עדכון אבטחה דחוף ל-Android – מאי 2016

תאריך פרסום: 2 במאי 2016 | תאריך עדכון: 4 במאי 2016

עדכון האבטחה של Android מכיל פרטים על נקודות חולשה באבטחה שמשפיעות על מכשירי Android. בנוסף לעדכון החדשות, פרסמנו עדכון אבטחה למכשירי Nexus באמצעות עדכון OTA. קובצי הקושחה של Nexus פורסמו גם באתר למפתחים של Google. רמות תיקוני האבטחה מ-1 במאי 2016 ואילך מטפלות בבעיות האלה (במסמכי העזרה של Nexus מפורטות הוראות לבדיקה של רמת תיקון האבטחה).

השותפים עודכנו לגבי הבעיות המתוארות בעדכון ב-4 באפריל 2016 או לפני כן. במקרים הרלוונטיים, תיקוני קוד המקור לבעיות האלה פורסמו במאגר של פרויקט קוד פתוח של Android‏ (AOSP).

הבעיה החמורה ביותר היא נקודת חולשה קריטית באבטחה שעלולה לאפשר ביצוע קוד מרחוק במכשיר מושפע באמצעות כמה שיטות, כמו אימייל, גלישה באינטרנט והודעות MMS במהלך עיבוד קובצי מדיה. הערכת החומרה מבוססת על ההשפעה שעלולה להיות לניצול נקודת החולשה על מכשיר מושפע, בהנחה שהאמצעי למזעור הפגיעות בפלטפורמה ובשירות מושבתים למטרות פיתוח או אם הם עוקפים בהצלחה.

לא קיבלנו דיווחים על ניצול פעיל של הבעיות החדשות האלה על ידי לקוחות או על ניצול לרעה שלהן. בקטע אמצעי מיטיגציה של Android ושירותי Google מפורט מידע על אמצעי ההגנה של פלטפורמת האבטחה של Android ועל אמצעי הגנה על שירותים כמו SafetyNet, שמשפרים את האבטחה של פלטפורמת Android.

אנחנו ממליצים לכל הלקוחות לאשר את העדכונים האלה במכשירים שלהם.

הודעות

  • כדי לשקף את ההתמקדות הרחבה יותר, שינינו את השם של העדכון הזה (וכל העדכונים הבאים בסדרה) ל-Android Security Bulletin. העדכונים האלה כוללים מגוון רחב יותר של נקודות חולשה שעשויות להשפיע על מכשירי Android, גם אם הן לא משפיעות על מכשירי Nexus.
  • עדכנו את דירוגי החומרה של Android Security. השינויים האלה נובעים מנתונים שנאספו במהלך ששת החודשים האחרונים לגבי נקודות חולשה באבטחה שדווחו, והמטרה שלהם היא להתאים את רמת החומרה יותר להשפעה בפועל על המשתמשים.

הפחתת ההשפעה על Android ועל שירותי Google

זהו סיכום של אמצעי המיטיגציה שסופקו על ידי פלטפורמת האבטחה של Android והגנות על שירותים כמו SafetyNet. היכולות האלה מצמצמות את הסבירות לניצול נקודות חולשה באבטחה ב-Android.

  • שיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של בעיות רבות ב-Android. אנחנו ממליצים לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
  • צוות האבטחה של Android עוקב באופן פעיל אחר התנהלות פוגעת באמצעות Verify Apps ו-SafetyNet, שנועדו להזהיר משתמשים לגבי אפליקציות בעלות פוטנציאל לגרימת נזק. התכונה 'אימות אפליקציות' מופעלת כברירת מחדל במכשירים עם שירותי Google לנייד, והיא חשובה במיוחד למשתמשים שמתקינים אפליקציות מחוץ ל-Google Play. אסור להפיץ כלים להסרת האבטחה (rooting) של המכשיר ב-Google Play, אבל שירות אימות האפליקציות מזהיר את המשתמשים כשהם מנסים להתקין אפליקציית rooting שזוהתה – לא משנה מה המקור שלה. בנוסף, התכונה 'אימות אפליקציות' מנסה לזהות ולחסום התקנה של אפליקציות זדוניות ידועות שמנצלות נקודת חולשה של הסלמת הרשאות. אם אפליקציה כזו כבר הותקנה, התכונה 'אימות אפליקציות' תודיע למשתמש ותנסה להסיר את האפליקציה שזוהתה.
  • בהתאם לצורך, אפליקציות Google Hangouts ו-Messenger לא מעבירות מדיה באופן אוטומטי לתהליכים כמו mediaserver.

