עדכון אבטחה דחוף ל-Nexus – אפריל 2016

תאריך פרסום: 4 באפריל 2016 | תאריך עדכון: 19 בדצמבר 2016

השקנו עדכון אבטחה למכשירי Nexus באמצעות עדכון אוויר (OTA) כחלק מתהליך ההשקה החודשי של עדכוני האבטחה של Android. קובצי האימג' של קושחת Nexus פורסמו גם באתר Google Developers. רמות תיקון האבטחה מ-2 באפריל 2016 ואילך מטפלות בבעיות האלה (במסמכי העזרה של Nexus מוסבר איך בודקים את רמת תיקון האבטחה).

השותפים עודכנו לגבי הבעיות המתוארות בעדכון ב-16 במרץ 2016 או לפני כן. במקרים הרלוונטיים, תיקוני קוד המקור לבעיות האלה פורסמו במאגר של פרויקט קוד פתוח של Android‏ (AOSP).

הבעיה החמורה ביותר היא נקודת חולשה קריטית באבטחה שעלולה לאפשר ביצוע קוד מרחוק במכשיר מושפע באמצעות כמה שיטות, כמו אימייל, גלישה באינטרנט והודעות MMS במהלך עיבוד קובצי מדיה. הערכת החומרה מבוססת על ההשפעה שעלולה להיות לניצול נקודת החולשה על מכשיר מושפע, בהנחה שהאמצעי למזעור הפגיעות בפלטפורמה ובשירות מושבתים למטרות פיתוח או אם הם עוקפים בהצלחה.

ב הייעוץ בנושא אבטחת Android מ-18 במרץ 2016 כבר התייחסנו לשימוש ב-CVE-2015-1805 על ידי אפליקציית רוט. העדכון הזה פותר את הבעיה ב-CVE-2015-1805. לא דווח על ניצול פעיל של לקוחות או על ניצול לרעה של הבעיות האחרות שדווחו לאחרונה. בקטע הקלות מפורט מידע נוסף על אמצעי ההגנה של פלטפורמת האבטחה של Android ועל אמצעי הגנה של שירותים כמו SafetyNet, שמשפרים את האבטחה של פלטפורמת Android.

פעולות מיטיגציה

זהו סיכום של אמצעי המיטיגציה שסופקו על ידי פלטפורמת האבטחה של Android וההגנות על השירותים, כמו SafetyNet. היכולות האלה מצמצמות את הסבירות לניצול נקודות חולשה באבטחה ב-Android.

  • שיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של בעיות רבות ב-Android. אנחנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
  • צוות האבטחה של Android עוקב באופן פעיל אחר ניצול לרעה באמצעות Verify Apps ו-SafetyNet, שמזהים אפליקציות מזיקות פוטנציאליות שעומדות להתקנה ומזהירים את המשתמש. אסור לפרסם כלים להסרת האבטחה (rooting) של מכשירים ב-Google Play. כדי להגן על משתמשים שמתקינים אפליקציות ממקורות מחוץ ל-Google Play, התכונה 'אימות אפליקציות' מופעלת כברירת מחדל ומזהירה משתמשים על אפליקציות ידועות לצורך קבלת הרשאת root. התכונה 'אימות אפליקציות' מנסה לזהות ולחסום התקנה של אפליקציות זדוניות ידועות שמנצלות נקודת חולשה של הסלמת הרשאות. אם אפליקציה כזו כבר הותקנה, התכונה 'אימות אפליקציות' תודיע למשתמש ותנסה להסיר את האפליקציות האלה.
  • בהתאם לצורך, אפליקציות Google Hangouts ו-Messenger לא מעבירות מדיה באופן אוטומטי לתהליכים כמו mediaserver.

