Biuletyn bezpieczeństwa w Androidzie – maj 2016 r.

Zadbaj o dobrą organizację dzięki kolekcji Zapisuj i kategoryzuj treści zgodnie ze swoimi preferencjami.

Opublikowano 2 maja 2016 r. | Zaktualizowano 4 maja 2016 r.

Biuletyn o bezpieczeństwie Androida zawiera szczegółowe informacje o lukach w zabezpieczeniach, które wpływają na urządzenia z Androidem. Oprócz biuletynu udostępniliśmy aktualizację zabezpieczeń dla urządzeń Nexus w ramach aktualizacji bezprzewodowej (OTA). Obrazy oprogramowania układu Nexus zostały też udostępnione na stronie Google Developers. Te problemy zostały rozwiązane w poziomach aktualizacji zabezpieczeń z 1 maja 2016 r. lub nowszych (informacje o sprawdzaniu poziomu aktualizacji zabezpieczeń znajdziesz w dokumentacji Nexusa).

Partnerzy zostali powiadomieni o problemach opisanych w tym biuletynie 4 kwietnia 2016 r. lub wcześniej. W stosownych przypadkach poprawki do kodu źródłowego zostały opublikowane w repozytorium Projektu Android Open Source (AOSP).

Najpoważniejszym z tych problemów jest krytyczna luka w zabezpieczeniach, która może umożliwiać zdalne wykonywanie kodu na urządzeniu docelowym za pomocą różnych metod, takich jak e-mail, przeglądanie stron internetowych i MMS-y podczas przetwarzania plików multimedialnych. Ocena ważności jest oparta na potencjalnym wpływie wykorzystania luki w zabezpieczeniach na urządzeniu, przy założeniu, że zabezpieczenia platformy i usługi są wyłączone na potrzeby programowania lub że zostały pomyślnie omijane.

Nie otrzymaliśmy żadnych zgłoszeń o aktywnej eksploatacji klientów ani o wykorzystaniu tych nowo zgłoszonych problemów. Więcej informacji o  zabezpieczeniach platformy bezpieczeństwa Androida oraz zabezpieczeniach usług, takich jak SafetyNet, które zwiększają bezpieczeństwo platformy Androida, znajdziesz w sekcji Ochrona przed atakami na Androida i usługi Google.

Zachęcamy wszystkich klientów do akceptowania tych aktualizacji na swoich urządzeniach.

Ogłoszenia

• Aby odzwierciedlić szerszy zakres, zmieniliśmy nazwę tego biuletynu (oraz wszystkich kolejnych w tej serii) na Biuletyn o bezpieczeństwie Androida. Te biuletyny obejmują szerszy zakres podatności, które mogą dotyczyć urządzeń z Androidem, nawet jeśli nie dotyczą urządzeń Nexus.
• Zaktualizowaliśmy oceny zagrożeń w Androidzie. Te zmiany zostały wprowadzone na podstawie danych zebranych w ciągu ostatnich 6 miesięcy na temat zgłaszanych luk w zabezpieczeniach. Ich celem jest dostosowanie stopnia zagrożenia do rzeczywistego wpływu na użytkowników.

Środki zaradcze dotyczące Androida i usług Google

Oto podsumowanie środków zaradczych oferowanych przez platformę bezpieczeństwa Androida oraz zabezpieczenia usług, takich jak SafetyNet. Te funkcje zmniejszają prawdopodobieństwo, że luki w zabezpieczeniach mogą zostać wykorzystane na Androidzie.