תודות

אנחנו רוצים להודות לחוקרים הבאים על התרומות שלהם:

  • Abhishek Arya,‏ Oliver Chang ו-Martin Barbella מצוות האבטחה של Google Chrome: ‏ CVE-2016-2454
  • Andy Tyler‏ (@ticarpi) מ-e2e-assure: ‏ CVE-2016-2457
  • Chiachih Wu‏ (@chiachih_wu) ו-Xuxian Jiang מ-C0RE Team: ‏ CVE-2016-2441,‏ CVE-2016-2442
  • Dzmitry Lukyanenka‏ ( www.linkedin.com/in/dzima): ‏ CVE-2016-2458
  • גאל בנימיני: CVE-2016-2431
  • Hao Chen מצוות Vulpecker, Qihoo 360 Technology Co. Ltd: ‏ CVE-2016-2456
  • ג'ייק ואלטה (Jake Valletta) מ-Mandiant, חברה של FireEye: CVE-2016-2060
  • Jianqiang Zhao‏ (@jianqiangzhao) ו-pjf‏ (weibo.com/jfpan) מ-IceSword Lab,‏ Qihoo 360 Technology Co. Ltd: ‏ CVE-2016-2434, ‏ CVE-2016-2435, ‏ CVE-2016-2436,‏ CVE-2016-2441, ‏ CVE-2016-2442, ‏ CVE-2016-2444, ‏ CVE-2016-2445, ‏ CVE-2016-2446
  • Imre Rad מ-Search-Lab Ltd.: CVE-2016-4477
  • Jeremy C. Joslin מ-Google: ‏ CVE-2016-2461
  • Kenny Root מ-Google: ‏ CVE-2016-2462
  • מרקו גרסי (Marco Grassi)‏ (@marcograss) מ-KeenLab‏ (@keen_lab), Tencent: ‏ CVE-2016-2443
  • Michał Bednarski‏ ( https://github.com/michalbednarski): ‏ CVE-2016-2440
  • Mingjian Zhou‏ (@Mingjian_Zhou),‏ Chiachih Wu‏ (@chiachih_wu) ו-Xuxian Jiang מ-C0RE Team: ‏ CVE-2016-2450,‏ CVE-2016-2448,‏ CVE-2016-2449,‏ CVE-2016-2451,‏ CVE-2016-2452
  • Peter Pi‏ (‎@heisecode) מ-Trend Micro: CVE-2016-2459, ‏ CVE-2016-2460
  • Weichao Sun‏ (@sunblate) מ-Alibaba Inc.: CVE-2016-2428, ‏ CVE-2016-2429
  • Yuan-Tsung Lo,‏ Lubo Zhang,‏ Chiachih Wu‏ (@chiachih_wu) ו-Xuxian Jiang מ-C0RE Team: ‏ CVE-2016-2437
  • יולון זאנג וטאו (לנקס) ווי מ-Baidu X-Lab: ‏ CVE-2016-2439
  • Zach Riggle‏ (@ebeip90) מצוות האבטחה של Android: ‏ CVE-2016-2430

פרטי נקודת החולשה באבטחה

בקטעים הבאים מפורטים פרטים על כל נקודת החולשה באבטחה שחלה על רמת התיקון 01 במאי 2016. הדיווח כולל תיאור של הבעיה, הסבר על מידת החומרה וטבלה עם מספר ה-CVE, הבאג המשויך, מידת החומרה, מכשירי Nexus מעודכנים, גרסאות AOSP מעודכנות (אם רלוונטי) והתאריך שבו הבעיה דווחה. כשהשינוי ב-AOSP יטפל בבעיה, נקשר אותו למזהה הבאג. כשיש כמה שינויים שקשורים לבאג אחד, הפניות נוספות ל-AOSP מקושרות למספרים שמופיעים אחרי מזהה הבאג.

