Nexus Güvenlik Bülteni - Nisan 2016

Yayınlanma tarihi: 4 Nisan 2016 | Güncellenme tarihi: 19 Aralık 2016

Android Güvenlik Bülteni Aylık Yayınlama sürecimiz kapsamında, Nexus cihazlara kablosuz (OTA) güncelleme aracılığıyla bir güvenlik güncellemesi yayınladık. Nexus donanım yazılımı resimleri de Google Developers sitesinde yayınlandı. 02 Nisan 2016 veya sonraki güvenlik yaması düzeyleri bu sorunları giderir (güvenlik yaması düzeyini kontrol etme talimatları için Nexus dokümanlarına bakın).

İş ortakları, bültenimizde açıklanan sorunlar hakkında 16 Mart 2016'da veya daha önce bilgilendirilmiştir. Uygun durumlarda, bu sorunlara yönelik kaynak kod yamaları Android Açık Kaynak Projesi (AOSP) deposunda yayınlanmıştır.

Bu sorunlardan en ciddi olanı, medya dosyaları işlenirken e-posta, web tarayıcısı ve MMS gibi birden fazla yöntemle etkilenen cihazda uzaktan kod çalıştırmayı etkinleştirebilecek kritik bir güvenlik açığıdır. Önem değerlendirmesi, platform ve hizmet azaltmalarının geliştirme amacıyla devre dışı bırakıldığı veya başarılı bir şekilde atlandığı varsayılarak, güvenlik açığından yararlanmanın etkilenen bir cihaz üzerinde oluşturabileceği etkiye dayanır.

Android Güvenlik Uyarısı 18.03.2016'da, bir köklendirme uygulamasının CVE-2015-1805'i kullandığından bahsedilmiştir. CVE-2015-1805 bu güncellemeyle çözüldü. Yeni bildirilen diğer sorunların müşteriler tarafından aktif olarak istismar edildiği veya kötüye kullanıldığına dair bir bildirim bulunmuyor. Android platformunun güvenliğini artıran Android güvenlik platformu korumaları ve SafetyNet gibi hizmet korumaları hakkında daha fazla bilgi için Önlemler bölümüne bakın.

Çözümler

Bu, Android güvenlik platformu ve SafetyNet gibi hizmet korumaları tarafından sağlanan azaltıcı önlemlerin özetidir. Bu özellikler, Android'de güvenlik açıklarının başarılı bir şekilde kötüye kullanılması olasılığını azaltır.

  • Android platformunun yeni sürümlerindeki iyileştirmeler, Android'deki birçok sorunun istismar edilmesini zorlaştırmaktadır. Tüm kullanıcıları mümkün olduğunda Android'in en son sürümüne güncellemeye teşvik ederiz.
  • Android Güvenlik Ekibi, Uygulama Doğrulama ve SafetyNet ile kötüye kullanım olup olmadığını aktif olarak izler. Bu sayede, yüklenmek üzere tespit edilen potansiyel zararlı uygulamalar hakkında kullanıcıyı uyarır. Cihaz köklendirme araçları Google Play'de yasaktır. Google Play dışından uygulama yükleyen kullanıcıları korumak için Uygulamaları Doğrula özelliği varsayılan olarak etkindir ve kullanıcıları bilinen köklendirme uygulamaları hakkında uyarır. Uygulama Doğrulama, ayrıcalık yükseltme güvenlik açıklarından yararlanan bilinen kötü amaçlı uygulamaları tespit edip yüklemelerini engellemeye çalışır. Bu tür bir uygulama zaten yüklüyse Uygulama Doğrulama özelliği kullanıcıyı bilgilendirir ve bu tür uygulamaları kaldırmaya çalışır.
  • Google Hangouts ve Messenger uygulamaları, uygun olduğunda medyayı mediaserver gibi işlemlere otomatik olarak iletmez.