• Wykorzystanie wielu luk w Androidzie jest utrudnione dzięki ulepszeniom w nowszych wersjach platformy. Zachęcamy wszystkich użytkowników do zaktualizowania systemu do najnowszej wersji Androida, o ile to możliwe.
• Zespół ds. bezpieczeństwa Androida aktywnie monitoruje przypadki nadużyć za pomocą weryfikacji aplikacji i SafetyNet, które mają ostrzegać użytkowników o  potencjalnie szkodliwych aplikacjach. Weryfikacja aplikacji jest domyślnie włączona na urządzeniach z usługami mobilnymi Google i jest szczególnie ważna dla użytkowników, którzy instalują aplikacje spoza Google Play. Narzędzia do rootowania urządzeń są zabronione w Google Play, ale funkcja weryfikacji aplikacji ostrzega użytkowników, gdy próbują oni zainstalować wykryte narzędzie do rootowania – niezależnie od tego, skąd pochodzi. Dodatkowo Weryfikacja aplikacji próbuje wykrywać i blokować instalowanie znanych szkodliwych aplikacji, które wykorzystują lukę umożliwiającą podniesienie uprawnień. Jeśli taka aplikacja została już zainstalowana, funkcja Weryfikacja aplikacji powiadomi użytkownika i spróbuje ją usunąć.
• W odpowiednich przypadkach aplikacje Google Hangouts i Messenger nie przekazują automatycznie multimediów do procesów takich jak mediaserver.

Podziękowania

Dziękujemy zaangażowanym w to badanie naukowcom:

• Abhishek Arya, Oliver Chang i Martin Barbella z zespołu ds. bezpieczeństwa Google Chrome: CVE-2016-2454
• Andy Tyler (@ticarpi) z e2e-assure: CVE-2016-2457
• Chiachih Wu (@chiachih_wu) i Xuxian Jiang z zespołu C0RE: CVE-2016-2441, CVE-2016-2442
• Dzmitry Lukyanenka ( www.linkedin.com/in/dzima): CVE-2016-2458
• Gal Beniamini: CVE-2016-2431
• Hao Chen z zespołu Vulpecker, Qihoo 360 Technology Co. Ltd: CVE-2016-2456
• Jake Valletta z Mandiant, firmy należącej do FireEye: CVE-2016-2060
• Jianqiang Zhao (@jianqiangzhao) and pjf (weibo.com/jfpan) z IceSword Lab, Qihoo 360 Technology Co. Ltd: CVE-2016-2434, CVE-2016-2435, CVE-2016-2436, CVE-2016-2441, CVE-2016-2442, CVE-2016-2444, CVE-2016-2445, CVE-2016-2446
• Imre Rad z Search-Lab Ltd.: CVE-2016-4477
• Jeremy C. Joslin z Google: CVE-2016-2461
• Kenny Root z Google: CVE-2016-2462
• Marco Grassi (@marcograss) z KeenLab (@keen_lab), Tencent: CVE-2016-2443
• Michał Bednarski ( https://github.com/michalbednarski): CVE-2016-2440
• Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) i Xuxian Jiang z zespołu C0RE: CVE-2016-2450, CVE-2016-2448, CVE-2016-2449, CVE-2016-2451, CVE-2016-2452
• Peter Pi (@heisecode) z Trend Micro: CVE-2016-2459, CVE-2016-2460
• Weichao Sun (@sunblate) z Alibaba Inc.: CVE-2016-2428, CVE-2016-2429
• Yuan-Tsung Lo, Lubo Zhang, Chiachih Wu (@chiachih_wu), oraz Xuxian Jiang z zespołu C0RE: CVE-2016-2437
• Yulong Zhang i Tao (Lenx) Wei z Baidu X-Lab: CVE-2016-2439
• Zach Riggle (@ebeip90) z zespołu ds. bezpieczeństwa Androida: CVE-2016-2430

Szczegóły luki w zabezpieczeniach

W sekcjach poniżej znajdziesz szczegółowe informacje o każdej z luk w zabezpieczeniach, które dotyczą poziomu poprawek z 2016-05-01. Zawiera on opis problemu, uzasadnienie powagi oraz tabelę z identyfikatorem CVE, powiązanym błędem, wagą, zaktualizowanymi wersjami Nexusa i AOSP (w stosownych przypadkach) oraz datą zgłoszenia. Jeśli to możliwe, połączymy zmianę w AOSP, która rozwiązała problem, z identyfikatorem błędu. Jeśli wiele zmian dotyczy jednego błędu, dodatkowe odniesienia do AOSP są połączone z numerami po identyfikatorze błędu.

