Biuletyn bezpieczeństwa Nexusa – kwiecień 2016 r.

Opublikowano 4 kwietnia 2016 r. | Zaktualizowano 19 grudnia 2016 r.

W ramach naszego miesięcznego procesu publikowania Biuletynów bezpieczeństwa w Androidzie udostępniliśmy aktualizację zabezpieczeń dla urządzeń Nexus w ramach aktualizacji przez Internet. Obrazy oprogramowania Nexusa zostały też udostępnione w witrynie Google Developers. Te problemy zostały rozwiązane w poziomach aktualizacji zabezpieczeń z 2 kwietnia 2016 r. lub nowszych (instrukcje sprawdzania poziomu aktualizacji zabezpieczeń znajdziesz w dokumentacji Nexusa).

Partnerzy zostali poinformowani o problemach opisanych w biuletynie 16 marca 2016 r. lub wcześniej. W stosownych przypadkach opublikowano w repozytorium Projektu Android Open Source (AOSP) poprawki kodu źródłowego dotyczące tych problemów.

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach, która może umożliwiać zdalne wykonywanie kodu na urządzeniu docelowym za pomocą różnych metod, takich jak e-mail, przeglądanie stron internetowych i MMS-y podczas przetwarzania plików multimedialnych. Ocena ważności jest oparta na potencjalnym wpływie wykorzystania luki w zabezpieczeniach na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programowania lub że zostały pomyślnie omijane.

W poprzednim komunikacie o zabezpieczeniach w Androidzie z dnia 2016-03-18 omówiono wykorzystanie przez aplikację do rootowania luki CVE-2015-1805. W tej aktualizacji rozwiązano problem CVE-2015-1805. Nie odnotowano żadnych zgłoszeń dotyczących aktywnego wykorzystywania klientów ani nadużyć związanych z innymi nowo zgłoszonymi problemami. Więcej informacji o środkach zaradczych znajdziesz w sekcji Środki zaradcze. Znajdziesz tam szczegółowe informacje o  zabezpieczeniach platformy bezpieczeństwa Androida oraz o zabezpieczeniach usług, takich jak SafetyNet, które zwiększają bezpieczeństwo platformy Android.

Złagodzenia

Oto podsumowanie metod ograniczania zagrożeń oferowanych przez platformę bezpieczeństwa Androida oraz zabezpieczenia usług, takie jak SafetyNet. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach mogą zostać wykorzystane na Androidzie.

  • Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania systemu do najnowszej wersji Androida, o ile to możliwe.
  • Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą narzędzia Verify Apps i SafetyNet, które ostrzegają użytkowników o potencjalnie szkodliwych aplikacjach, które mają zostać zainstalowane. W Google Play nie można publikować narzędzi do rootowania urządzeń. Aby chronić użytkowników instalujących aplikacje spoza Google Play, funkcja Weryfikuj aplikacje jest domyślnie włączona i ostrzega użytkowników o znanych aplikacjach do rootowania. Weryfikacja aplikacji próbuje wykrywać i blokować instalowanie znanych złośliwych aplikacji, które wykorzystują lukę w zabezpieczeniach umożliwiającą podniesienie uprawnień. Jeśli taka aplikacja jest już zainstalowana, aplikacja Verify Apps powiadomi użytkownika i spróbuje ją usunąć.
  • W odpowiednich przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak mediaserver.

Podziękowania

Zespół ds. zabezpieczeń Androida dziękuje tym badaczom za ich wkład:

Zespół ds. bezpieczeństwa Androida dziękuje również Yuan-Tsung Lo, Wenke Dou, Chiachih Wu (@chiachih_wu) oraz Xuxian Jiang z zespołu C0RE i Zimperium za ich wkład w CVE-2015-1805.

Szczegóły luki w zabezpieczeniach

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 2016-04-02. Zawiera opis problemu, uzasadnienie dotyczące jego wagi oraz tabelę z identyfikatorem CVE, powiązanym błędem, wagą, wersjami, których dotyczy problem, oraz datą zgłoszenia. Jeśli to możliwe, połączymy identyfikator błędu z commitem AOSP, który rozwiązał problem. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia do AOSP są połączone z numerami po identyfikatorze błędu.