Teşekkür ederiz

Android Güvenlik Ekibi, katkılarından dolayı aşağıdaki araştırmacılara teşekkür eder:

Android Güvenlik Ekibi, CVE-2015-1805'e katkıda bulunan Yuan-Tsung Lo, Wenke Dou, Chiachih Wu (@chiachih_wu) ve C0RE Ekibi ile Zimperium'dan Xuxian Jiang'a da teşekkür eder.

Güvenlik Açığı Ayrıntıları

Aşağıdaki bölümlerde, 2016-04-02 yaması düzeyi için geçerli olan güvenlik açıklarının her biri hakkında ayrıntılı bilgi verilmektedir. Sorunun açıklaması, önem düzeyi gerekçesi ve CVE, ilişkili hata, önem düzeyi, etkilenen sürümler ve bildirilme tarihi içeren bir tablo bulunur. Mümkün olduğunda, sorunu gideren AOSP commit'ini hata kimliğine bağlarız. Tek bir hatayla ilgili birden fazla değişiklik olduğunda, ek AOSP referansları hata kimliğinin ardından gelen sayılara bağlanır.

DHCPCD'de Uzaktan Kod Çalıştırma Güvenlik Açığı

Dinamik Ana Makine Yapılandırması Protokolü hizmetindeki bir güvenlik açığı, saldırganların bellek bozulmasına neden olmasına ve bu da uzaktan kod yürütmeye yol açabilir. DHCP istemcisi bağlamında uzaktan kod çalıştırma olasılığı nedeniyle bu sorun kritik önem düzeyinde olarak değerlendirilir. DHCP hizmeti, üçüncü taraf uygulamalarının normalde erişemeyeceği ayrıcalıklara erişebilir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2014-6060 ANDROID-15268738 Kritik (Critical) 4.4.4 30 Temmuz 2014
CVE-2014-6060 ANDROID-16677003 Kritik (Critical) 4.4.4 30 Temmuz 2014
CVE-2016-1503 ANDROID-26461634 Kritik (Critical) 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 4 Ocak 2016

Medya codec'inde uzaktan kod yürütme güvenlik açığı

Özel olarak hazırlanmış bir dosyanın medya dosyası ve veri işleme sırasında, mediaserver tarafından kullanılan medya codec'indeki güvenlik açıkları, saldırganın mediaserver işlemi olarak bellek bozulmasına ve uzaktan kod yürütmeye neden olmasına izin verebilir.

Etkilenen işlev, işletim sisteminin temel bir parçası olarak sağlanır ve uzak içerikle erişilmesine olanak tanıyan birden fazla uygulama vardır. Bunlardan en önemlileri MMS ve medya oynatıcı tarayıcıdır.

Bu sorun, mediaserver hizmeti bağlamında uzaktan kod çalıştırma olasılığı nedeniyle Kritik önem düzeyinde olarak derecelendirilmiştir. mediaserver hizmeti, ses ve video akışlarına ve üçüncü taraf uygulamalarının normalde erişemeyeceği ayrıcalıklara erişebilir.

CVE Hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0834 ANDROID-26220548* Kritik (Critical) 6.0, 6.0.1 16 Aralık 2015

* Bu sorunun yaması AOSP'de yoktur. Güncelleme, Google geliştirici sitesinden edinilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Mediaserver'da Uzaktan Kod Yürütme Güvenlik Açığı

Özel olarak hazırlanmış bir medya dosyasının ve verilerinin işlenmesi sırasında mediaserver'daki güvenlik açıkları, saldırganın mediaserver işlemi olarak bellek bozulmasına ve uzaktan kod yürütmeye neden olmasına izin verebilir.

Etkilenen işlev, işletim sisteminin temel bir parçası olarak sağlanır ve uzak içerikle erişilmesine olanak tanıyan birden fazla uygulama vardır. Bunlardan en önemlileri MMS ve medya oynatıcı tarayıcıdır.

