Bollettino sulla sicurezza di Nexus: aprile 2016

Pubblicato il 04 aprile 2016 | Aggiornato il 19 dicembre 2016

Abbiamo rilasciato un aggiornamento di sicurezza per i dispositivi Nexus tramite un aggiornamento over-the-air (OTA) come parte del nostro processo di rilascio mensile del Bollettino sulla sicurezza Android. Le immagini del firmware Nexus sono state rilasciate anche al sito degli sviluppatori di Google . I livelli di patch di sicurezza del 2 aprile 2016 o successivi risolvono questi problemi (consultare la documentazione di Nexus per istruzioni su come controllare il livello di patch di sicurezza).

I partner sono stati informati dei problemi descritti nel bollettino il 16 marzo 2016 o prima. Ove applicabile, le patch del codice sorgente per questi problemi sono state rilasciate nel repository Android Open Source Project (AOSP).

Il più grave di questi problemi è una vulnerabilità di sicurezza critica che potrebbe consentire l'esecuzione di codice in modalità remota su un dispositivo interessato tramite più metodi come e-mail, navigazione Web e MMS durante l'elaborazione di file multimediali. La valutazione della gravità si basa sull'effetto che lo sfruttamento della vulnerabilità potrebbe avere su un dispositivo interessato, supponendo che la piattaforma e le attenuazioni del servizio siano disabilitate per scopi di sviluppo o se bypassate correttamente.

Android Security Advisory 2016-03-18 precedentemente discusso l'uso di CVE-2015-1805 da un'applicazione di rooting. CVE-2015-1805 è stato risolto in questo aggiornamento. Non sono state segnalate segnalazioni di sfruttamento attivo da parte dei clienti o abuso degli altri problemi segnalati di recente. Fare riferimento alla sezione Mitigazioni per ulteriori dettagli sulle protezioni della piattaforma di sicurezza Android e sulle protezioni dei servizi come SafetyNet, che migliorano la sicurezza della piattaforma Android.

Mitigazioni

Questo è un riepilogo delle attenuazioni fornite dalla piattaforma di sicurezza Android e dalle protezioni del servizio come SafetyNet. Queste funzionalità riducono la probabilità che le vulnerabilità della sicurezza possano essere sfruttate con successo su Android.

• Lo sfruttamento per molti problemi su Android è reso più difficile dai miglioramenti nelle versioni più recenti della piattaforma Android. Incoraggiamo tutti gli utenti ad aggiornare all'ultima versione di Android, ove possibile.
• Il team di sicurezza di Android sta monitorando attivamente gli abusi con Verifica app e SafetyNet, che avviseranno l'utente delle applicazioni potenzialmente dannose rilevate che stanno per essere installate. Gli strumenti di rooting del dispositivo sono vietati all'interno di Google Play. Per proteggere gli utenti che installano applicazioni al di fuori di Google Play, Verifica app è abilitato per impostazione predefinita e avviserà gli utenti delle applicazioni di rooting note. Verifica app tenta di identificare e bloccare l'installazione di applicazioni dannose note che sfruttano una vulnerabilità di escalation dei privilegi. Se tale applicazione è già stata installata, Verifica app avviserà l'utente e tenterà di rimuovere tali applicazioni.
• A seconda dei casi, le applicazioni Google Hangouts e Messenger non trasmettono automaticamente i file multimediali a processi come mediaserver.

Ringraziamenti

Il team di Android Security desidera ringraziare questi ricercatori per i loro contributi:

