Publicado em 2 de maio de 2016 | Atualizado em 4 de maio de 2016
O Boletim de segurança do Android contém detalhes das vulnerabilidades de segurança que afetam os dispositivos Android. Além do boletim, lançamos uma atualização de segurança para dispositivos Nexus por OTA. As imagens do firmware do Nexus também foram lançadas no site para desenvolvedores do Google. Os níveis de patch de segurança de 1º de maio de 2016 ou mais recentes resolvem esses problemas. Consulte a documentação do Nexus para instruções sobre como verificar o nível do patch de segurança.
Os parceiros foram notificados sobre os problemas descritos no boletim em 4 de abril de 2016 ou antes. Quando aplicável, os patches de código-fonte para esses problemas foram lançados no repositório do Android Open Source Project (AOSP).
O problema mais grave é uma vulnerabilidade de segurança crítica que pode permitir a execução remota de código em um dispositivo afetado por vários métodos, como e-mail, navegação na Web e MMS ao processar arquivos de mídia. A avaliação de gravidade é baseada no efeito que a exploração da vulnerabilidade teria em um dispositivo afetado, supondo que as mitigações de plataforma e serviço estejam desativadas para fins de desenvolvimento ou se forem contornadas.
Não recebemos relatos de exploração ou abuso ativo de clientes desses problemas recém-informados. Consulte a seção Mitigations do Android e do Google Services para detalhes sobre as proteções da plataforma de segurança do Android e as proteções de serviço, como a SafetyNet, que melhoram a segurança da plataforma Android.
Recomendamos que todos os clientes aceitem essas atualizações nos dispositivos.
Anúncios
- Para refletir um foco mais amplo, renomeamos este boletim (e todos os seguintes na série) para "Boletim de segurança do Android". Esses boletins abrangem uma gama mais ampla de vulnerabilidades que podem afetar dispositivos Android, mesmo que não afetem dispositivos Nexus.
- Atualizamos as classificações de gravidade da Segurança do Android. Essas mudanças foram o resultado dos dados coletados nos últimos seis meses sobre vulnerabilidades de segurança relatadas e têm como objetivo alinhar a gravidade com o impacto real para os usuários.
Mitigações do Android e dos serviços do Google
Este é um resumo das mitigações fornecidas pela plataforma de segurança do Android e proteções de serviço, como a SafetyNet. Esses recursos reduzem a probabilidade de que vulnerabilidades de segurança sejam exploradas no Android.
- A exploração de muitos problemas no Android fica mais difícil devido a melhorias nas versões mais recentes da Plataforma Android. Recomendamos que todos os usuários atualizem para a versão mais recente do Android, sempre que possível.
- A equipe de segurança do Android monitora ativamente os abusos com Verify Apps e SafetyNet, que foram criados para alertar os usuários sobre aplicativos potencialmente nocivos. A verificação de apps é ativada por padrão em dispositivos com Google Mobile Services e é especialmente importante para usuários que instalam apps fora do Google Play. Ferramentas de acesso root a dispositivos são proibidas no Google Play, mas o recurso "Verificar apps" alerta os usuários quando eles tentam instalar um aplicativo de acesso root detectado, não importa de onde ele vem. Além disso, o Verify Apps tenta identificar e bloquear a instalação de aplicativos maliciosos conhecidos que exploram uma vulnerabilidade de elevação de privilégios. Se esse aplicativo já tiver sido instalado, o Verificar apps vai notificar o usuário e tentar remover o aplicativo detectado.
- Conforme apropriado, os aplicativos do Google Hangouts e do Messenger não transmitem mídia automaticamente para processos como o mediaserver.