תודות

צוות האבטחה של Android רוצה להודות לחוקרים הבאים על התרומות שלהם:

  • Abhishek Arya,‏ Oliver Chang ו-Martin Barbella מצוות האבטחה של Google Chrome: ‏ CVE-2016-0834,‏ CVE-2016-0841,‏ CVE-2016-0840,‏ CVE-2016-0839,‏ CVE-2016-0838
  • Anestis Bechtsoudis‏ (@anestisb) מ-CENSUS S.A.: CVE-2016-0842, ‏ CVE-2016-0836, ‏ CVE-2016-0835
  • Brad Ebinger ו-Santos Cordon מצוות Google Telecom: ‏ CVE-2016-0847
  • Dominik Schürmann מ-Institute for Operating Systems and Computer Networks, TU Braunschweig: ‏ CVE-2016-2425
  • Gengjia Chen‏ (@chengjia4574),‏ pjf, ‏ Jianqiang Zhao‏ (@jianqiangzhao) מ-IceSword Lab,‏ Qihoo 360: ‏ CVE-2016-0844
  • George Piskas מ- École polytechnique fédérale de Lausanne: ‏ CVE-2016-2426
  • Guang Gong‏ (龚广)‏ (@oldfresher) מ-Qihoo 360 Technology Co.Ltd: ‏ CVE-2016-2412, ‏ CVE-2016-2416
  • James Forshaw מ-Google Project Zero: ‏ CVE-2016-2417, ‏ CVE-2016-0846
  • Jianqiang Zhao‏(@jianqiangzhao),‏ pjf ו-Gengjia Chen‏ (@chengjia4574) מ-IceSword Lab,‏ Qihoo 360: ‏ CVE-2016-2410,‏ CVE-2016-2411
  • Jianqiang Zhao‏ (@jianqiangzhao) ו-pjf מ-IceSword Lab, ‏ Qihoo 360: ‏ CVE-2016-2409
  • ניקי וואנג מ-Vertu Corporation LTD: ‏ CVE-2016-0837
  • Nasim Zamir: ‏ CVE-2016-2409
  • Nico Golde‏ (@iamnion) מ-Qualcomm‏: CVE-2016-2420, ‏ CVE-2016-0849
  • Peter Pi‏ (@heisecode) מ-Trend Micro: ‏ CVE-2016-2418, ‏ CVE-2016-2413, ‏ CVE-2016-2419
  • ריצ'רד שופאק (Richard Shupak): CVE-2016-2415
  • רומן טרויווה (Romain Trouvé) מ-MWR Labs: CVE-2016-0850
  • Stuart Henderson‏: CVE-2016-2422
  • Vishwath Mohan מצוות האבטחה של Android: ‏ CVE-2016-2424
  • Weichao Sun‏ (@sunblate) מ-Alibaba Inc.: CVE-2016-2414
  • Wish Wu‏ (@wish_wu) מ-Trend Micro Inc.: CVE-2016-0843
  • Yeonjoon Lee ו-Xiaofeng Wang מאוניברסיטת אינדיאנה בבלומינגטון, Tongxin Li ו-Xinhui Han מאוניברסיטת בייג'ינג: CVE-2016-0848

צוות האבטחה של Android רוצה גם להודות ל-Yuan-Tsung Lo,‏ Wenke Dou,‏ Chiachih Wu‏ (@chiachih_wu) ו-Xuxian Jiang מ-C0RE Team ו-Zimperium על התרומה שלהם ל-CVE-2015-1805.

פרטי נקודת החולשה באבטחה

בקטעים הבאים מפורטים פרטים על כל נקודת החולשה באבטחה שחלה על רמת התיקון 2016-04-02. הדיווח כולל תיאור של הבעיה, הסבר על מידת החומרה וטבלה עם מספר ה-CVE, הבאג המשויך, מידת החומרה, הגרסאות המושפעות והתאריך שבו הבעיה דווחה. כשהיא תהיה זמינה, נקשר את ההודעה ב-AOSP שדרכה טופלה הבעיה למזהה הבאג. כשיש כמה שינויים שקשורים לבאג אחד, הפניות נוספות ל-AOSP מקושרות למספרים שמופיעים אחרי מזהה הבאג.