נקודת חולשה לביצוע קוד מרחוק ב-Mediaserver

במהלך עיבוד נתונים וקובצי מדיה של קובץ שנוצר במיוחד, נקודת חולשה ב-MediaServer עלולה לאפשר לתוקף לגרום לנזק בזיכרון ולהריץ קוד מרחוק במהלך העיבוד ב-MediaServer.

הפונקציונליות המושפעת היא חלק מרכזי במערכת ההפעלה, ויש כמה אפליקציות שמאפשרות לגשת אליה באמצעות תוכן מרחוק, בעיקר MMS והפעלת מדיה בדפדפן.

רמת החומרה של הבעיה היא קריטית בגלל האפשרות להריץ קוד מרחוק בהקשר של שירות mediaserver. לשירות mediaserver יש גישה להזרמות אודיו ווידאו, וגם גישה להרשאות שאפליקציות צד שלישי לא יכולות לגשת אליהן בדרך כלל.

CVE באגים ב-Android מידת החומרה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2428 26751339 קריטי כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 22 בינואר 2016
CVE-2016-2429 27211885 קריטי כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 16 בפברואר 2016

נקודת חולשה של הסלמת הרשאות ב-Debuggerd

נקודת חולשה של הסלמת הרשאות (privilege escalation) בניפוי הבאגים המובנה של Android עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של ניפוי הבאגים של Android. הבעיה הזו סווגה ברמת סיכון קריטית בגלל האפשרות של פגיעה קבועה במכשיר המקומי, שעשויה לחייב הפעלה מחדש של מערכת ההפעלה כדי לתקן את המכשיר.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2430 27299236 קריטי כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 22 בפברואר 2016

נקודת חולשה של הסלמת הרשאות (privilege escalation) ב-Qualcomm TrustZone

נקודת חולשה של הסלמת הרשאות ברכיב Qualcomm TrustZone עשויה לאפשר לאפליקציה זדונית מאובטחת מקומית להריץ קוד שרירותי בהקשר של הליבה של TrustZone. הדירוג של הבעיה הזו הוא קריטי בגלל האפשרות של פגיעה קבועה במכשיר המקומי, שעשויה לחייב הפעלה מחדש של מערכת ההפעלה כדי לתקן את המכשיר.

CVE באגים ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2431 24968809* קריטי Nexus 5, ‏ Nexus 6, ‏ Nexus 7‏ (2013), ‏ Android One 15 באוקטובר 2015
CVE-2016-2432 25913059* קריטי Nexus 6, ‏ Android One 28 בנובמבר 2015

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה של הסלמת הרשאות (privilege escalation) ב-Qualcomm Wi-Fi Driver

נקודת חולשה של הסלמת הרשאות (privilege escalation) במנהל ה-Wi-Fi של Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. הדירוג של הבעיה הזו הוא קריטי בגלל האפשרות של הסלמת הרשאות מקומית והרצת קוד שרירותי, שעלולה להוביל לפריצה קבועה למכשיר המקומי. כתוצאה מכך, יכול להיות שיהיה צורך לבצע איפוס פלאש של מערכת ההפעלה כדי לתקן את המכשיר.

CVE באגים ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2015-0569 26754117* קריטי Nexus 5X, ‏ Nexus 7‏ (2013) 23 בינואר 2016
CVE-2015-0570 26764809* קריטי Nexus 5X, ‏ Nexus 7‏ (2013) 25 בינואר 2016

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה של הרשאות מוגברות במנהל הווידאו של NVIDIA

נקודת חולשה של הסלמת הרשאות (privilege escalation) במנהל הווידאו של NVIDIA עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. רמת החומרה של הבעיה הזו היא קריטית בגלל האפשרות של פגיעה קבועה במכשיר המקומי, שעשויה לחייב הפעלה מחדש של מערכת ההפעלה כדי לתקן את המכשיר.

