculos de AOSP.