נקודת חולשה לביצוע קוד מרחוק ב-DHCPCD

נקודת חולשה בשירות Dynamic Host Configuration Protocol עלולה לאפשר לתוקף לגרום לנזק בזיכרון, שעלול להוביל לביצוע קוד מרחוק. רמת החומרה של הבעיה הזו היא קריטית בגלל האפשרות להריץ קוד מרחוק בהקשר של לקוח ה-DHCP. לשירות DHCP יש גישה להרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.

CVE באגים עם קישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2014-6060 ANDROID-15268738 קריטי 4.4.4 30 ביולי 2014
CVE-2014-6060 ANDROID-16677003 קריטי 4.4.4 30 ביולי 2014
CVE-2016-1503 ANDROID-26461634 קריטי 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 4 בינואר 2016

נקודת חולשה לביצוע קוד מרחוק בקודק מדיה

במהלך עיבוד נתונים וקובצי מדיה של קובץ שנוצר במיוחד, נקודות חולשה בקודק מדיה שמשמש את mediaserver עלולות לאפשר לתוקף לגרום לזיהום זיכרון ולהרצת קוד מרחוק בתהליך של mediaserver.

הפונקציונליות המושפעת היא חלק מרכזי במערכת ההפעלה, ויש כמה אפליקציות שמאפשרות לגשת אליה באמצעות תוכן מרחוק, בעיקר MMS והפעלת מדיה בדפדפן.

רמת החומרה של הבעיה היא קריטית בגלל האפשרות להריץ קוד מרחוק בהקשר של שירות mediaserver. לשירות mediaserver יש גישה להזרמות אודיו ווידאו, וגם גישה להרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.

CVE חרק מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0834 ANDROID-26220548* קריטי 6.0, ‏ 6.0.1 16 בדצמבר 2015

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה לביצוע קוד מרחוק ב-Mediaserver

במהלך עיבוד נתונים וקובצי מדיה של קובץ שנוצר במיוחד, נקודות חולשה ב-MediaServer עלולות לאפשר לתוקף לגרום לנזק בזיכרון ולהריץ קוד מרחוק בתהליך של MediaServer.

הפונקציונליות המושפעת היא חלק מרכזי במערכת ההפעלה, ויש כמה אפליקציות שמאפשרות לגשת אליה באמצעות תוכן מרחוק, בעיקר MMS והפעלת מדיה בדפדפן.

רמת החומרה של הבעיה היא קריטית בגלל האפשרות להריץ קוד מרחוק בהקשר של שירות mediaserver. לשירות mediaserver יש גישה להזרמות אודיו ווידאו, וגם גישה להרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.

CVE באגים עם קישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0835 ANDROID-26070014 [2] קריטי 6.0, ‏ 6.0.1 6 בדצמבר 2015
CVE-2016-0836 ANDROID-25812590 קריטי 6.0, ‏ 6.0.1 19 בנובמבר 2015
CVE-2016-0837 ANDROID-27208621 קריטי 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 11 בפברואר 2016
CVE-2016-0838 ANDROID-26366256 [2] קריטי 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי
CVE-2016-0839 ANDROID-25753245 קריטי 6.0, ‏ 6.0.1 Google פנימי
CVE-2016-0840 ANDROID-26399350 קריטי 6.0, ‏ 6.0.1 Google פנימי
CVE-2016-0841 ANDROID-26040840 קריטי 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי

נקודת חולשה לביצוע קוד מרחוק ב-libstagefright

במהלך עיבוד נתונים וקובצי מדיה של קובץ שנוצר במיוחד, נקודות חולשה ב-libstagefright עלולות לאפשר לתוקף לגרום לנזק בזיכרון ולהריץ קוד מרחוק בתור התהליך mediaserver.

הפונקציונליות המושפעת היא חלק מרכזי במערכת ההפעלה, ויש כמה אפליקציות שמאפשרות לגשת אליה באמצעות תוכן מרחוק, בעיקר MMS והפעלת מדיה בדפדפן.