Luka w zabezpieczeniach umożliwiająca zdalne wykonywanie kodu w DHCPCD

Luka w zabezpieczeniach w usłudze protokołu Dynamic Host Configuration Protocol może umożliwić atakującemu uszkodzenie pamięci, co może prowadzić do zdalnego wykonania kodu. Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście klienta DHCP. Usługa DHCP ma dostęp do uprawnień, do których aplikacje innych firm normalnie nie mają dostępu.

CVE Błędy związane z linkami AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2014-6060 ANDROID-15268738 Krytyczny 4.4.4 30 lipca 2014 r.
CVE-2014-6060 ANDROID-16677003 Krytyczny 4.4.4 30 lipca 2014 r.
CVE-2016-1503 ANDROID-26461634 Krytyczny 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 4 stycznia 2016 r.

Luka w zabezpieczeniach umożliwiająca zdalne wykonywanie kodu w kodeki multimedialnym

Podczas przetwarzania pliku multimedialnego i danych w specjalnie spreparowanym pliku luka w zabezpieczeniach w kodeki multimedialnym używanym przez mediaserver może umożliwić atakującemu spowodowanie uszkodzenia pamięci i zdalne uruchomienie kodu w ramach procesu mediaserver.

Dotycząca funkcja jest częścią główną systemu operacyjnego i istnieje wiele aplikacji, które umożliwiają dostęp do treści zdalnych, w tym MMS-ów i odtwarzania multimediów w przeglądarce.

Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście usługi mediaserver. Usługa mediaserver ma dostęp do strumieni audio i wideo, a także do uprawnień, do których aplikacje innych firm normalnie nie mają dostępu.

CVE Błąd Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-0834 ANDROID-26220548* Krytyczny 6.0, 6.0.1 16 grudnia 2015 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie dla deweloperów Google.

Luka w zabezpieczeniach umożliwiająca zdalne wykonywanie kodu w usłudze Mediaserver

Podczas przetwarzania pliku multimedialnego i danych w specjalnie spreparowanym pliku luka w zabezpieczeniach w mediaserver może umożliwić osobie przeprowadzającej atak uszkodzenie pamięci i zdalne uruchomienie kodu w ramach procesu mediaserver.

Dotycząca funkcja jest częścią główną systemu operacyjnego i istnieje wiele aplikacji, które umożliwiają dostęp do treści zdalnych, w tym MMS-ów i odtwarzania multimediów w przeglądarce.

Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście usługi mediaserver. Usługa mediaserver ma dostęp do strumieni audio i wideo, a także do uprawnień, do których aplikacje innych firm normalnie nie mają dostępu.

CVE Błędy związane z linkami AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-0835 ANDROID-26070014 [2] Krytyczny 6.0, 6.0.1 6 grudnia 2015 r.
CVE-2016-0836 ANDROID-25812590 Krytyczny 6.0, 6.0.1 19 listopada 2015 r.
CVE-2016-0837 ANDROID-27208621 Krytyczny 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11 lutego 2016 r.
CVE-2016-0838 ANDROID-26366256 [2] Krytyczny 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google - wewnętrzny
CVE-2016-0839 ANDROID-25753245 Krytyczny 6.0, 6.0.1 Google - wewnętrzny
CVE-2016-0840 ANDROID-26399350 Krytyczny 6.0, 6.0.1 Google - wewnętrzny
CVE-2016-0841 ANDROID-26040840 Krytyczny 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google - wewnętrzny

Luka w zabezpieczeniach umożliwiająca zdalne wykonywanie kodu w bibliotece libstagefright

Podczas przetwarzania pliku multimedialnego i danych w specjalnie spreparowanym pliku luka w zabezpieczeniach w libstagefright może umożliwić atakującemu uszkodzenie pamięci i zdalne uruchomienie kodu w ramach procesu mediaserver.

Dotycząca funkcja jest częścią główną systemu operacyjnego i istnieje wiele aplikacji, które umożliwiają dostęp do treści zdalnych, w tym MMS-ów i odtwarzania multimediów w przeglądarce.

Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonywania kodu w kontekście usługi mediaserver. Usługa mediaserver ma dostęp do strumieni audio i wideo, a także do uprawnień, do których aplikacje innych firm normalnie nie mają dostępu.

CVE Błąd w linku do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-0842 ANDROID-25818142 Krytyczny 6.0, 6.0.1 23 listopada 2015 r.