CVE באגים ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2434 27251090* קריטי Nexus 9 17 בפברואר 2016
CVE-2016-2435 27297988* קריטי Nexus 9 20 בפברואר 2016
CVE-2016-2436 27299111* קריטי Nexus 9 22 בפברואר 2016
CVE-2016-2437 27436822* קריטי Nexus 9 1 במרץ 2016

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה של הסלמת הרשאות בליבה

נקודת חולשה של הסלמת הרשאות בליבה עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. הדירוג של הבעיה הזו הוא קריטי בגלל האפשרות של הסלמת הרשאות מקומית והרצת קוד שרירותי, שעלולה להוביל לפריצה קבועה למכשיר. כתוצאה מכך, יכול להיות שיהיה צורך לבצע איפוס פלאש של מערכת ההפעלה כדי לתקן את המכשיר. הבעיה הזו תוארה בעדכון האבטחה ל-Android מ-18 במרץ 2016.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2015-1805 27275324* קריטי Nexus 5, ‏ Nexus 5X, ‏ Nexus 6, ‏ Nexus 6P, ‏ Nexus 7‏ (2013), ‏ Nexus 9 19 בפברואר 2016

* התיקון ב-AOSP זמין לגרסאות ליבה ספציפיות: 3.14,‏ 3.10 ו-3.4.

נקודת חולשה לביצוע קוד מרחוק בליבה

נקודת חולשה להרצת קוד מרחוק במערכת המשנה של האודיו עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. בדרך כלל, באג בקוד הליבה שמאפשר ביצוע כזה יסווג כקריטי, אבל מכיוון שקודם צריך לפגוע בשירות בעל הרשאות כדי לקרוא למערכת המשנה של האודיו, רמת החומרה שלו היא גבוהה.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2438 26636060* רחב Nexus 9 Google פנימי

* התיקון לבעיה הזו זמין ב- upstream של Linux.

נקודת חולשה של חשיפת מידע ב-Qualcomm Tethering Controller

נקודת חולשה של חשיפת מידע ב-Qualcomm Tethering Controller עלולה לאפשר לאפליקציה זדונית מקומית לגשת למידע אישי מזהה ללא ההרשאות הנדרשות. רמת החומרה של הבעיה היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2060 27942588* רחב ללא 23 במרץ 2016

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון אמור להיכלל בדרייברים העדכניים ביותר של המכשירים המושפעים.

נקודת חולשה לביצוע קוד מרחוק ב-Bluetooth

במהלך ההתאמה של מכשיר Bluetooth, נקודת חולשה ב-Bluetooth עלולה לאפשר לתוקף בקרבת מקום להריץ קוד זדוני במהלך תהליך ההתאמה. רמת החומרה של הבעיה היא גבוהה כי יש אפשרות להריץ קוד מרחוק במהלך האינטליגנציה של מכשיר Bluetooth.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2439 27411268 רחב כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 28 בפברואר 2016

פרצת אבטחה מסוג הסלמת הרשאות ב-Binder

נקודת חולשה של הסלמת הרשאות ב-Binder עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של תהליך של אפליקציה אחרת. במהלך שחרור הזיכרון, נקודת חולשה ב-Binder עלולה לאפשר לתוקף לגרום לביצוע קוד מקומי. רמת החומרה של הבעיה הזו היא גבוהה, בגלל האפשרות להריץ קוד מקומי במהלך תהליך הפנוי זיכרון ב-Binder.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2440 27252896 רחב כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 18 בפברואר 2016

נקודת חולשה של הסלמת הרשאות (privilege escalation) ב-Qualcomm Buspm Driver

נקודת חולשה של הסלמת הרשאות (privilege escalation) במנהל ה-buspm של Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. בדרך כלל, באג בקוד הליבה שמאפשר להריץ קוד כזה יסווג כקריטי, אבל מכיוון שקוד כזה דורש קודם לפגוע בשירות שיכול להפעיל את הנהג, הוא יסווג כבעיה ברמת חומרה גבוהה.