Bu sorun, mediaserver hizmeti bağlamında uzaktan kod çalıştırma olasılığı nedeniyle Kritik önem düzeyinde olarak derecelendirilmiştir. mediaserver hizmeti, ses ve video akışlarına ve üçüncü taraf uygulamalarının normalde erişemeyeceği ayrıcalıklara erişebilir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0835 ANDROID-26070014 [2] Kritik (Critical) 6.0, 6.0.1 6 Aralık 2015
CVE-2016-0836 ANDROID-25812590 Kritik (Critical) 6.0, 6.0.1 19 Kasım 2015
CVE-2016-0837 ANDROID-27208621 Kritik (Critical) 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11 Şubat 2016
CVE-2016-0838 ANDROID-26366256 [2] Kritik (Critical) 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google Dahili
CVE-2016-0839 ANDROID-25753245 Kritik (Critical) 6.0, 6.0.1 Google Dahili
CVE-2016-0840 ANDROID-26399350 Kritik (Critical) 6.0, 6.0.1 Google Dahili
CVE-2016-0841 ANDROID-26040840 Kritik (Critical) 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google Dahili

libstagefright'ta Uzaktan Kod Yürütme Güvenlik Açığı

Özel olarak hazırlanmış bir dosyanın medya dosyası ve veri işleme sırasında libstagefright'taki güvenlik açıkları, saldırganın mediaserver işlemi olarak bellek bozulmasına ve uzaktan kod yürütmeye neden olmasına izin verebilir.

Etkilenen işlev, işletim sisteminin temel bir parçası olarak sağlanır ve uzak içerikle erişilmesine olanak tanıyan birden fazla uygulama vardır. Bunlardan en önemlileri MMS ve medya oynatıcı tarayıcıdır.

Bu sorun, mediaserver hizmeti bağlamında uzaktan kod çalıştırma olasılığı nedeniyle Kritik önem düzeyinde olarak derecelendirilmiştir. mediaserver hizmeti, ses ve video akışlarına ve üçüncü taraf uygulamalarının normalde erişemeyeceği ayrıcalıklara erişebilir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0842 ANDROID-25818142 Kritik (Critical) 6.0, 6.0.1 23 Kasım 2015

Çekirdekte ayrıcalık yükseltme güvenlik açığı

Çekirdekteki ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdekte keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik önem düzeyinde olarak değerlendirilir ve cihazın işletim sistemini yeniden flaşlayarak onarılması gerekebilir. Bu sorun, Android Güvenlik Danışmanlığı 18.03.2016'da açıklanmıştır.

CVE Hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2015-1805 ANDROID-27275324* Kritik (Critical) 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 19 Şubat 2016

* AOSP'deki yama, belirli çekirdek sürümleri için kullanılabilir: 3.14, 3.10 ve 3.4.

Qualcomm Performans Modülü'nde Yetki Yükseltme Güvenlik Açığı

Qualcomm'un ARM işlemcileri için performans etkinliği yöneticisi bileşeninde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın çekirdekte keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik önem derecesine sahiptir ve cihazın işletim sistemini yeniden flaşlayarak onarılması gerekebilir.

CVE Hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0843 ANDROID-25801197* Kritik (Critical) 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 19 Kasım 2015

* Bu sorunun yaması AOSP'de yoktur. Güncelleme, Google geliştirici sitesinden edinilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Qualcomm RF bileşeninde yetki yükseltme güvenlik açığı

Qualcomm RF sürücüsünde, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilecek bir güvenlik açığı vardır. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik önem düzeyinde olarak değerlendirilir ve cihazın işletim sistemini yeniden flaşlayarak onarılması gerekebilir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0844 ANDROID-26324307* Kritik (Critical) 6.0, 6.0.1 25 Aralık 2015

* Bu sorunla ilgili ek bir yama Linux yayın sürümünde yer alır.

Çekirdekte ayrıcalık yükseltme güvenlik açığı

Ortak çekirdekteki ayrıcalık yükseltme güvenlik açığı, yerel kötü amaçlı bir uygulamanın çekirdekte keyfi kod çalıştırmasına olanak tanıyabilir. Bu sorun, cihazın yerel olarak kalıcı olarak güvenliğinin ihlal edilmesi ihtimali nedeniyle Kritik önem düzeyinde olarak değerlendirilir ve cihazın işletim sistemini yeniden flaşlayarak onarılması gerekebilir.