Luki w zabezpieczeniach umożliwiające podniesienie uprawnień w jądrze

Podatność w jądrze umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w jądrze. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia na poziomie lokalnym. Możliwe, że konieczna będzie naprawa urządzenia przez ponowne zaprogramowanie systemu operacyjnego. Ten problem został opisany w Biuletynie bezpieczeństwa Androida z 18 marca 2016 r.

CVE Błąd Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2015-1805 ANDROID-27275324* Krytyczny 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 19 lutego 2016 r.

* Aktualizacja w AOSP jest dostępna w przypadku określonych wersji jądra: 3.14, 3.10 i 3.4.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w module wydajności Qualcomm

Luka w zabezpieczeniach związana z podniesieniem uprawnień w komponencie Menedżera zdarzeń związanych z wydajnością dla procesorów ARM firmy Qualcomm może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w rdzeniu. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego zainfekowania urządzenia. Konieczna może być naprawa urządzenia przez ponowne wgranie systemu operacyjnego.

CVE Błąd Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-0843 ANDROID-25801197* Krytyczny 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 19 listopada 2015 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie dla deweloperów Google.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w komponencie RF firmy Qualcomm

W sterowniku RF Qualcomma występuje luka, która może umożliwić lokalnej złośliwej aplikacji uruchomienie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego naruszenia bezpieczeństwa urządzenia na poziomie lokalnym. Możliwe, że konieczna będzie naprawa urządzenia przez ponowne wgranie systemu operacyjnego.

CVE Błąd w linku do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-0844 ANDROID-26324307* Krytyczny 6.0, 6.0.1 25 grudnia 2015 r.

* Dodatkowa poprawka dotycząca tego problemu znajduje się w  źródłach Linuxa.

Luki w zabezpieczeniach umożliwiające podniesienie uprawnień w jądrze

Podatność w zakresie podwyższania uprawnień w ramach wspólnego jądra może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w jądrze. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia. Możliwe, że konieczna będzie naprawa urządzenia poprzez ponowne zainstalowanie systemu operacyjnego.

CVE Błąd w linkach do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2014-9322 ANDROID-26927260 [2] [3]
[4] [5] [6] [7] [8] [9] [10] [11]		 Krytyczny 6.0, 6.0.1 25 grudnia 2015 r.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w natywnym interfejsie IMemory

Luka w zabezpieczeniach w interfejsie natywnym IMemory mogłaby umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście podwyższonych uprawnień aplikacji systemowej. Ten problem ma wysoki priorytet, ponieważ może zostać wykorzystany do uzyskania rozszerzonych uprawnień, takich jak Signature lub SignatureOrSystem, które nie są dostępne dla aplikacji innych firm.

CVE Błąd w linku do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-0846 ANDROID-26877992 Wysoki 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 29 stycznia 2016 r.

Luki w zabezpieczeniach polegające na podnoszeniu uprawnień w komponencie telekomunikacyjnym

W komponencie telekomunikacyjnym występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić atakującemu symulowanie połączeń z dowolnego numeru. Ten problem ma wysoki priorytet, ponieważ może być wykorzystywany do uzyskiwania lokalnego dostępu do rozszerzonych funkcji, takich jak Signature lub SignatureOrSystem, które są niedostępne dla aplikacji innych firm.

CVE Błąd w linkach do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-0847 ANDROID-26864502 [2] Wysoki 5.0.2, 5.1.1, 6.0, 6.0.1 Google - wewnętrzny

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Menedżerze pobierania

W menedżerze pobierania występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić atakującemu uzyskanie dostępu do nieautoryzowanych plików w prywatnym magazynie danych. Ten problem został oceniony jako poważny, ponieważ może być wykorzystany do uzyskania lokalnego dostępu do rozszerzonych funkcji, takich jak Signature lub SignatureOrSystem, które są niedostępne dla aplikacji innych firm.

CVE Błąd w linku do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-0848 ANDROID-26211054 Wysoki 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 14 grudnia 2015 r.

Procedura odzyskiwania w przypadku luki w zabezpieczeniach umożliwiającej podniesienie uprawnień

Luka w zabezpieczeniach związana z podniesieniem uprawnień w procedurze odzyskiwania może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście podwyższonych uprawnień aplikacji systemowej. Ten problem ma wysoki priorytet, ponieważ może umożliwiać uzyskanie rozszerzonych uprawnień, takich jak Signature lub SignatureOrSystem, które są niedostępne dla aplikacji innych firm.