Luka w zabezpieczeniach umożliwiająca zdalne wykonywanie kodu w usłudze Mediaserver

Podczas przetwarzania pliku multimedialnego i danych w specjalnie spreparowanym pliku luka w mediaserver może umożliwić atakującemu uszkodzenie pamięci i zdalne uruchomienie kodu w ramach procesu mediaserver.

Dotyczy to funkcji, które są częścią systemu operacyjnego, a wiele aplikacji umożliwia ich obsługę z dalsza, zwłaszcza MMS-y i odtwarzanie multimediów w przeglądarce.

Ten problem został oceniony jako krytyczny ze względu na możliwość zdalnego wykonania kodu w kontekście usługi mediaserver. Usługa mediaserver ma dostęp do strumieni audio i wideo, a także do uprawnień, do których aplikacje innych firm normalnie nie mają dostępu.

CVE	Błędy w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-2428	26751339	Krytyczny	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	22 stycznia 2016 r.
CVE-2016-2429	27211885	Krytyczny	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	16 lutego 2016 r.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w Debuggerd

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w zintegrowanym debugerze Androida może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście debugera Androida. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego zainfekowania urządzenia, co może wymagać ponownego zainstalowania systemu operacyjnego w celu naprawy urządzenia.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-2430	27299236	Krytyczny	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	22 lutego 2016 r.

Luki w zabezpieczeniach umożliwiająca podniesienie uprawnień w Qualcomm TrustZone

Właściwość podwyższania uprawnień w komponencie Qualcomm TrustZone może umożliwić złośliwej aplikacji lokalnej z dostępem do zabezpieczeń uruchomienie dowolnego kodu w kontekście jądra TrustZone. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego zainfekowania urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE	Błędy w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-2431	24968809*	Krytyczny	Nexus 5, Nexus 6, Nexus 7 (2013), Android One	15 października 2015 r.
CVE-2016-2432	25913059*	Krytyczny	Nexus 6, Android One	28 listopada 2015 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla deweloperów.

Luka w zabezpieczeniach związana z podniesieniem uprawnień w sterowniku Wi-Fi Qualcomm

Podatność w sterowniku Wi-Fi Qualcomma umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość lokalnego podwyższenia uprawnień i wykonania dowolnego kodu, co może doprowadzić do trwałego naruszenia bezpieczeństwa urządzenia, co może wymagać ponownego zaflashowania systemu operacyjnego w celu naprawy urządzenia.

CVE	Błędy w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2015-0569	26754117*	Krytyczny	Nexus 5X, Nexus 7 (2013 r.)	23 stycznia 2016 r.
CVE-2015-0570	26764809*	Krytyczny	Nexus 5X, Nexus 7 (2013 r.)	25 stycznia 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla deweloperów.

Podniesienie uprawnień w sterowniku wideo NVIDIA

Podatność w sterowniku karty graficznej NVIDIA umożliwiająca podniesienie uprawnień mogłaby umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość trwałego uszkodzenia urządzenia, co może wymagać ponownego zaprogramowania systemu operacyjnego w celu naprawy urządzenia.

CVE	Błędy w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-2434	27251090*	Krytyczny	Nexus 9	17 lutego 2016 r.
CVE-2016-2435	27297988*	Krytyczny	Nexus 9	20 lutego 2016 r.
CVE-2016-2436	27299111*	Krytyczny	Nexus 9	22 lutego 2016 r.
CVE-2016-2437	27436822*	Krytyczny	Nexus 9	1 marca 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus dostępnych na stronie Google dla deweloperów.

Luki w zabezpieczeniach umożliwiające podniesienie uprawnień w jądrze

Podatność w jądrze umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Ten problem został oceniony jako krytyczny ze względu na możliwość podwyższenia uprawnień lokalnych i wykonania dowolnego kodu, co może doprowadzić do trwałego naruszenia bezpieczeństwa urządzenia. Naprawa urządzenia może wymagać ponownego zainstalowania systemu operacyjnego. Ten problem został opisany w powiadomieniu o lukach w zabezpieczeniach w Androidzie z 18 marca 2016 r.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2015-1805	27275324*	Krytyczny	Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9	19 lutego 2016 r.