רמת החומרה של הבעיה הזו היא קריטית בגלל האפשרות להריץ קוד מרחוק בהקשר של שירות mediaserver. לשירות mediaserver יש גישה להזרמות אודיו ווידאו, וגם גישה להרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0842 ANDROID-25818142 קריטי 6.0, ‏ 6.0.1 Nov 23, 2015

נקודת חולשה של הסלמת הרשאות בליבה

נקודת חולשה של הסלמת הרשאות בליבה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בתוך הליבה. רמת החומרה של הבעיה היא קריטית בגלל האפשרות של פגיעה קבועה במכשיר המקומי, וייתכן שיהיה צורך לתקן את המכשיר על ידי מחיקת מערכת ההפעלה והפעלה מחדש שלה. הבעיה הזו תוארה בעדכון האבטחה דחוף ל-Android מ-18 במרץ 2016.

CVE חרק מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2015-1805 ANDROID-27275324* קריטי 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 19 בפברואר 2016

* התיקון ב-AOSP זמין לגרסאות ליבה ספציפיות: 3.14,‏ 3.10 ו-3.4.

נקודת חולשה של הסלמת הרשאות (privilege escalation) במודול הביצועים של Qualcomm

נקודת חולשה של העלאת הרשאות ברכיב של מנהל אירועי הביצועים למעבדי ARM של Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בתוך הליבה. הדירוג של הבעיה הזו הוא קריטי בגלל האפשרות של פגיעה קבועה במכשיר המקומי, וייתכן שיהיה צורך לתקן את המכשיר על ידי מחיקת נתוני הקושחה והפעלה מחדש של מערכת ההפעלה.

CVE חרק מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0843 ANDROID-25801197* קריטי 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 19 בנובמבר 2015

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה של הסלמת הרשאות (privilege escalation) ברכיב ה-RF של Qualcomm

נקודת חולשה במנהל ההתקן של Qualcomm RF עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. רמת החומרה של הבעיה היא קריטית כי קיימת אפשרות של פגיעה קבועה במכשיר ברמה המקומית, וייתכן שיהיה צורך לתקן את המכשיר על ידי מחיקת הקושחה והפעלה מחדש של מערכת ההפעלה.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0844 ANDROID-26324307* קריטי 6.0, ‏ 6.0.1 25 בדצמבר 2015

* תיקון נוסף לבעיה הזו נמצא ב- upstream של Linux.

נקודת חולשה של הסלמת הרשאות בליבה

נקודת חולשה של הסלמת הרשאות בליבה המשותפת עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בליבה. רמת החומרה של הבעיה היא קריטית כי קיימת אפשרות של פגיעה קבועה במכשיר המקומי, וייתכן שיהיה צורך לתקן את המכשיר על ידי מחיקת מערכת ההפעלה והפעלה מחדש שלה.

CVE באג בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2014-9322 ANDROID-26927260 [2] [3]
[4] [5] [6] [7] [8] [9] [10] [11]		 קריטי 6.0, ‏ 6.0.1 25 בדצמבר 2015

פרצת אבטחה מסוג הרשאות מורחבות בממשק IMemory Native

נקודת חולשה של הרשאת גישה מורחבת בממשק IMemory Native יכולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של אפליקציית מערכת ברמה גבוהה יותר. רמת החומרה של הבעיה היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0846 ANDROID-26877992 רחב 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 29 בינואר 2016

נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) ברכיב של חברת תקשורת

נקודת חולשה של העלאת הרשאות ברכיב טלקומוניקציה עלולה לאפשר לתוקף להתקשר ולגרום לכך שהשיחות ייראו כאילו הן מגיעות מכל מספר שרירותי. הדירוג של הבעיה הזו הוא 'חומרה גבוהה' כי אפשר להשתמש בה כדי לקבל גישה מקומית ליכולות ברמה גבוהה יותר, כמו הרשאות ההרשאה Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.