• Abhishek Arya, Oliver Chang e Martin Barbella del team di sicurezza di Google Chrome: CVE-2016-0834, CVE-2016-0841, CVE-2016-0840, CVE-2016-0839, CVE-2016-0838
• Anestis Bechtsoudis ( @anestisb ) di CENSUS SA: CVE-2016-0842, CVE-2016-0836, CVE-2016-0835
• Brad Ebinger e Santos Cordon del team di Google Telecom: CVE-2016-0847
• Dominik Schürmann dell'Istituto per i sistemi operativi e le reti di computer , TU Braunschweig: CVE-2016-2425
• Gengjia Chen ( @chengjia4574 ), pjf , Jianqiang Zhao ( @jianqiangzhao ) di IceSword Lab, Qihoo 360: CVE-2016-0844
• George Piskas dell'École polytechnique fédérale de Lausanne : CVE-2016-2426
• Guang Gong (龚广) ( @oldfresher ) di Qihoo 360 Technology Co.Ltd : CVE-2016-2412, CVE-2016-2416
• James Forshaw di Google Project Zero: CVE-2016-2417, CVE-2016-0846
• Jianqiang Zhao( @jianqiangzhao ), pjf e Gengjia Chen ( @chengjia4574 ) di IceSword Lab, Qihoo 360: CVE-2016-2410, CVE-2016-2411
• Jianqiang Zhao ( @jianqiangzhao ) e pjf di IceSword Lab, Qihoo 360: CVE-2016-2409
• Nancy Wang di Vertu Corporation LTD: CVE-2016-0837
• Nasim Zamir : CVE-2016-2409
• Nico Golde ( @iamnion ) di Qualcomm Product Security Initiative: CVE-2016-2420, CVE-2016-0849
• Peter Pi ( @heisecode ) di Trend Micro: CVE-2016-2418, CVE-2016-2413, CVE-2016-2419
• Richard Shupak: CVE-2016-2415
• Romain Trouvé di MWR Labs : CVE-2016-0850
• Stuart Henderson: CVE-2016-2422
• Vishwath Mohan di Android Security: CVE-2016-2424
• Weichao Sun ( @sunblate ) di Alibaba Inc.: CVE-2016-2414
• Wish Wu ( @wish_wu ) di Trend Micro Inc.: CVE-2016-0843
• Yeonjoon Lee e Xiaofeng Wang dell'Università dell'Indiana Bloomington, Tongxin Li e Xinhui Han dell'Università di Pechino: CVE-2016-0848

Il team di Android Security ringrazia anche Yuan-Tsung Lo , Wenke Dou , Chiachih Wu ( @chiachih_wu ) e Xuxian Jiang di C0RE Team e Zimperium per il loro contributo a CVE-2015-1805.

Dettagli vulnerabilità di sicurezza

Le sezioni seguenti contengono i dettagli per ciascuna delle vulnerabilità di sicurezza che si applicano al livello di patch 2016-04-02. C'è una descrizione del problema, una logica di gravità e una tabella con il CVE, il bug associato, la gravità, le versioni interessate e la data segnalata. Quando disponibile, collegheremo il commit AOSP che ha risolto il problema all'ID del bug. Quando più modifiche si riferiscono a un singolo bug, ulteriori riferimenti AOSP sono collegati a numeri che seguono l'ID del bug.

Vulnerabilità nell'esecuzione di codice in remoto in DHCPCD

Una vulnerabilità nel servizio Dynamic Host Configuration Protocol potrebbe consentire a un utente malintenzionato di causare il danneggiamento della memoria, che potrebbe portare all'esecuzione di codice in modalità remota. Questo problema è classificato come severità critica a causa della possibilità di esecuzione di codice in modalità remota nel contesto del client DHCP. Il servizio DHCP ha accesso a privilegi a cui normalmente le app di terze parti non potrebbero accedere.

Vulnerabilità nell'esecuzione di codice in modalità remota nel codec multimediale

Durante l'elaborazione di file multimediali e dati di un file appositamente predisposto, le vulnerabilità in un codec multimediale utilizzato da mediaserver possono consentire a un utente malintenzionato di causare il danneggiamento della memoria e l'esecuzione di codice in modalità remota come processo mediaserver.

La funzionalità interessata è fornita come parte fondamentale del sistema operativo e sono disponibili più applicazioni che consentono di raggiungerla con contenuti remoti, in particolare MMS e riproduzione di file multimediali tramite browser.