CVE באגים ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2441 26354602* רחב Nexus 5X, ‏ Nexus 6, ‏ Nexus 6P 30 בדצמבר 2015
CVE-2016-2442 26494907* רחב Nexus 5X, ‏ Nexus 6, ‏ Nexus 6P 30 בדצמבר 2015

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) ב-Qualcomm MDP Driver

נקודת חולשה של הסלמת הרשאות (privilege escalation) במנהל ההתקן של Qualcomm MDP עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. בדרך כלל, באג בקוד של הליבה כמו זה יסווג ברמת קריטי, אבל מכיוון שהוא דורש קודם לפגוע בשירות שיכול להפעיל את הנהג, הוא יסווג ברמת חומרה גבוהה.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2443 26404525* רחב Nexus 5, ‏ Nexus 7‏ (2013) 5 בינואר 2016

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה של הסלמת הרשאות (privilege escalation) ב-Qualcomm Wi-Fi Driver

נקודת חולשה של הרשאות גישה מורחבות ברכיב ה-Wi-Fi של Qualcomm עלולה לאפשר לאפליקציה זדונית מקומית להפעיל קריאות מערכת שמשנות את ההגדרות וההתנהגות של המכשיר בלי ההרשאות הנדרשות. רמת החומרה של הבעיה היא גבוהה כי אפשר להשתמש בה כדי לקבל גישה מקומית ליכולות מורחבות, כמו הרשאות Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2015-0571 26763920* רחב Nexus 5X, ‏ Nexus 7‏ (2013) 25 בינואר 2016

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה של הרשאות מוגברות במנהל הווידאו של NVIDIA

נקודת חולשה של הסלמת הרשאות (privilege escalation) במנהל המדיה של NVIDIA עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. בדרך כלל, באג בקוד הליבה שמאפשר להריץ קוד כזה יסווג כקריטי, אבל מכיוון שקוד כזה דורש קודם לפגוע בשירות בעל הרשאות גבוהות כדי לקרוא לנהג, הוא יסווג כבעיה ברמת חומרה גבוהה.

CVE באגים ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2444 27208332* רחב Nexus 9 16 בפברואר 2016
CVE-2016-2445 27253079* רחב Nexus 9 17 בפברואר 2016
CVE-2016-2446 27441354* רחב Nexus 9 1 במרץ 2016

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) ב-Wi-Fi

נקודת חולשה של הסלמת הרשאות (privilege escalation) ב-Wi-Fi עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של אפליקציית מערכת ברמה גבוהה יותר. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה גם כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציות של צד שלישי לא יכולות לגשת אליהן.

הערה:מספר ה-CVE עודכן, בהתאם לבקשת MITRE, מ-CVE-2016-2447 ל-CVE-2016-4477.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-4477 27371366 [2] רחב כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 24 בפברואר 2016

פרצת אבטחה מסוג הסלמת הרשאות ב-Mediaserver

נקודת חולשה של הסלמת הרשאות ב-mediaserver עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של אפליקציית מערכת ברמה גבוהה יותר. רמת החומרה של הבעיה הזו היא גבוהה כי אפשר להשתמש בה כדי לקבל יכולות מורחבות, כמו הרשאות של Signature או SignatureOrSystem, שאפליקציה של צד שלישי לא יכולה לגשת אליהן.

CVE באגים ב-Android מידת החומרה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2448 27533704 רחב כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 7 במרץ 2016
CVE-2016-2449 27568958 רחב כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 9 במרץ 2016
CVE-2016-2450 27569635 רחב כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 9 במרץ 2016
CVE-2016-2451 27597103 רחב כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 10 במרץ 2016
CVE-2016-2452 27662364 [2] [3] רחב כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 14 במרץ 2016

נקודת חולשה מסוג הרשאות מוגברות ב-MediaTek Wi-Fi Driver

נקודת חולשה של הסלמת הרשאות (privilege escalation) במנהל ההתקן של MediaTek ל-Wi-Fi עלולה לאפשר לאפליקציה זדונית מקומית להריץ קוד שרירותי בהקשר של הליבה. בדרך כלל, באג בקוד הליבה להרצה כזה יסווג כקריטי, אבל מכיוון שהוא דורש קודם לפגוע בשירות שיכול להפעיל את הנהג, הוא יסווג כבעיה ברמת חומרה גבוהה.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2453 27549705* רחב Android One 8 במרץ 2016

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה של התקפת מניעת שירות (DoS) מרחוק ב-Codec לחומרה של Qualcomm