CVE AOSP bağlantılarıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2014-9322 ANDROID-26927260 [2] [3]
[4] [5] [6] [7] [8] [9] [10] [11]		 Kritik (Critical) 6.0, 6.0.1 25 Aralık 2015

IMemory Yerel Arayüzünde Yetki Yükseltme Güvenlik Açığı

IMemory Native Interface'ta ayrıcalık yükseltme güvenlik açığı, yerel bir zararlı uygulamanın üst düzey bir sistem uygulaması bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek düzeyli özellikler elde etmek için kullanılabileceğinden yüksek önem derecesine sahiptir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0846 ANDROID-26877992 Yüksek 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 29 Ocak 2016

Telekom Bileşeninde Yetki Yükseltme Güvenlik Açığı

Telekomünikasyon bileşeninde ayrıcalık yükseltme güvenlik açığı, saldırganın aramaları herhangi bir numaradan geliyormuş gibi göstermesine olanak tanıyabilir. Bu sorun, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek ayrıcalıklara yerel erişim elde etmek için kullanılabileceğinden yüksek önem derecesine sahiptir.

CVE AOSP bağlantılarıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0847 ANDROID-26864502 [2] Yüksek 5.0.2, 5.1.1, 6.0, 6.0.1 Google Dahili

İndirme Yöneticisi'nde Yetki Yükseltme Güvenlik Açığı

İndirme Yöneticisi'ndeki ayrıcalık yükseltme güvenlik açığı, saldırganların özel depolama alanındaki yetkisiz dosyalara erişmesine olanak tanıyabilir. Bu sorun, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek ayrıcalıklara yerel erişim elde etmek için kullanılabileceğinden yüksek önem derecesine sahiptir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0848 ANDROID-26211054 Yüksek 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 14 Aralık 2015

Kurtarma Prosedüründe Yetki Yükseltme Güvenlik Açığı

Kurtarma prosedürü sırasında ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın üst düzey bir sistem uygulaması bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek düzeyli özellikler elde etmek için kullanılabileceğinden yüksek önem derecesine sahiptir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0849 ANDROID-26960931 Yüksek 5.0.2, 5.1.1, 6.0, 6.0.1 3 Şubat 2016

Bluetooth'da ayrıcalık yükseltme güvenlik açığı

Bluetooth'ta ayrıcalık yükseltme güvenlik açığı, ilk eşleme işlemi sırasında güvenilmeyen bir cihazın telefonla eşlenmesine neden olabilir. Bu durum, cihaz kaynaklarına (ör. internet bağlantısı) yetkisiz erişime neden olabilir. Güvenilir olmayan cihazların erişemediği gelişmiş özellikler elde etmek için kullanılabileceğinden bu sorun yüksek önem derecesine sahiptir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-0850 ANDROID-26551752 Yüksek 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 13 Ocak 2016

Texas Instruments Dokunma Algılama Sürücüsünde Yetki Yükseltme Güvenlik Açığı

Texas Instruments dokunma duyusu çekirdek sürücüsünde, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında rastgele kod yürütmesine olanak tanıyabilecek ayrıcalık yükseltme güvenlik açığı vardır. Normalde bu tür bir çekirdek kodu yürütme hatası Kritik olarak derecelendirilir ancak öncelikle sürücüyü çağırabilen bir hizmetin güvenliğinin ihlal edilmesi gerektiğinden bunun yerine Yüksek önem düzeyinde olarak derecelendirilir.

CVE Hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2409 ANDROID-25981545* Yüksek 6.0, 6.0.1 25 Aralık 2015

* Bu sorunun yaması AOSP'de yoktur. Güncelleme, Google geliştirici sitesinden edinilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Qualcomm Video Çekirdek Sürücüsünde Yetki Yükseltme Güvenlik Açığı

Qualcomm video çekirdek sürücüsünde, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilecek ayrıcalık yükseltme güvenlik açığı vardır. Normalde çekirdek kodu yürütme güvenlik açığı Kritik olarak değerlendirilir ancak önce sürücüyü çağırabilecek bir hizmetin güvenliğinin ihlal edilmesi gerektiğinden bunun yerine Yüksek önem derecesine sahiptir.