Questo problema è considerato di gravità critica a causa della possibilità di esecuzione di codice in modalità remota nel contesto del servizio mediaserver. Il servizio mediaserver ha accesso a flussi audio e video, nonché accesso a privilegi a cui normalmente le app di terze parti non potrebbero accedere.

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto negli ultimi driver binari per i dispositivi Nexus disponibili sul sito Google Developer .

Vulnerabilità nell'esecuzione di codice in remoto in Mediaserver

Durante l'elaborazione di file multimediali e dati di un file appositamente predisposto, le vulnerabilità in mediaserver possono consentire a un utente malintenzionato di causare il danneggiamento della memoria e l'esecuzione di codice in modalità remota come processo mediaserver.

La funzionalità interessata è fornita come parte fondamentale del sistema operativo e sono disponibili più applicazioni che consentono di raggiungerla con contenuti remoti, in particolare MMS e riproduzione di file multimediali tramite browser.

Questo problema è considerato di gravità critica a causa della possibilità di esecuzione di codice in modalità remota nel contesto del servizio mediaserver. Il servizio mediaserver ha accesso a flussi audio e video, nonché accesso a privilegi a cui normalmente le app di terze parti non potrebbero accedere.

Vulnerabilità nell'esecuzione di codice in remoto in libstagefright

Durante l'elaborazione dei file multimediali e dei dati di un file appositamente predisposto, le vulnerabilità in libstagefright possono consentire a un utente malintenzionato di causare il danneggiamento della memoria e l'esecuzione di codice in modalità remota come processo del server multimediale.

La funzionalità interessata è fornita come parte fondamentale del sistema operativo e sono disponibili più applicazioni che consentono di raggiungerla con contenuti remoti, in particolare MMS e riproduzione di file multimediali tramite browser.

Questo problema è classificato come Critico a causa della possibilità di esecuzione di codice in modalità remota nel contesto del servizio mediaserver. Il servizio mediaserver ha accesso a flussi audio e video, nonché accesso a privilegi a cui normalmente le app di terze parti non potrebbero accedere.

Elevazione della vulnerabilità dei privilegi nel kernel

Una vulnerabilità legata all'acquisizione di privilegi più elevati nel kernel potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario all'interno del kernel. Questo problema è classificato come gravità critica a causa della possibilità di una compromissione permanente del dispositivo locale e il dispositivo potrebbe dover essere riparato aggiornando il sistema operativo. Questo problema è stato descritto in Android Security Advisory 2016-03-18 .

* La patch in AOSP è disponibile per versioni specifiche del kernel: 3.14 , 3.10 e 3.4 .

Aumento della vulnerabilità dei privilegi nel modulo delle prestazioni di Qualcomm

Una vulnerabilità legata all'elevazione dei privilegi nel componente Performance Event Manager per i processori ARM di Qualcomm potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario all'interno del kernel. Questo problema è classificato come gravità critica a causa della possibilità di una compromissione permanente del dispositivo locale e il dispositivo potrebbe dover essere riparato aggiornando il sistema operativo.

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto negli ultimi driver binari per i dispositivi Nexus disponibili sul sito Google Developer .

Aumento della vulnerabilità dei privilegi nel componente RF di Qualcomm

Esiste una vulnerabilità nel driver Qualcomm RF che potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto del kernel. Questo problema è classificato come gravità critica a causa della possibilità di una compromissione permanente del dispositivo locale e il dispositivo potrebbe dover essere riparato aggiornando il sistema operativo.

* Una patch aggiuntiva per questo problema si trova in Linux a monte .

Elevazione della vulnerabilità dei privilegi nel kernel

Una vulnerabilità legata all'acquisizione di privilegi più elevati nel kernel comune potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel kernel. Questo problema è classificato come di gravità critica a causa della possibilità di una compromissione permanente del dispositivo locale e il dispositivo potrebbe dover essere riparato aggiornando nuovamente il sistema operativo.