* Aktualizacja w AOSP jest dostępna w przypadku określonych wersji jądra: 3.14, 3.10 i 3.4.

Luka w zabezpieczeniach umożliwiająca zdalne wykonywanie kodu w jądrze

Luka w zabezpieczeniach umożliwiająca zdalne uruchomienie kodu w podsystemie audio może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Zwykle błąd związany z wykonywaniem kodu jądra zostałby oceniony jako krytyczny, ale ponieważ wymaga najpierw skompromitowania usługi uprzywilejowanej, aby wywołać podsystem audio, został oceniony jako błąd o wysokiej wadze.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-2438	26636060*	Wysoki	Nexus 9	Google - wewnętrzny

* Aktualizacja rozwiązująca ten problem jest dostępna w źródłach Linuksa.

Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w sterowniku tetheringu Qualcomm

Użytkownik lokalny może wykorzystać podatność w sterowniku tetheringu Qualcomma do ujawnienia informacji, na które nie ma uprawnień. Problem ma wysoki poziom ważności, ponieważ można go wykorzystać do uzyskania rozszerzonych uprawnień, takich jak Signature czy SignatureOrSystem, które nie są dostępne dla aplikacji innych firm.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-2060	27942588*	Wysoki	Brak	23 marca 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja powinna być zawarta w najnowszych sterownikach urządzeń, których dotyczy problem.

Wykorzystanie luki w zabezpieczeniach w Bluetooth do zdalnego wykonywania kodu

Podczas parowania urządzenia Bluetooth luka w Bluetooth może umożliwić atakującemu w pobliżu uruchomienie dowolnego kodu podczas procesu parowania. Ten problem został oceniony jako poważny ze względu na możliwość zdalnego wykonania kodu podczas inicjalizacji urządzenia Bluetooth.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-2439	27411268	Wysoki	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	28 lutego 2016 r.

Luka w zabezpieczeniach związana z podniesieniem uprawnień w Binder

Luka w zabezpieczeniach w Binderze może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście procesu innej aplikacji. Podczas uwalniania pamięci luka w zabezpieczeniach w Binderze może umożliwić atakującemu uruchomienie kodu lokalnego. Ten problem ma wysoki priorytet ze względu na możliwość wykonania lokalnego kodu podczas procesu zwolnienia pamięci w Binderze.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-2440	27252896	Wysoki	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	18 lutego 2016 r.

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w sterowniku Qualcomm Buspm

Podatność na podniesienie uprawnień w sterowniku buspm Qualcomma może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Zwykle błąd w wykonywaniu kodu jądra, taki jak ten, zostałby oceniony jako krytyczny, ale ponieważ wymaga najpierw skompromitowania usługi, która może wywołać sterownik, został oceniony jako poważny.

CVE	Błędy w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-2441	26354602*	Wysoki	Nexus 5X, Nexus 6, Nexus 6P	30 grudnia 2015 r.
CVE-2016-2442	26494907*	Wysoki	Nexus 5X, Nexus 6, Nexus 6P	30 grudnia 2015 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie dla deweloperów Google.

Podniesienie uprawnień w sterowniku MDP firmy Qualcomm

Podatność na podniesienie uprawnień w sterowniku Qualcomm MDP może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Zwykle błąd związany z wykonywaniem kodu jądra zostałby oceniony jako krytyczny, ale ponieważ wymaga najpierw skompromitowania usługi, która może wywołać sterownik, został oceniony jako błąd o wysokiej wadze.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-2443	26404525*	Wysoki	Nexus 5, Nexus 7 (2013)	5 stycznia 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie dla deweloperów Google.