CVE Hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2410 ANDROID-26291677* Yüksek 6.0, 6.0.1 21 Aralık 2015

* Bu sorunun yaması AOSP'de yoktur. Güncelleme, Google geliştirici sitesinden edinilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

Qualcomm Power Management bileşeninde ayrıcalık yükseltme güvenlik açığı

Qualcomm Güç Yönetimi çekirdek sürücüsünde, yerel kötü amaçlı bir uygulamanın çekirdek bağlamında keyfi kod yürütmesine olanak tanıyabilecek bir ayrıcalık yükseltme güvenlik açığı vardır. Normalde bu tür bir çekirdek kodu yürütme hatası Kritik olarak derecelendirilir ancak önce cihazın güvenliğinin ihlal edilmesi ve kök erişimi elde edilmesi gerektiğinden bunun yerine Yüksek önem düzeyinde olarak derecelendirilir.

CVE Hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2411 ANDROID-26866053* Yüksek 6.0, 6.0.1 28 Ocak 2016

* Bu sorunun yaması AOSP'de yoktur. Güncelleme, Google geliştirici sitesinden edinilebilen Nexus cihazlar için en son ikili sürücülerde yer alır.

System_server'da ayrıcalık yükseltme güvenlik açığı

System_server'da ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın ayrıcalıklı bir sistem uygulaması bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek düzeyli özellikler elde etmek için kullanılabileceğinden yüksek önem derecesine sahiptir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2412 ANDROID-26593930 Yüksek 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 15 Ocak 2016

Mediaserver'da ayrıcalık yükseltme güvenlik açığı

mediaserver'da ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın ayrıcalıklı bir sistem uygulaması bağlamında keyfi kod yürütmesine olanak tanıyabilir. Bu sorun, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek düzeyli özellikler elde etmek için kullanılabileceğinden yüksek önem derecesine sahiptir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2413 ANDROID-26403627 Yüksek 5.0.2, 5.1.1, 6.0, 6.0.1 5 Ocak 2016

Minikin'de Hizmet Reddi Güvenlik Açığı

Minikin kitaplığındaki hizmet reddi güvenlik açığı, yerel bir saldırganın etkilenen bir cihaza erişimi geçici olarak engellemesine olanak tanıyabilir. Bir saldırgan, güvenilmeyen bir yazı tipinin yüklenmesine ve Minikin bileşeninde taşmaya neden olarak kilitlenmeye yol açabilir. Hizmet Dışı Bırakma sürekli yeniden başlatma döngüsüne yol açacağı için bu sorun yüksek önem düzeyinde olarak derecelendirilmiştir.

CVE AOSP bağlantılarıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2414 ANDROID-26413177 [2] Yüksek 5.0.2, 5.1.1, 6.0, 6.0.1 3 Kasım 2015

Exchange ActiveSync'te Bilgi Açıklama Güvenlik Açığı

Exchange ActiveSync'teki bir bilgi ifşa güvenlik açığı, yerel bir kötü amaçlı uygulamanın kullanıcının özel bilgilerine erişmesine olanak tanıyabilir. Bu sorun, korunan verilere uzaktan erişime izin verdiği için yüksek önem derecesine sahiptir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2415 ANDROID-26488455 Yüksek 5.0.2, 5.1.1, 6.0, 6.0.1 11 Ocak 2016

Mediaserver'da Bilgi İfşa Etme Güvenlik Açığı

Mediaserver'da bilgi açığa çıkarma güvenlik açığı, platformdan yararlanan saldırganların zorluğunu artırmak için mevcut güvenlik önlemlerinin atlanmasına izin verebilir. Bu sorunlar, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek düzeyli özellikler elde etmek için de kullanılabileceğinden yüksek önem düzeyinde olarak değerlendirilir.