במהלך עיבוד נתונים וקובצי מדיה של קובץ שנוצר במיוחד, נקודת חולשה של התקפת מניעת שירות מרחוק בקודק הווידאו של חומרת Qualcomm עלולה לאפשר לתוקף מרחוק לחסום את הגישה למכשיר המושפע על ידי הפעלה מחדש של המכשיר. רמת החומרה של הבעיה היא גבוהה בגלל האפשרות להתקפת מניעת שירות מרחוק.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2454 26221024* רחב Nexus 5 16 בדצמבר 2015

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה של הסלמת הרשאות (privilege escalation) ב-Conscrypt

נקודת חולשה של העלאת הרשאות ב-Conscrypt עלולה לאפשר לאפליקציה מקומית להאמין שהודעה אומתה כשהיא לא אומתה. הבעיה הזו מסווגת ברמת חומרה בינונית כי היא דורשת לבצע פעולות מתואמות במספר מכשירים.

CVE באגים ב-Android מידת החומרה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2461 27324690 [2] בינונית כל מכשירי Nexus 6.0, ‏ 6.0.1 Google פנימי
CVE-2016-2462 27371173 בינונית כל מכשירי Nexus 6.0, ‏ 6.0.1 Google פנימי

נקודת חולשה של הרשאות מוגברות ב-OpenSSL וב-BoringSSL

נקודת חולשה של העלאת הרשאות ב-OpenSSL וב-BoringSSL עלולה לאפשר לאפליקציה זדונית מקומית לגשת לנתונים מחוץ לרמות ההרשאות שלה. בדרך כלל רמת הסיכון הזו תהיה גבוהה, אבל מכיוון שהיא דורשת הגדרה ידנית נדירה, רמת הסיכון שלה היא בינונית.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-0705 27449871 בינונית כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 7 בפברואר 2016

נקודת חולשה מסוג הרשאות מוגברות ב-MediaTek Wi-Fi Driver

נקודת חולשה של הסלמת הרשאות (privilege escalation) במנהל ה-Wi-Fi של MediaTek עלולה לאפשר לאפליקציה זדונית מקומית לגרום להתקפת מניעת שירות (DoS). בדרך כלל, באג כזה של העלאת הרשאות יסווג ברמה גבוהה, אבל מכיוון שהוא מחייב קודם לפגוע בשירות מערכת, הוא יסווג ברמת חומרה בינונית.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-2456 27275187* בינונית Android One 19 בפברואר 2016

* התיקון לבעיה הזו לא נמצא ב-AOSP. העדכון נכלל במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Nexus, שזמינים באתר של Google Developer.

נקודת חולשה מסוג הסלמת הרשאות (privilege escalation) ב-Wi-Fi

נקודת חולשה של העלאת הרשאות ב-Wi-Fi עשויה לאפשר לחשבון אורח לשנות את הגדרות ה-Wi-Fi שנשמרות עבור המשתמש הראשי. הדירוג של הבעיה הזו הוא 'חומרה בינונית' כי היא מאפשרת גישה מקומית ליכולות ' מסוכנות' ללא הרשאה.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2457 27411179 בינונית כל מכשירי Nexus 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 29 בפברואר 2016

נקודת חולשה של חשיפת מידע ב-AOSP Mail

נקודת חולשה בחשיפת מידע ב-AOSP Mail עלולה לאפשר לאפליקציה זדונית מקומית לקבל גישה למידע הפרטי של המשתמשים. רמת החומרה של הבעיה היא בינונית כי אפשר להשתמש בה כדי לגשת לנתונים בצורה לא מורשית בלי הרשאה.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2458 27335139 [2] בינונית כל מכשירי Nexus 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 23 בפברואר 2016

נקודת חולשה של חשיפת מידע ב-Mediaserver

נקודת חולשה של חשיפת מידע ב-Mediaserver עלולה לאפשר לאפליקציה לגשת למידע רגיש. רמת החומרה של הבעיה הזו היא בינונית, כי אפשר להשתמש בה כדי לגשת לנתונים ללא הרשאה.