Elevazione della vulnerabilità dei privilegi nell'interfaccia nativa di IMemory

Una vulnerabilità legata all'acquisizione di privilegi più elevati nell'interfaccia nativa di IMemory potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto di un'applicazione di sistema con privilegi elevati. Questo problema è classificato con gravità elevata perché potrebbe essere utilizzato per ottenere funzionalità elevate, ad esempio i privilegi di autorizzazione Firma o Firma o Sistema, che non sono accessibili a un'applicazione di terze parti.

Elevazione della vulnerabilità dei privilegi nella componente delle telecomunicazioni

Una vulnerabilità legata all'acquisizione di privilegi più elevati nel componente Telecom potrebbe consentire a un utente malintenzionato di far sembrare che le chiamate provengano da qualsiasi numero arbitrario. Questo problema è classificato come di gravità elevata perché potrebbe essere utilizzato per ottenere l'accesso locale a funzionalità elevate, come i privilegi di autorizzazione Firma o Firma o Sistema, che non sono accessibili a un'applicazione di terze parti.

Aumento della vulnerabilità dei privilegi in Download Manager

Una vulnerabilità legata all'acquisizione di privilegi più elevati in Download Manager potrebbe consentire a un utente malintenzionato di accedere a file non autorizzati nella memoria privata. Questo problema è classificato come di gravità elevata perché potrebbe essere utilizzato per ottenere l'accesso locale a funzionalità elevate, come i privilegi di autorizzazione Firma o Firma o Sistema, che non sono accessibili a un'applicazione di terze parti.

Elevazione della vulnerabilità dei privilegi nella procedura di recupero

Una vulnerabilità legata all'acquisizione di privilegi più elevati nella procedura di ripristino potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto di un'applicazione di sistema con privilegi elevati. Questo problema è classificato con gravità elevata perché potrebbe essere utilizzato per ottenere funzionalità elevate, ad esempio i privilegi di autorizzazione Firma o Firma o Sistema, che non sono accessibili a un'applicazione di terze parti.

Aumento della vulnerabilità dei privilegi in Bluetooth

Una vulnerabilità legata all'acquisizione di privilegi più elevati nel Bluetooth potrebbe consentire a un dispositivo non attendibile di accoppiarsi con il telefono durante il processo di associazione iniziale. Ciò potrebbe comportare l'accesso non autorizzato alle risorse del dispositivo, come la connessione a Internet. Questo problema è classificato come severità elevata perché potrebbe essere usato per ottenere capacità elevate che non sono accessibili a dispositivi non attendibili.

Aumento della vulnerabilità dei privilegi nel driver aptico di Texas Instruments

Esiste una vulnerabilità legata all'elevazione dei privilegi in un driver del kernel aptico di Texas Instruments che potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto del kernel. Normalmente un bug di esecuzione del codice del kernel come questo verrebbe classificato come Critico, ma poiché richiede prima di compromettere un servizio in grado di chiamare il driver, viene invece classificato come severità elevata.

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto negli ultimi driver binari per i dispositivi Nexus disponibili sul sito Google Developer .

Aumento della vulnerabilità dei privilegi nel driver del kernel video di Qualcomm

Esiste una vulnerabilità legata all'elevazione dei privilegi in un driver del kernel video Qualcomm che potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto del kernel. Normalmente una vulnerabilità legata all'esecuzione del codice del kernel viene classificata come Critica, ma poiché richiede prima la compromissione di un servizio in grado di chiamare il driver, viene invece classificata come severità elevata.

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto negli ultimi driver binari per i dispositivi Nexus disponibili sul sito Google Developer .

Aumento della vulnerabilità dei privilegi nel componente Qualcomm Power Management

Esiste una vulnerabilità legata all'elevazione dei privilegi in un driver del kernel Qualcomm Power Management che potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto del kernel. Normalmente un bug di esecuzione del codice del kernel come questo sarebbe classificato come Critico, ma poiché richiede prima la compromissione del dispositivo e l'elevazione alla radice, è invece classificato come Severità elevata.