CVE AOSP bağlantılarıyla ilgili hatalar Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2416 ANDROID-27046057 [2] Yüksek 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 5 Şubat 2016
CVE-2016-2417 ANDROID-26914474 Yüksek 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 1 Şubat 2016
CVE-2016-2418 ANDROID-26324358 Yüksek 6.0, 6.0.1 24 Aralık 2015
CVE-2016-2419 ANDROID-26323455 Yüksek 6.0, 6.0.1 24 Aralık 2015

Hata Ayıklama Aracı Kullanılan Bileşende Yetki Yükseltme Güvenlik Açığı

Hata ayıklayıcı bileşeninde ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın cihazda kalıcı bir güvenlik ihlali oluşturabilecek rastgele kod yürütmesine olanak tanıyabilir. Bu nedenle, işletim sistemini yeniden flaşlayarak cihazın onarılması gerekebilir. Normalde bu tür bir kod yürütme hatası Kritik olarak değerlendirilir ancak yalnızca Android 4.4.4 sürümünde sistemden köke ayrıcalık yükseltme olanağı sağladığı için bunun yerine Orta olarak değerlendirilir. Android 5.0 ve sonraki sürümlerde SELinux kuralları, üçüncü taraf uygulamalarının etkilenen koda ulaşmasını engeller.

CVE AOSP bağlantılarıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2420 ANDROID-26403620 [2] Orta seviye 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 5 Ocak 2016

Kurulum Sihirbazı'nda Yetki Yükseltme Güvenlik Açığı

Kurulum Sihirbazı'ndaki bir güvenlik açığı, saldırganların Fabrika Ayarlarına Sıfırlama Koruması'nı atlatmasına ve cihaza erişmesine olanak tanıyabilir. Bu güvenlik açığı, cihaza fiziksel erişimi olan bir kullanıcının Fabrika Ayarlarına Sıfırlama Koruması'nı atlamasına olanak tanıdığı için orta düzeyde öneme sahiptir. Bu da saldırganların cihazı başarıyla sıfırlayıp tüm verileri silmesine olanak tanır.

CVE Hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2421 ANDROID-26154410* Orta seviye 5.1.1, 6.0, 6.0.1 Google Dahili

* Bu sorunun yaması AOSP'de yoktur. Güncelleme, Google geliştirici sitesinden indirilebilen Nexus cihazlar için en son ikili sürümde yer alır.

Kablosuz Ağda Ayrıcalık Yükseltme Güvenlik Açığı

Kablosuz ağda ayrıcalık yükseltme güvenlik açığı, yerel bir kötü amaçlı uygulamanın ayrıcalıklı bir sistem uygulaması bağlamında rastgele kod yürütmesine olanak tanıyabilir. Bu sorun, üçüncü taraf uygulamaların erişemediği Signature veya SignatureOrSystem izin ayrıcalıkları gibi yüksek düzeyli özellikler elde etmek için kullanılabileceğinden orta önem düzeyinde olarak değerlendirilmiştir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2422 ANDROID-26324357 Orta seviye 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 23 Aralık 2015

Telefonda ayrıcalık yükseltme güvenlik açığı

Telefon bölümündeki bir güvenlik açığı, saldırganların Fabrika Ayarlarına Sıfırlama Koruması'nı atlayıp cihaza erişmesine olanak sağlayabilir. Bu güvenlik açığı, cihaza fiziksel erişimi olan bir kullanıcının Fabrika Ayarlarına Sıfırlama Koruması'nı atlamasına olanak tanıdığı için orta düzeyde öneme sahiptir. Bu da saldırganların cihazı başarıyla sıfırlayıp tüm verileri silmesine olanak tanır.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2423 ANDROID-26303187 Orta seviye 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google Dahili