Luka w zabezpieczeniach związana z podniesieniem uprawnień w sterowniku Wi-Fi Qualcomm

W komponencie Wi-Fi firmy Qualcomm występuje luka umożliwiająca podniesienie uprawnień, która może umożliwić lokalnej złośliwej aplikacji wywołanie wywołań systemowych zmieniających ustawienia i zachowanie urządzenia bez odpowiednich uprawnień. Ten problem został oceniony jako poważny, ponieważ może zostać wykorzystany do uzyskania lokalnego dostępu do rozszerzonych funkcji, takich jak uprawnienia Signature lub SignatureOrSystem, które nie są dostępne dla aplikacji innych firm.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2015-0571	26763920*	Wysoki	Nexus 5X, Nexus 7 (2013)	25 stycznia 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie dla deweloperów Google.

Podniesienie uprawnień w sterowniku wideo NVIDIA

Podatność w sterowniku multimediów NVIDIA umożliwiająca lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Zwykle błąd związany z wykonywaniem kodu jądra jest oceniany jako krytyczny, ale ponieważ wymaga najpierw przejęcia usługi o wysokich uprawnieniach, aby wywołać sterownik, jest oceniany jako błąd o wysokiej wadze.

CVE	Błędy w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-2444	27208332*	Wysoki	Nexus 9	16 lutego 2016 r.
CVE-2016-2445	27253079*	Wysoki	Nexus 9	17 lutego 2016 r.
CVE-2016-2446	27441354*	Wysoki	Nexus 9	1 marca 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie dla deweloperów Google.

Luki w zabezpieczeniach umożliwiające podniesienie uprawnień w sieci Wi-Fi

Luka w zabezpieczeniach umożliwiająca podniesienie uprawnień w sieci Wi-Fi może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście aplikacji systemowej z podniesionymi uprawnieniami. Ten problem ma wysoki priorytet, ponieważ może być wykorzystywany do uzyskiwania podwyższonych uprawnień, takich jak Signature czy SignatureOrSystem, które są niedostępne dla aplikacji innych firm.

Uwaga: zgodnie z prośbą MITRE numer CVE został zaktualizowany z CVE-2016-2447 na CVE-2016-4477.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-4477	27371366 [2]	Wysoki	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	24 lutego 2016 r.

Luka w zabezpieczeniach typu podniesienie uprawnień w Mediaserver

Podatność w mediaserverze umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście podniesionej aplikacji systemowej. Ten problem ma wysoki priorytet, ponieważ może umożliwiać uzyskanie rozszerzonych uprawnień, takich jak Signature czy SignatureOrSystem, które są niedostępne dla aplikacji innych firm.

CVE	Błędy w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-2448	27533704	Wysoki	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	7 marca 2016 r.
CVE-2016-2449	27568958	Wysoki	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	9 marca 2016 r.
CVE-2016-2450	27569635	Wysoki	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	9 marca 2016 r.
CVE-2016-2451	27597103	Wysoki	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	10 marca 2016 r.
CVE-2016-2452	27662364 [2] [3]	Wysoki	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	14 marca 2016 r.

Luka w zabezpieczeniach związana z podniesieniem uprawnień w sterowniku Wi-Fi MediaTek

Podatność w sterowniku Wi-Fi MediaTek umożliwiająca podniesienie uprawnień może umożliwić lokalnej złośliwej aplikacji wykonanie dowolnego kodu w kontekście jądra. Zwykle błąd związany z wykonywaniem kodu jądra zostałby oceniony jako krytyczny, ale ponieważ wymaga najpierw skompromitowania usługi, która może wywołać sterownik, został oceniony jako poważny.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-2453	27549705*	Wysoki	Android One	8 marca 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie dla deweloperów Google.

Atak typu DoS z dalna w kodeki sprzętowe Qualcomm

Podczas przetwarzania danych i plików multimedialnych w specjalnie spreparowanym pliku luka w zabezpieczeniach umożliwiająca odmowę usługi w sprzętowym kodzieek wideo firmy Qualcomm może umożliwić atakującemu zdalnie zablokowanie dostępu do urządzenia poprzez jego ponowne uruchomienie. Ten błąd ma wysoki priorytet ze względu na możliwość zdalnego odmowy usługi.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-2454	26221024*	Wysoki	Nexus 5	16 grudnia 2015 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie dla deweloperów Google.