Agradecimentos
Agradecemos as contribuições dos seguintes pesquisadores:
- Abhishek Arya, Oliver Chang e Martin Barbella, da equipe de segurança do Google Chrome: CVE-2016-2454
- Andy Tyler (@ticarpi) do e2e-assure: CVE-2016-2457
- Chiachih Wu (@chiachih_wu) e Xuxian Jiang da Equipe C0RE: CVE-2016-2441, CVE-2016-2442
- Dzmitry Lukyanenka ( www.linkedin.com/in/dzima): CVE-2016-2458
- Gal Beniamini: CVE-2016-2431
- Hao Chen da Vulpecker Team, Qihoo 360 Technology Co. Ltd: CVE-2016-2456
- Jake Valletta, da Mandiant, uma empresa FireEye: CVE-2016-2060
- Jianqiang Zhao (@jianqiangzhao) e pjf (weibo.com/jfpan) do IceSword Lab, Qihoo 360 Technology Co. Ltd: CVE-2016-2434, CVE-2016-2435, CVE-2016-2436, CVE-2016-2441, CVE-2016-2442, CVE-2016-2444, CVE-2016-2445, CVE-2016-2446
- Imre Rad, da Search-Lab Ltd.: CVE-2016-4477
- Jeremy C. Joslin do Google: CVE-2016-2461
- Kenny Root, do Google: CVE-2016-2462
- Marco Grassi (@marcograss) do KeenLab (@keen_lab), Tencent: CVE-2016-2443
- Michał Bednarski ( https://github.com/michalbednarski): CVE-2016-2440
- Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) e Xuxian Jiang da Equipe C0RE: CVE-2016-2450, CVE-2016-2448, CVE-2016-2449, CVE-2016-2451, CVE-2016-2452
- Peter Pi (@heisecode) da Trend Micro: CVE-2016-2459, CVE-2016-2460
- Weichao Sun (@sunblate) da Alibaba Inc.: CVE-2016-2428, CVE-2016-2429
- Yuan-Tsung Lo, Lubo Zhang, Chiachih Wu (@chiachih_wu) e Xuxian Jiang da Equipe C0RE: CVE-2016-2437
- Yulong Zhang e Tao (Lenx) Wei do Baidu X-Lab: CVE-2016-2439
- Zach Riggle (@ebeip90) da equipe de segurança do Android: CVE-2016-2430
Detalhes da vulnerabilidade de segurança
Nas seções abaixo, fornecemos detalhes sobre cada uma das vulnerabilidades de segurança que se aplicam ao nível do patch 2016-05-01. Há uma descrição do problema, um raciocínio sobre a gravidade e uma tabela com as vulnerabilidades e exposições comuns, o bug associado, a gravidade, os dispositivos Nexus atualizados, as versões do AOSP atualizadas (quando aplicável) e a data de registro. Quando disponível, vamos vincular a mudança do AOSP que resolveu o problema ao ID do bug. Quando várias mudanças se relacionam a um único bug, outras referências do AOSP são vinculadas a números após o ID do bug.
Vulnerabilidade de execução remota de código no Mediaserver
Durante o processamento de arquivos de mídia e dados de um arquivo criado especialmente, uma vulnerabilidade no mediaserver pode permitir que um invasor cause corrupção de memória e execução remota de código como o processo do mediaserver.
A funcionalidade afetada é fornecida como parte principal do sistema operacional e há vários aplicativos que permitem o acesso a ela com conteúdo remoto, principalmente MMS e reprodução de mídia no navegador.
Esse problema é classificado como de gravidade crítica devido à possibilidade de execução remota de código no contexto do serviço do mediaserver. O serviço de mediaserver tem acesso a streams de áudio e vídeo, além de privilégios que apps de terceiros normalmente não podem acessar.
| CVE | Bugs do Android | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-2428 | 26751339 | Crítico | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 22 de janeiro de 2016 |
| CVE-2016-2429 | 27211885 | Crítico | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 16 de fevereiro de 2016 |
Vulnerabilidade de elevação de privilégios no depurador
Uma elevação de vulnerabilidade de privilégio no depurador integrado do Android pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do depurador do Android. Esse problema tem gravidade crítica devido à possibilidade de comprometimento permanente local do dispositivo, que pode exigir uma nova atualização do sistema operacional para reparar o dispositivo.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-2430 | 27299236 | Crítico | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 22 de fevereiro de 2016 |
Vulnerabilidade de elevação de privilégios no Qualcomm TrustZone
Uma elevação de vulnerabilidade de privilégio no componente Qualcomm TrustZone pode permitir que um aplicativo malicioso local seguro execute códigos arbitrários no contexto do kernel do TrustZone. Esse problema é classificado como de gravidade crítica devido à possibilidade de comprometimento permanente do dispositivo local, que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.
| CVE | Bugs do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-2431 | 24968809* | Crítico | Nexus 5, Nexus 6, Nexus 7 (2013), Android One | 15 de outubro de 2015 |
| CVE-2016-2432 | 25913059* | Crítico | Nexus 6, Android One | 28 de novembro de 2015 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no driver do Wi-Fi da Qualcomm
Uma elevação de vulnerabilidade de privilégio no driver de Wi-Fi da Qualcomm pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema tem gravidade crítica devido à possibilidade de um escalonamento de privilégios local e execução de código arbitrário, o que pode levar a um comprometimento permanente local do dispositivo, que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.
| CVE | Bugs do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-0569 | 26754117* | Crítico | Nexus 5X, Nexus 7 (2013) | 23 de janeiro de 2016 |
| CVE-2015-0570 | 26764809* | Crítico | Nexus 5X, Nexus 7 (2013) | 25 de janeiro de 2016 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no driver de vídeo da NVIDIA
Uma vulnerabilidade de elevação de privilégio no driver de vídeo da NVIDIA pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Esse problema é classificado como de gravidade crítica devido à possibilidade de comprometimento permanente local do dispositivo, que pode exigir a reinstalação do sistema operacional para reparar o dispositivo.