CVE באג בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0847 ANDROID-26864502 [2] רחב 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי

נקודת חולשה של הרשאות מוגברות במנהל ההורדות

נקודת חולשה של הסלמת הרשאות (privilege escalation) במנהל ההורדות עלולה לאפשר לתוקף לקבל גישה לקבצים לא מורשים באחסון הפרטי. הדירוג של הבעיה הזו הוא 'חומרה גבוהה' כי אפשר להשתמש בה כדי לקבל גישה מקומית ליכולות ברמה גבוהה יותר, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0848 ANDROID-26211054 רחב 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 14 בדצמבר 2015

נקודת חולשה מסוג הרשאות מורחבות בתהליך השחזור

פגיעות בהרשאות גישה ברמה גבוהה יותר בתהליך השחזור עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של אפליקציית מערכת ברמה גבוהה יותר. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0849 ANDROID-26960931 רחב 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 3 בפברואר 2016

נקודת חולשה של הסלמת הרשאות ב-Bluetooth

נקודת חולשה של העלאת הרשאות ב-Bluetooth עלולה לאפשר למכשיר לא מהימן להתאים את עצמו לטלפון במהלך תהליך ההתאמה הראשוני. כתוצאה מכך, יכולה להיות גישה לא מורשית למשאבי המכשיר, כמו החיבור לאינטרנט. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות משופרות שלא זמינות למכשירים לא מהימנים.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-0850 ANDROID-26551752 רחב 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 13 בינואר 2016

נקודת חולשה מסוג הרשאה מורחבת ב-Texas Instruments Haptic Driver

נקודת חולשה של הסלמת הרשאות נמצאה במנהל הליבה של Texas Instruments לחישה, שעלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. בדרך כלל, באג בקוד של הליבה שמאפשר להריץ קוד כזה יסווג כקריטי, אבל מכיוון שקוד כזה דורש קודם לפגוע בשירות שיכול לקרוא לנהג, הוא יסווג במקום זאת כבעיה ברמת סיכון גבוהה.

CVE חרק מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2409 ANDROID-25981545* רחב 6.0, ‏ 6.0.1 25 בדצמבר 2015

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) ב-Qualcomm Video Kernel Driver

נקודת חולשה של הסלמת הרשאות (privilege escalation) נמצאה במנהל הליבה של Qualcomm לסרטונים, שעלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. בדרך כלל, נקודת חולשה של ביצוע קוד בליבה תקבל דירוג קריטי, אבל מכיוון שקודם צריך לפגוע בשירות שיכול לקרוא לנהג, היא קיבלה דירוג של רמת סיכון גבוהה.

CVE חרק מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2410 ANDROID-26291677* רחב 6.0, ‏ 6.0.1 21 בדצמבר 2015

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה של הסלמת הרשאות (privilege escalation) ברכיב של Qualcomm לניהול צריכת החשמל

נקודת חולשה של הסלמת הרשאות נמצאת במנהל הליבה של Qualcomm Power Management, שעלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. בדרך כלל, באג בקוד של הליבה שמאפשר להריץ קוד כזה יסווג כקריטי, אבל מכיוון שקוד כזה דורש קודם לפגוע במכשיר ולהעלות את רמת ההרשאה ל-root, הוא מסווג ברמת סיכון גבוהה.

CVE חרק מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2411 ANDROID-26866053* רחב 6.0, ‏ 6.0.1 28 בינואר 2016

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) ב-System_server

נקודת חולשה של הרשאות מוגברות ב-System_server עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של אפליקציית מערכת ברמה גבוהה יותר. רמת החומרה של הבעיה הזו היא גבוהה, כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2412 ANDROID-26593930 רחב 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 15 בינואר 2016

פרצת אבטחה מסוג הסלמת הרשאות ב-Mediaserver

נקודת חולשה של הסלמת הרשאות ב-mediaserver עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של אפליקציית מערכת ברמה גבוהה יותר. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2413 ANDROID-26403627 רחב 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 5 בינואר 2016

נקודת חולשה של התקפת מניעת שירות (DoS) ב-Minikin

נקודת חולשה של התקפת מניעת שירות בספריית Minikin עלולה לאפשר לתוקף מקומי לחסום באופן זמני את הגישה למכשיר המושפע. תוקף יכול לגרום לטעינת גופן לא מהימן ולגרום לחריגה ממלאי הזיכרון ברכיב Minikin, מה שמוביל לקריסה. רמת הסיכון היא גבוהה כי התקפת מניעת שירות תוביל ללולא של הפעלה מחדש.