Luki w zabezpieczeniach w programie Conscrypt umożliwiające podniesienie uprawnień

W usłudze Conscrypt występuje luka umożliwiająca podniesienie uprawnień, która może spowodować, że aplikacja lokalna uzna, że wiadomość została uwierzytelniona, podczas gdy tak nie jest. Ten problem ma umiarkowany priorytet, ponieważ wymaga wykonania określonych czynności na wielu urządzeniach.

CVE	Błędy w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-2461	27324690 [2]	Umiarkowana	Wszystkie Nexusy	6.0, 6.0.1	Google - wewnętrzny
CVE-2016-2462	27371173	Umiarkowana	Wszystkie Nexusy	6.0, 6.0.1	Google - wewnętrzny

Luka w zabezpieczeniach OpenSSL i BoringSSL umożliwiająca podniesienie uprawnień

W OpenSSL i BoringSSL występuje luka umożliwiająca podwyższanie uprawnień, która może umożliwić lokalnej złośliwej aplikacji dostęp do danych poza poziomem uprawnień. Zwykle takie naruszenie jest oceniane jako wysokie, ale ponieważ wymaga nietypowej konfiguracji ręcznej, jest oceniane jako umiarkowane.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-0705	27449871	Umiarkowana	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	7 lutego 2016 r.

Luka w zabezpieczeniach związana z podniesieniem uprawnień w sterowniku Wi-Fi MediaTek

Luka w zabezpieczeniach polegająca na podnoszeniu uprawnień w sterowniku Wi-Fi MediaTek może umożliwić lokalnej złośliwej aplikacji wywołanie ataku typu DoS. Zwykle błąd podwyższania uprawnień byłby oceniony jako wysoki, ale ponieważ wymaga on najpierw zaatakowania usługi systemowej, został oceniony jako błąd o umiarkowanym stopniu zagrożenia.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-2456	27275187*	Umiarkowana	Android One	19 lutego 2016 r.

* Ta poprawka nie jest dostępna w AOSP. Aktualizacja jest zawarta w najnowszych binarnych sterownikach urządzeń Nexus, które można pobrać na stronie dla deweloperów Google.

Luki w zabezpieczeniach umożliwiające podniesienie uprawnień w sieci Wi-Fi

Użytkownik z dostępem do sieci Wi-Fi może wykorzystać podatność na podniesienie uprawnień, aby zmodyfikować ustawienia Wi-Fi, które są trwałe dla głównego użytkownika. Ten problem ma umiarkowany poziom ważności, ponieważ umożliwia lokalny dostęp do „ niebezpiecznych” funkcji bez uprawnień.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-2457	27411179	Umiarkowana	Wszystkie Nexusy	5.0.2, 5.1.1, 6.0, 6.0.1	29 lutego 2016 r.

Luka w zabezpieczeniach umożliwiająca ujawnienie informacji w AOSP Mail

Luka w zabezpieczeniach, która umożliwia ujawnienie informacji w AOSP Mail, może umożliwić lokalnej złośliwej aplikacji uzyskanie dostępu do prywatnych danych użytkownika. Ten problem ma umiarkowany stopień ważności, ponieważ może być wykorzystywany do nieprawidłowego uzyskiwania dostępu do danych bez zgody.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-2458	27335139 [2]	Umiarkowana	Wszystkie Nexusy	5.0.2, 5.1.1, 6.0, 6.0.1	23 lutego 2016 r.

Luka w zabezpieczeniach w mediaserverze umożliwiająca ujawnienie informacji

Luka w zabezpieczeniach w Mediaserver może umożliwiać aplikacji dostęp do informacji poufnych. Ten problem ma umiarkowany poziom ważności, ponieważ może być wykorzystywany do nieprawidłowego uzyskiwania dostępu do danych bez zgody.