SyncStorageEngine'da Hizmet Reddi Güvenlik Açığı

SyncStorageEngine'daki bir hizmet reddi güvenlik açığı, yerel kötü amaçlı bir uygulamanın yeniden başlatma döngüsüne neden olmasına neden olabilir. Bu sorun, yerel olarak geçici bir hizmet kesintisi oluşturmak için kullanılabileceği ve bunun fabrika ayarlarına sıfırlamayla düzeltilmesi gerekebileceği için orta önem derecesine sahiptir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2424 ANDROID-26513719 Orta seviye 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google Dahili

AOSP Mail'de Bilgi Açıklama Güvenlik Açığı

AOSP Mail'deki bir bilgi ifşa güvenlik açığı, yerel bir kötü amaçlı uygulamanın kullanıcının gizli bilgilerine erişmesine olanak tanıyabilir. "Tehlikeli" izinleri uygunsuz şekilde kazanmak için kullanılabileceğinden bu sorun orta önem düzeyinde olarak derecelendirilmiştir.

CVE AOSP bağlantısıyla ilgili hatalar Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2425 ANDROID-26989185 Orta seviye 4.4.4, 5.1.1, 6.0, 6.0.1 29 Ocak 2016
CVE-2016-2425 ANDROID-7154234* Orta seviye 5.0.2 29 Ocak 2016

* Bu sorunun yaması AOSP'de yoktur. Güncelleme, Google geliştirici sitesinden indirilebilen Nexus cihazlar için en son ikili sürümde yer alır.

Çerçevedeki Bilgi İfşa Güvenlik Açığı

Framework bileşenindeki bilgi ifşa güvenlik açığı, bir uygulamanın hassas bilgilere erişmesine olanak tanıyabilir. İzinsiz olarak verilere yanlış şekilde erişmek için kullanılabileceğinden bu sorunun önem derecesi Orta olarak belirlenmiştir.

CVE AOSP bağlantısıyla ilgili hata Önem derecesi Güncellenmiş sürümler Bildirim tarihi
CVE-2016-2426 ANDROID-26094635 Orta seviye 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 8 Aralık 2015

Sık Sorulan Sorular ve Yanıtları

Bu bölümde, bu bülteni okuduktan sonra aklınıza gelebilecek sık sorulan soruların yanıtları ele alınmaktadır.

1. Cihazımın bu sorunları giderecek şekilde güncellenip güncellenmediğini nasıl öğrenebilirim?

2 Nisan 2016 veya sonraki güvenlik yaması düzeyleri bu sorunları giderir (güvenlik yaması düzeyini kontrol etme talimatları için Nexus dokümanlarına bakın). Bu güncellemeleri içeren cihaz üreticileri, yama dizesi düzeyini şu şekilde ayarlamalıdır: [ro.build.version.security_patch]:[2016-04-02]

2. Güvenlik yaması düzeyi neden 2 Nisan 2016?

Aylık güvenlik güncellemesi için güvenlik yaması düzeyi normalde ayın ilk gününe ayarlanır. Nisan ayı için 1 Nisan 2016 güvenlik yaması düzeyi, Android Güvenlik Danışmanlığı 2016-03-18'de açıklandığı üzere CVE-2015-1805 hariç bu bültendeki tüm sorunların giderildiğini gösterir. 2 Nisan 2016 güvenlik yaması düzeyi, Android Güvenlik Danışmanlığı 2016-03-18'de açıklandığı üzere CVE-2015-1805 dahil olmak üzere bu bültendeki tüm sorunların giderildiğini gösterir.

Düzeltmeler

  • 4 Nisan 2016: Bülten yayınlandı.
  • 06 Nisan 2016: Bülten, AOSP bağlantılarını içerecek şekilde düzeltildi.
  • 7 Nisan 2016: Bülten, ek bir AOSP bağlantısı içerecek şekilde düzeltildi.
  • 11 Temmuz 2016: CVE-2016-2427 açıklamasını güncelledik.
  • 01 Ağustos 2016: CVE-2016-2427 açıklamasını güncelledik
  • 19 Aralık 2016: Geri alınan CVE-2016-2427'nin kaldırılması için güncellendi.