CVE באג בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2414 ANDROID-26413177 [2] רחב 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 3 בנובמבר 2015

נקודת חולשה של חשיפת מידע ב-Exchange ActiveSync

נקודת חולשה של חשיפת מידע ב-Exchange ActiveSync עלולה לאפשר לאפליקציה זדונית מקומית לקבל גישה למידע הפרטי של משתמש. רמת החומרה של הבעיה הזו היא גבוהה כי היא מאפשרת גישה מרחוק לנתונים מוגנים.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2415 ANDROID-26488455 רחב 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 11 בינואר 2016

נקודת חולשה של חשיפת מידע ב-Mediaserver

נקודת חולשה של חשיפת מידע ב-Mediaserver עלולה לאפשר לעקוף את אמצעי האבטחה שנועדו להקשות על תוקפים לנצל את הפלטפורמה. הבעיות האלה סווגו ברמת חומרה גבוהה כי אפשר להשתמש בהן גם כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות צד שלישי לא יכולות לגשת אליהן.

CVE באגים עם קישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2416 ANDROID-27046057 [2] רחב 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 5 בפברואר 2016
CVE-2016-2417 ANDROID-26914474 רחב 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 1 בפברואר 2016
CVE-2016-2418 ANDROID-26324358 רחב 6.0, ‏ 6.0.1 24 בדצמבר 2015
CVE-2016-2419 ANDROID-26323455 רחב 6.0, ‏ 6.0.1 24 בדצמבר 2015

נקודת חולשה מסוג הרשאות מורחבות ברכיב של מנתח הבאגים

נקודת חולשה של הסלמת הרשאות (privilege escalation) ברכיב Debuggerd עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי שעלול להוביל לפריצה קבועה במכשיר. כתוצאה מכך, יכול להיות שיהיה צורך לתקן את המכשיר על ידי מחיקת מערכת ההפעלה והפעלה מחדש. בדרך כלל, באג בהפעלת קוד כמו זה יסווג כקריטי, אבל מכיוון שהוא מאפשר העלאת הרשאות מהמערכת ל-root רק ב-Android מגרסה 4.4.4, הוא יסווג במקום זאת כ'בינוני'. בגרסאות Android 5.0 ואילך, כללי SELinux מונעים מאפליקציות צד שלישי להגיע לקוד המושפע.

CVE באג בקישורים ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2420 ANDROID-26403620 [2] בינונית 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 5 בינואר 2016

נקודת חולשה מסוג הרשאות מורחבות באשף ההגדרה

נקודת חולשה באשף ההגדרה עלולה לאפשר לתוקף לעקוף את ההגנה מפני איפוס להגדרות המקוריות ולקבל גישה למכשיר. רמת החומרה של הבעיה היא בינונית כי היא עלולה לאפשר למישהו עם גישה פיזית למכשיר לעקוף את ההגנה במקרה של איפוס להגדרות המקוריות, וכך לאפשר לתוקף לאפס את המכשיר ולמחוק את כל הנתונים.

CVE חרק מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2421 ANDROID-26154410* בינונית 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במהדורה הבינארית האחרונה למכשירי Nexus, שזמינה באתר Google Developer.

נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) ב-Wi-Fi

נקודת חולשה של הסלמת הרשאות (privilege escalation) ב-Wi-Fi עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של אפליקציית מערכת ברמה גבוהה יותר. רמת החומרה של הבעיה היא בינונית כי היא עלולה לשמש לקבלת יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2422 ANDROID-26324357 בינונית 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 23 בדצמבר 2015

נקודת חולשה של הסלמת הרשאות (privilege escalation) בטלפוניה

נקודת חולשה ב-Telephony עלולה לאפשר לתוקף לעקוף את ההגנה מפני איפוס להגדרות המקוריות ולקבל גישה למכשיר. רמת החומרה של הבעיה היא בינונית כי היא עלולה לאפשר למישהו עם גישה פיזית למכשיר לעקוף את ההגנה מפני איפוס להגדרות המקוריות, וכך לאפשר לתוקף לאפס את המכשיר ולמחוק את כל הנתונים.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2423 ANDROID-26303187 בינונית 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי