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto negli ultimi driver binari per i dispositivi Nexus disponibili sul sito Google Developer .

Aumento della vulnerabilità dei privilegi in System_server

Una vulnerabilità relativa all'acquisizione di privilegi più elevati in System_server potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto di un'applicazione di sistema con privilegi elevati. Questo problema è classificato con gravità elevata perché potrebbe essere utilizzato per ottenere funzionalità elevate, ad esempio i privilegi di autorizzazione Firma o Firma o Sistema, che non sono accessibili a un'applicazione di terze parti.

Aumento della vulnerabilità dei privilegi in Mediaserver

Una vulnerabilità relativa all'acquisizione di privilegi più elevati in mediaserver potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto di un'applicazione di sistema con privilegi elevati. Questo problema è classificato con gravità elevata perché potrebbe essere utilizzato per ottenere funzionalità elevate, ad esempio i privilegi di autorizzazione Firma o Firma o Sistema, che non sono accessibili a un'applicazione di terze parti.

Vulnerabilità di Denial of Service in Minikin

Una vulnerabilità Denial of Service nella libreria Minikin potrebbe consentire a un utente malintenzionato locale di bloccare temporaneamente l'accesso a un dispositivo interessato. Un utente malintenzionato potrebbe causare il caricamento di un font non attendibile e causare un overflow nel componente Minikin, che provoca un arresto anomalo. Questa è classificata come severità elevata perché Denial of Service porterebbe a un ciclo di riavvio continuo.

Vulnerabilità di divulgazione di informazioni in Exchange ActiveSync

Una vulnerabilità di divulgazione di informazioni in Exchange ActiveSync potrebbe consentire a un'applicazione dannosa locale di accedere alle informazioni private di un utente. Questo problema è classificato come di gravità elevata perché consente l'accesso remoto ai dati protetti.

Vulnerabilità di divulgazione di informazioni in Mediaserver

Una vulnerabilità di divulgazione di informazioni in Mediaserver potrebbe consentire di aggirare le misure di sicurezza in atto per aumentare la difficoltà degli aggressori a sfruttare la piattaforma. Questi problemi sono classificati come Elevata gravità perché possono essere utilizzati anche per ottenere funzionalità elevate, come i privilegi di autorizzazione Firma o Firma o Sistema, che non sono accessibili ad applicazioni di terze parti.

Aumento della vulnerabilità dei privilegi nel componente sottoposto a debug

Una vulnerabilità relativa all'acquisizione di privilegi più elevati nel componente Debuggerd potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario che potrebbe portare a una compromissione permanente del dispositivo. Di conseguenza, il dispositivo potrebbe dover essere riparato eseguendo nuovamente il flashing del sistema operativo. Normalmente un bug di esecuzione di codice come questo verrebbe classificato come Critico, ma poiché consente un'elevazione dei privilegi dal sistema al root solo nella versione 4.4.4 di Android, viene invece classificato come Moderato. Nelle versioni Android 5.0 e successive, le regole SELinux impediscono alle applicazioni di terze parti di raggiungere il codice interessato.

Aumento della vulnerabilità dei privilegi nella procedura guidata di installazione

Una vulnerabilità nell'Installazione guidata potrebbe consentire a un utente malintenzionato di ignorare la protezione del ripristino delle impostazioni di fabbrica e ottenere l'accesso al dispositivo. Questa è classificata come gravità moderata perché potenzialmente consente a qualcuno con accesso fisico a un dispositivo di bypassare la protezione del ripristino delle impostazioni di fabbrica, che consentirebbe a un utente malintenzionato di ripristinare correttamente un dispositivo, cancellando tutti i dati.

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto nell'ultima versione binaria per dispositivi Nexus disponibile sul sito Google Developer .