CVE באגים ב-Android מידת החומרה מכשירי Nexus מעודכנים גרסאות AOSP מעודכנות תאריך דיווח
CVE-2016-2459 27556038 בינונית כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 7 במרץ 2016
CVE-2016-2460 27555981 בינונית כל מכשירי Nexus 4.4.4, ‏ 5.0.2, ‏ 5.1.1, ‏ 6.0, ‏ 6.0.1 7 במרץ 2016

נקודת חולשה של התקפת מניעת שירות (DoS) בליבה

נקודת חולשה של התקפת מניעת שירות בליבה עלולה לאפשר לאפליקציה מקומית זדונית לגרום להפעלה מחדש של המכשיר. רמת החומרה של הבעיה הזו היא נמוכה, כי ההשפעה היא התקפת מניעת שירות (DoS) זמנית.

CVE באג ב-Android מידת החומרה מכשירי Nexus מעודכנים תאריך דיווח
CVE-2016-0774 27721803* נמוכה כל מכשירי Nexus 17 במרץ 2016

* התיקון לבעיה הזו זמין ב- upstream של Linux.

שאלות נפוצות ותשובות

בקטע הזה מפורטות תשובות לשאלות נפוצות שעשויות להתעורר אחרי קריאת העדכון.

1. איך אפשר לדעת אם המכשיר מעודכן כדי לטפל בבעיות האלה?

רמות תיקוני האבטחה מ-1 במאי 2016 ואילך מטפלות בבעיות האלה (במסמכי העזרה של Nexus מפורטות הוראות לבדיקה של רמת תיקון האבטחה). יצרני המכשירים שכוללים את העדכונים האלה צריכים להגדיר את רמת מחרוזת התיקון כך: [ro.build.version.security_patch]:[2016-05-01]

2. איך אפשר לדעת אילו מכשירי Nexus מושפעים מכל בעיה?

בקטע פרטי נקודת החולשה באבטחה, בכל טבלה יש עמודה 'מכשירי Nexus מעודכנים' שמציגה את טווח מכשירי Nexus המושפעים שעודכנו לכל בעיה. בעמודה הזו יש כמה אפשרויות:

  • כל מכשירי Nexus: אם בעיה משפיעה על כל מכשירי Nexus, בטור מכשירי Nexus מעודכנים יופיע הכיתוב 'כל מכשירי Nexus'. כל מכשירי Nexus כוללים את המכשירים הנתמכים הבאים: Nexus 5,‏ Nexus 5X,‏ Nexus 6,‏ Nexus 6P,‏ Nexus 7‏ (2013),‏ Nexus 9,‏ Android One,‏ Nexus Player ו-Pixel C.
  • מכשירי Nexus מסוימים: אם הבעיה לא משפיעה על כל מכשירי Nexus, מכשירי Nexus המושפעים מופיעים בעמודה מכשירי Nexus מעודכנים.
  • No Nexus devices: אם אף מכשיר Nexus לא מושפע מהבעיה, בעמודה Updated Nexus devices יופיע הערך 'None'.

3. למה הבעיה CVE-2015-1805 נכללת בדף העדכונים הזה?

הבעיה CVE-2015-1805 נכללת בדף העדכונים הזה כי העדכון בנושא אבטחת Android מ-18 במרץ 2016 פורסם ממש לפני פרסום דף העדכונים של אפריל. בגלל לוח הזמנים הקצר, יצרני המכשירים קיבלו אפשרות לשלוח תיקונים מעדכון האבטחה של Nexus – אפריל 2016, בלי התיקון ל-CVE-2015-1805, אם הם השתמשו ברמת תיקון האבטחה מ-1 באפריל 2016. הוא נכלל שוב בעדכון הזה כי צריך לתקן אותו כדי להשתמש ברמת תיקון האבטחה מ-1 במאי 2016.

גרסאות קודמות

  • 2 במאי 2016: פורסם עדכון בנושא.
  • 4 במאי 2016:
    • העדכון עודכן ונוספו קישורים ל-AOSP.
    • רשימה של כל מכשירי Nexus שעודכנו, כולל Nexus Player ו-Pixel C.
    • CVE-2016-2447 עודכן ל-CVE-2016-4477, בהתאם לבקשה של MITRE.