CVE	Błędy w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Zaktualizowane wersje AOSP	Data zgłoszenia
CVE-2016-2459	27556038	Umiarkowana	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	7 marca 2016 r.
CVE-2016-2460	27555981	Umiarkowana	Wszystkie Nexusy	4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1	7 marca 2016 r.

Atak typu DoS w jądrze

Usługa odmowy dostępu w rdzeniu może umożliwić lokalnej złośliwej aplikacji ponowne uruchomienie urządzenia. Ten problem ma niski priorytet, ponieważ jego efektem jest tymczasowe odmowa usługi.

CVE	Błąd w Androidzie	Poziom	Zaktualizowane urządzenia Nexus	Data zgłoszenia
CVE-2016-0774	27721803*	Niska	Wszystkie Nexusy	17 marca 2016 r.

* Aktualizacja rozwiązująca ten problem jest dostępna w źródłach Linuksa.

Najczęstsze pytania i odpowiedzi

W tej sekcji znajdziesz odpowiedzi na najczęstsze pytania, które mogą pojawić się po przeczytaniu tego biuletynu.

1. Jak sprawdzić, czy moje urządzenie jest zaktualizowane i czy można rozwiązać te problemy?

Te problemy zostały rozwiązane w poziomach aktualizacji zabezpieczeń z 1 maja 2016 r. lub nowszych (informacje o sprawdzaniu poziomu aktualizacji zabezpieczeń znajdziesz w dokumentacji Nexusa). Producenci urządzeń, którzy uwzględniają te aktualizacje, powinni ustawić poziom ciągu poprawki na: [ro.build.version.security_patch]:[2016-05-01]

2. Jak mogę określić, które urządzenia Nexus są dotknięte danym problemem?

W sekcji Szczegóły luki w zabezpieczeniach każda tabela zawiera kolumnę Zaktualizowane urządzenia Nexus, która obejmuje zakres urządzeń Nexus, których dotyczyła dana luka, a które zostały zaktualizowane w związku z każdym problemem. Ta kolumna ma kilka opcji:

• Wszystkie urządzenia Nexus: jeśli problem dotyczy wszystkich urządzeń Nexus, w tabeli w kolumnie Zaktualizowane urządzenia Nexus pojawi się opcja Wszystkie Nexusy. Wszystkie urządzenia Nexus obejmują te obsługiwane urządzenia: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player i Pixel C.
• Niektóre urządzenia Nexus: jeśli problem nie dotyczy wszystkich urządzeń Nexus, te, których dotyczy problem, są wymienione w kolumnie Zaktualizowane urządzenia Nexus.
• Brak urządzeń Nexus: jeśli problem nie dotyczy żadnych urządzeń Nexus, w kolumnie Zaktualizowane urządzenia Nexus pojawi się wartość „Brak”.

3. Dlaczego w tym biuletynie uwzględniono CVE-2015-1805?

CVE-2015-1805 jest uwzględnione w tym biuletynie, ponieważ poradnik dotyczący zabezpieczeń Androida – 2016-03-18 został opublikowany w bardzo bliskim terminie w porównaniu z publikacją kwietniowego biuletynu. Ze względu na krótki termin producenci urządzeń mieli możliwość udostępnienia poprawek z Biuletynu bezpieczeństwa Nexusa z kwietnia 2016 r. bez poprawki dla CVE-2015-1805, jeśli używali poziomu aktualizacji zabezpieczeń z 1 kwietnia 2016 r. Ponownie uwzględniliśmy ten błąd w tym biuletynie, ponieważ musi zostać naprawiony, aby można było korzystać z poziomu aktualizacji zabezpieczeń z 1 maja 2016 r.

Wersje

• 2 maja 2016 r.: opublikowano biuletyn.
• 4 maja 2016 r.:
  • Biuletyn został zaktualizowany o linki do AOSP.
  • Lista wszystkich urządzeń Nexus została zaktualizowana o Nexus Player i Pixel C.
  • Identyfikator CVE-2016-2447 został zmieniony na CVE-2016-4477 zgodnie z prośbą MITRE.