CVE Błąd w linku do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-0849 ANDROID-26960931 Wysoki 5.0.2, 5.1.1, 6.0, 6.0.1 3 lutego 2016 r.

Luki w zabezpieczeniach umożliwiające podniesienie uprawnień w Bluetooth

W Bluetooth występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić niesprawdzonemu urządzeniu parowanie z telefonem podczas początkowego procesu parowania. Może to doprowadzić do nieautoryzowanego dostępu do zasobów urządzenia, takich jak połączenie z internetem. Ten problem ma wysoki priorytet, ponieważ może być wykorzystywany do uzyskiwania rozszerzonych uprawnień, które są niedostępne dla niezaufanych urządzeń.

CVE Błąd w linku do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-0850 ANDROID-26551752 Wysoki 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 13 stycznia 2016 r.

Luka w zabezpieczeniach związana z podniesieniem uprawnień w sterowniku haptycznym Texas Instruments

W sterowniku jądra Texas Instruments występuje luka w zabezpieczeniach, która umożliwia lokalnym złośliwym aplikacjom wykonywanie dowolnego kodu w kontekście jądra. Zwykle błąd związany z wykonywaniem kodu jądra jest oceniany jako krytyczny, ale ponieważ wymaga najpierw naruszenia usługi, która może wywołać sterownik, jest oceniany jako błąd o poważnym znaczeniu.

CVE Błąd Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2409 ANDROID-25981545* Wysoki 6.0, 6.0.1 25 grudnia 2015 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie dla deweloperów Google.

Luka w zabezpieczeniach związana z podniesieniem uprawnień w sterowniku jądra Qualcomm Video

W sterowniku jądra do obsługi wideo Qualcomm występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnym złośliwym aplikacjom wykonywanie dowolnego kodu w kontekście jądra. Zwykle podatność na wykonanie kodu jądra jest oceniana jako krytyczna, ale ponieważ wymaga najpierw skompromitowania usługi, która może wywołać sterownik, jest oceniana jako poważna.

CVE Błąd Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2410 ANDROID-26291677* Wysoki 6.0, 6.0.1 21 grudnia 2015 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie dla deweloperów Google.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w komponencie zarządzania energią Qualcomm

W sterowniku jądra Qualcomm Power Management występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnemu złośliwemu programowi wykonanie dowolnego kodu w kontekście jądra. Zwykle błąd związany z wykonywaniem kodu jądra jest oceniany jako krytyczny, ale ponieważ wymaga najpierw skompromitowania urządzenia i podniesienia uprawnień do roota, jest oceniany jako błąd o poważnym stopniu zagrożenia.

CVE Błąd Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2411 ANDROID-26866053* Wysoki 6.0, 6.0.1 28 stycznia 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie dla deweloperów Google.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w systemie System_server

Uprawnienie dotyczące podniesienia uprawnień w System_server może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście podwyższonych uprawnień aplikacji systemowej. Ten problem ma wysoki priorytet, ponieważ może umożliwiać uzyskanie rozszerzonych uprawnień, takich jak Signature czy SignatureOrSystem, które są niedostępne dla aplikacji innych firm.

CVE Błąd w linku do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2412 ANDROID-26593930 Wysoki 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 15 stycznia 2016 r.

Luka w zabezpieczeniach typu podniesienie uprawnień w Mediaserver

Podatność w mediaserverze umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście podniesionej aplikacji systemowej. Ten problem ma wysoki priorytet, ponieważ może umożliwiać uzyskanie rozszerzonych uprawnień, takich jak Signature lub SignatureOrSystem, które nie są dostępne dla aplikacji innych firm.

CVE Błąd w linku do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2413 ANDROID-26403627 Wysoki 5.0.2, 5.1.1, 6.0, 6.0.1 5 stycznia 2016 r.

Atak typu DoS w Minikin

Usługa Minikin zawierała podatność na odmowę usługi, która mogłaby umożliwić lokalnemu atakującemu tymczasowe zablokowanie dostępu do urządzenia. Atakujący może spowodować załadowanie niezaufanego fontu i wywołać przepełnienie w komponencie Minikin, co spowoduje awarię. Problem ma wysoki priorytet, ponieważ odmowa usługi prowadzi do ciągłego restartowania.

CVE Błąd w linkach do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2414 ANDROID-26413177 [2] Wysoki 5.0.2, 5.1.1, 6.0, 6.0.1 3 listopada 2015 r.

Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w Exchange ActiveSync

Luka w zabezpieczeniach związana z ujawnianiem informacji w Exchange ActiveSync może umożliwić lokalnej złośliwej aplikacji uzyskanie dostępu do prywatnych danych użytkownika. Ten problem ma wysoki priorytet, ponieważ umożliwia zdalny dostęp do chronionych danych.

CVE Błąd w linku do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2415 ANDROID-26488455 Wysoki 5.0.2, 5.1.1, 6.0, 6.0.1 11 stycznia 2016 r.

Luka w zabezpieczeniach w mediaserverze umożliwiająca ujawnienie informacji

luka w zabezpieczeniach w Mediaserverze umożliwia obejście środków bezpieczeństwa, co utrudnia atakującym wykorzystanie platformy. Te problemy zostały ocenione jako poważne, ponieważ mogą być wykorzystywane do uzyskiwania rozszerzonych uprawnień, takich jak Signature lub SignatureOrSystem, które nie są dostępne dla aplikacji innych firm.

CVE Błędy związane z linkami AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2416 ANDROID-27046057 [2] Wysoki 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 5 lutego 2016 r.
CVE-2016-2417 ANDROID-26914474 Wysoki 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 1 lutego 2016 r.
CVE-2016-2418 ANDROID-26324358 Wysoki 6.0, 6.0.1 24 grudnia 2015 r.
CVE-2016-2419 ANDROID-26323455 Wysoki 6.0, 6.0.1 24 grudnia 2015 r.

Luki w zabezpieczeniach umożliwiające podniesienie uprawnień w komponencie z debugerem

Luka w zabezpieczeniach związana z podwyższeniem uprawnień w komponencie Debuggerd może umożliwić lokalnej złośliwej aplikacji uruchomienie dowolnego kodu, który może doprowadzić do trwałego naruszenia bezpieczeństwa urządzenia. W efekcie urządzenie może wymagać naprawy przez ponowne zainstalowanie systemu operacyjnego. Zwykle błąd związany z wykonywaniem kodu, taki jak ten, zostałby oceniony jako krytyczny, ale ponieważ umożliwia podniesienie uprawnień z poziomu systemowego na root tylko w wersji Androida 4.4.4, został oceniony jako umiarkowany. W Androidzie w wersji 5.0 lub nowszej reguły SELinux uniemożliwiają aplikacjom innych firm dostęp do kodu, którego dotyczy problem.

CVE Błąd w linkach do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2420 ANDROID-26403620 [2] Umiarkowana 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 5 stycznia 2016 r.

Luki w zabezpieczeniach związane z podniesieniem uprawnień w kreatorze konfiguracji

W kreatorze konfiguracji wykryto lukę, która może umożliwić atakującemu obejście ochrony przywracania ustawień fabrycznych i uzyskanie dostępu do urządzenia. Problem został oceniony jako średnio poważny, ponieważ może umożliwić osobie z dostępem fizycznym do urządzenia obejście ochrony przed przywróceniem do ustawień fabrycznych, co pozwoli atakującemu przywrócić urządzenie do ustawień fabrycznych i usunąć wszystkie dane.

CVE Błąd Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2421 ANDROID-26154410* Umiarkowana 5.1.1, 6.0, 6.0.1 Google - wewnętrzny

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszej wersji binarnej na urządzenia Nexus, która jest dostępna na stronie Google dla deweloperów.

Luki w zabezpieczeniach umożliwiające podniesienie uprawnień w sieci Wi-Fi

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w sieci Wi-Fi może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście aplikacji systemowej z podniesionymi uprawnieniami. Ten problem ma umiarkowaną wagę, ponieważ może być wykorzystywany do uzyskania rozszerzonych uprawnień, takich jak Signature lub SignatureOrSystem, które nie są dostępne dla aplikacji innych firm.

CVE Błąd w linku do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2422 ANDROID-26324357 Umiarkowana 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 23 grudnia 2015 r.

Luki w zabezpieczeniach umożliwiające podniesienie uprawnień w telefonii

Luka w Telephony może umożliwić atakującemu ominięcie ochrony przed przywracaniem do ustawień fabrycznych i uzyskanie dostępu do urządzenia. Ten błąd został oceniony jako błąd o umiarkowanym stopniu ważności, ponieważ umożliwia on potencjalnie osobie z dostępem fizycznym do urządzenia obejście ochrony przed przywróceniem do ustawień fabrycznych, co pozwoliłoby atakującemu zresetować urządzenie i usunąć wszystkie dane.