נקודת חולשה של התקפת מניעת שירות (DoS) ב-SyncStorageEngine

נקודת חולשה של התקפת מניעת שירות (DoS) ב-SyncStorageEngine עלולה לאפשר לאפליקציה זדונית מקומית לגרום ללולא של הפעלות מחדש. הדירוג של הבעיה הזו הוא 'חומרה בינונית' כי אפשר להשתמש בה כדי לגרום להתקפת מניעת שירות (DoS) מקומית זמנית, שיכול להיות שיהיה צורך לתקן באמצעות איפוס להגדרות המקוריות.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2424 ANDROID-26513719 בינונית 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 Google פנימי

נקודת חולשה של חשיפת מידע ב-AOSP Mail

נקודת חולשה בחשיפת מידע ב-AOSP Mail עלולה לאפשר לאפליקציה זדונית מקומית לקבל גישה למידע הפרטי של משתמש. רמת החומרה של הבעיה היא בינונית כי אפשר להשתמש בה כדי לקבל הרשאות 'מסוכנות' באופן לא תקין.

CVE באגים עם קישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2425 ANDROID-26989185 בינונית 4.4.4, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 29 בינואר 2016
CVE-2016-2425 ANDROID-7154234* בינונית 5.0.2 29 בינואר 2016

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במהדורה הבינארית האחרונה למכשירי Nexus, שזמינה באתר Google Developer.

נקודת חולשה של חשיפת מידע במסגרת

נקודת חולשה של חשיפת מידע ברכיב של המסגרת עלולה לאפשר לאפליקציה לגשת למידע רגיש. רמת החומרה של הבעיה היא בינונית כי אפשר להשתמש בה כדי לגשת לנתונים ללא הרשאה.

CVE באג בקישור ל-AOSP מידת החומרה גרסאות מעודכנות תאריך דיווח
CVE-2016-2426 ANDROID-26094635 בינונית 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 8 בדצמבר 2015

שאלות נפוצות ותשובות

בקטע הזה מפורטות תשובות לשאלות נפוצות שעשויות להתעורר אחרי קריאת העדכון.

1. איך אפשר לדעת אם המכשיר מעודכן כדי לטפל בבעיות האלה?

רמות תיקון האבטחה מ-2 באפריל 2016 ואילך מטפלות בבעיות האלה (במסמכי העזרה של Nexus מוסבר איך לבדוק את רמת תיקון האבטחה). יצרני המכשירים שכוללים את העדכונים האלה צריכים להגדיר את רמת מחרוזת התיקון ל-:‏[ro.build.version.security_patch]:‏[2016-04-02]

2. למה רמת תיקון האבטחה היא 2 באפריל 2016?

רמת תיקון האבטחה של עדכון האבטחה החודשי מוגדרת בדרך כלל ל-1 בחודש. בחודש אפריל, רמת תיקון האבטחה ב-1 באפריל 2016 מציינת שכל הבעיות שמפורטות בעדכון הזה, מלבד CVE-2015-1805 כפי שמתואר בעדכון האבטחה ל-Android מ-18 במרץ 2016, טופלו. רמת תיקון האבטחה מ-2 באפריל 2016 מציינת שטופל בהן כל הבעיות שמפורטות במידעון הזה, כולל CVE-2015-1805, כפי שמתואר בעדכון האבטחה דחוף ל-Android מ-18 במרץ 2016.

גרסאות קודמות

  • 4 באפריל 2016: פורסם עדכון בנושא.
  • 6 באפריל 2016: העדכון עודכן ונוספו אליו קישורים ל-AOSP.
  • 7 באפריל 2016: העדכון עודכן ונוסף לו קישור נוסף ל-AOSP.
  • 11 ביולי 2016: עדכנו את התיאור של CVE-2016-2427.
  • 1 באוגוסט 2016: עדכון התיאור של CVE-2016-2427
  • 19 בדצמבר 2016: העדכון הוסר מ-CVE-2016-2427, שהוחזר למצב הקודם.