Aumento della vulnerabilità dei privilegi nel Wi-Fi

Una vulnerabilità legata all'acquisizione di privilegi più elevati nel Wi-Fi potrebbe consentire a un'applicazione dannosa locale di eseguire codice arbitrario nel contesto di un'applicazione di sistema con privilegi elevati. Questo problema è classificato come di gravità moderata perché potrebbe essere utilizzato per ottenere funzionalità elevate, come i privilegi di autorizzazione Firma o Firma o Sistema, che non sono accessibili a un'applicazione di terze parti.

Elevazione della vulnerabilità dei privilegi nella telefonia

Una vulnerabilità nella telefonia potrebbe consentire a un utente malintenzionato di aggirare la protezione del ripristino delle impostazioni di fabbrica e ottenere l'accesso al dispositivo. Questa è classificata come gravità moderata perché potenzialmente consente a qualcuno con accesso fisico a un dispositivo di bypassare la protezione del ripristino delle impostazioni di fabbrica, che consentirebbe a un utente malintenzionato di ripristinare correttamente un dispositivo, cancellando tutti i dati.

Vulnerabilità Denial of Service in SyncStorageEngine

Una vulnerabilità Denial of Service in SyncStorageEngine potrebbe consentire a un'applicazione dannosa locale di causare un ciclo di riavvio. Questo problema è classificato come di gravità moderata perché potrebbe essere utilizzato per causare una negazione del servizio temporanea locale che potrebbe essere necessario risolvere tramite un ripristino delle impostazioni di fabbrica.

Vulnerabilità di divulgazione di informazioni nella posta AOSP

Una vulnerabilità di divulgazione di informazioni in AOSP Mail potrebbe consentire a un'applicazione dannosa locale di accedere alle informazioni private di un utente. Questo problema è classificato come di gravità moderata perché potrebbe essere utilizzato per ottenere autorizzazioni "pericolose" in modo improprio.

* La patch per questo problema non è in AOSP. L'aggiornamento è contenuto nell'ultima versione binaria per dispositivi Nexus disponibile sul sito Google Developer .

Vulnerabilità di divulgazione delle informazioni nel quadro

Una vulnerabilità di divulgazione di informazioni nel componente Framework potrebbe consentire a un'applicazione di accedere a informazioni riservate. Questo problema è classificato di gravità moderata perché potrebbe essere utilizzato per accedere in modo improprio ai dati senza autorizzazione.

Domande e risposte comuni

Questa sezione esamina le risposte alle domande più comuni che possono sorgere dopo la lettura di questo bollettino.

1. Come faccio a determinare se il mio dispositivo è aggiornato per risolvere questi problemi?

I livelli di patch di sicurezza del 2 aprile 2016 o successivi risolvono questi problemi (consultare la documentazione di Nexus per istruzioni su come controllare il livello di patch di sicurezza). I produttori di dispositivi che includono questi aggiornamenti devono impostare il livello della stringa di patch su: [ro.build.version.security_patch]:[2016-04-02]

2. Perché questo livello di patch di sicurezza è il 2 aprile 2016?

Il livello di patch di sicurezza per l'aggiornamento di sicurezza mensile è normalmente impostato sul primo del mese. Per aprile, un livello di patch di sicurezza del 1 aprile 2016 indica che tutti i problemi descritti in questo bollettino, ad eccezione di CVE-2015-1805, come descritto nell'avviso di sicurezza Android 2016-03-18 sono stati risolti. Un livello di patch di sicurezza del 2 aprile 2016 indica che tutti i problemi descritti in questo bollettino, incluso CVE-2015-1805, come descritto in Android Security Advisory 2016-03-18 sono stati risolti.

Revisioni

• 04 aprile 2016: pubblicato il bollettino.
• 6 aprile 2016: Bollettino rivisto per includere i collegamenti AOSP.
• 7 aprile 2016: Bollettino rivisto per includere un collegamento AOSP aggiuntivo.
• 11 luglio 2016: descrizione aggiornata di CVE-2016-2427.
• 01 agosto 2016: descrizione aggiornata di CVE-2016-2427
• 19 dicembre 2016: aggiornato per rimuovere CVE-2016-2427, che è stato ripristinato.