CVE Błąd w linku do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2423 ANDROID-26303187 Umiarkowana 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google - wewnętrzny

Luki w zabezpieczeniach umożliwiające atak typu DoS w SyncStorageEngine

Usługa SyncStorageEngine jest podatna na atak typu „odmowa usługi”, który może umożliwić lokalnej złośliwej aplikacji wywołanie pętli ponownego uruchamiania. Ten problem został oceniony jako problem o umiarkowanym stopniu ważności, ponieważ może spowodować lokalny tymczasowy atak typu DoS, który może wymagać rozwiązania poprzez przywrócenie ustawień fabrycznych.

CVE Błąd w linku do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2424 ANDROID-26513719 Umiarkowana 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google - wewnętrzny

Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w AOSP Mail

Luka w zabezpieczeniach, która umożliwia ujawnienie informacji w AOSP Mail, może umożliwić lokalnej aplikacji szkodliwej uzyskanie dostępu do prywatnych danych użytkownika. Ten problem ma umiarkowany stopień ważności, ponieważ może być wykorzystywany do nieprawidłowego uzyskiwania „niebezpiecznych” uprawnień.

CVE Błędy z linkiem AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2425 ANDROID-26989185 Umiarkowana 4.4.4, 5.1.1, 6.0, 6.0.1 29 stycznia 2016 r.
CVE-2016-2425 ANDROID-7154234* Umiarkowana 5.0.2 29 stycznia 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszej wersji binarnej na urządzenia Nexus, która jest dostępna na stronie Google dla deweloperów.

Luka w zabezpieczeniach w ramach platformy umożliwiająca ujawnienie informacji

W ramach Framework występuje luka w zabezpieczeniach, która może umożliwiać aplikacji dostęp do informacji poufnych. Ten problem ma umiarkowany poziom ważności, ponieważ może być wykorzystywany do nieprawidłowego uzyskiwania dostępu do danych bez zgody.

CVE Błąd w linku do AOSP Poziom Zaktualizowane wersje Data zgłoszenia
CVE-2016-2426 ANDROID-26094635 Umiarkowana 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 8 grudnia 2015 r.

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy można na nim rozwiązać te problemy?

Poziomy aktualizacji zabezpieczeń z 2 kwietnia 2016 r. lub nowsze rozwiązują te problemy (informacje o sprawdzaniu poziomu aktualizacji zabezpieczeń znajdziesz w dokumentacji Nexusa). Producenci urządzeń, którzy uwzględniają te aktualizacje, powinni ustawić poziom ciągu poprawki na: [ro.build.version.security_patch]:[2016-04-02]

2. Dlaczego ten stan aktualizacji zabezpieczeń to 2 kwietnia 2016 r.?

Stan aktualizacji zabezpieczeń dla miesięcznej aktualizacji zabezpieczeń jest zwykle ustawiany pierwszego dnia miesiąca. W przypadku kwietnia stan aktualizacji zabezpieczeń z 1 kwietnia 2016 r. wskazuje, że wszystkie problemy opisane w tym biuletynie, z wyjątkiem CVE-2015-1805, opisane w powiadomieniu o problemach z bezpieczeństwem w Androidzie z 18 marca 2016 r. zostały rozwiązane. Stan aktualizacji zabezpieczeń z 2 kwietnia 2016 r. wskazuje, że wszystkie problemy opisane w tym biuletynie, w tym CVE-2015-1805, opisane w powiadomieniu o problemach z bezpieczeństwem w Androidzie z 18 marca 2016 r. zostały rozwiązane.

Wersje

  • 4 kwietnia 2016 r.: opublikowano biuletyn.
  • 6 kwietnia 2016 r.: w powiadomieniu uwzględniono linki do AOSP.
  • 7 kwietnia 2016 r.: w biuletynie uwzględniono dodatkowy link do AOSP.
  • 11 lipca 2016 r.: zaktualizowano opis CVE-2016-2427.
  • 1 sierpnia 2016 r.: zaktualizowano opis luki CVE-2016-2427
  • 19 grudnia 2016 r.: zaktualizowano, aby usunąć CVE-2016-2427, który został cofnięty.