| CVE | Bugs do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-2434 | 27251090* | Crítico | Nexus 9 | 17 de fevereiro de 2016 |
| CVE-2016-2435 | 27297988* | Crítico | Nexus 9 | 20 de fevereiro de 2016 |
| CVE-2016-2436 | 27299111* | Crítico | Nexus 9 | 22 de fevereiro de 2016 |
| CVE-2016-2437 | 27436822* | Crítico | Nexus 9 | 1º de março de 2016 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Elevação de vulnerabilidade de privilégio no kernel
Uma elevação de vulnerabilidade de privilégio no kernel pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Esse problema é classificado como de gravidade crítica devido à possibilidade de um escalonamento de privilégios local e execução de código arbitrária, levando à possibilidade de um comprometimento permanente local do dispositivo, o que pode exigir uma nova atualização do sistema operacional para reparar o dispositivo. Esse problema foi descrito no Aviso de segurança do Android 2016-03-18.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-1805 | 27275324* | Crítico | Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9 | 19 de fevereiro de 2016 |
* O patch no AOSP está disponível para versões específicas do kernel: 3.14, 3.10 e 3.4.
Vulnerabilidade de execução remota de código no kernel
Uma vulnerabilidade de execução remota de código no subsistema de áudio pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Normalmente, um bug de execução de código do kernel como esse seria classificado como crítico, mas, como ele primeiro exige comprometer um serviço privilegiado para chamar o subsistema de áudio, ele é classificado como de alta gravidade.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-2438 | 26636060* | Alta | Nexus 9 | Interno do Google |
* O patch para esse problema está disponível no Linux upstream.
Vulnerabilidade de divulgação de informações no controlador de tethering da Qualcomm
Uma vulnerabilidade de divulgação de informações no controlador de tethering da Qualcomm pode permitir que um aplicativo malicioso local acesse informações de identificação pessoal sem os privilégios necessários. Essa questão é classificada como de alta gravidade porque pode ser usada para ganhar recursos elevados, como Signature ou SignatureOrSystem de permissões, que não são acessíveis a um aplicativo de terceiros.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-2060 | 27942588* | Alta | Nenhum | 23 de março de 2016 |
* O patch para esse problema não está no AOSP. A atualização precisa estar nos drivers mais recentes dos dispositivos afetados.
Vulnerabilidade de execução remota de código no Bluetooth
Durante o pareamento de um dispositivo Bluetooth, uma vulnerabilidade no Bluetooth pode permitir que um invasor próximo execute códigos arbitrários durante o processo de pareamento. Esse problema é classificado como de alta gravidade devido à possibilidade de execução remota de código durante a inicialização de um dispositivo Bluetooth.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-2439 | 27411268 | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 28 de fevereiro de 2016 |
Vulnerabilidade de elevação de privilégio no Binder
Uma elevação de vulnerabilidade de privilégio no Binder pode permitir que um aplicativo local malicioso execute códigos arbitrários no contexto do processo de outro app. Ao liberar memória, uma vulnerabilidade no Binder pode permitir que um invasor cause a execução de código local. Esse problema tem uma gravidade alta devido à possibilidade de execução de código local durante o processo de memória livre no Binder.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-2440 | 27252896 | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 18 de fevereiro de 2016 |
Vulnerabilidade de elevação de privilégio no driver Buspm da Qualcomm
Uma elevação de vulnerabilidade de privilégio no driver buspm da Qualcomm pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Normalmente, um bug de execução de código do kernel como esse seria classificado como crítico, mas, como ele primeiro exige comprometer um serviço que pode chamar o driver, ele é classificado como de alta gravidade.
| CVE | Bugs do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-2441 | 26354602* | Alta | Nexus 5X, Nexus 6, Nexus 6P | 30 de dezembro de 2015 |
| CVE-2016-2442 | 26494907* | Alta | Nexus 5X, Nexus 6, Nexus 6P | 30 de dezembro de 2015 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no driver MDP da Qualcomm
Uma elevação de vulnerabilidade de privilégio no driver MDP da Qualcomm pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Normalmente, um bug de execução de código do kernel como esse seria classificado como crítico, mas, como ele primeiro exige comprometer um serviço que pode chamar o driver, ele é classificado como de alta gravidade.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-2443 | 26404525* | Alta | Nexus 5, Nexus 7 (2013) | 5 de janeiro de 2016 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no driver do Wi-Fi da Qualcomm
Uma elevação de vulnerabilidade de privilégio no componente Wi-Fi da Qualcomm pode permitir que um aplicativo malicioso local invoque chamadas do sistema, alterando as configurações e o comportamento do dispositivo sem os privilégios necessários. Esse problema é classificado como de alta gravidade porque pode ser usado para conseguir acesso local a recursos elevado, como Signature ou SignatureOrSystem de permissões, que não são acessíveis a um aplicativo de terceiros.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2015-0571 | 26763920* | Alta | Nexus 5X, Nexus 7 (2013) | 25 de janeiro de 2016 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no driver de vídeo da NVIDIA
Uma elevação de vulnerabilidade de privilégio no driver de mídia da NVIDIA pode permitir que um aplicativo malicioso local execute códigos arbitrários no contexto do kernel. Normalmente, um bug de execução de código do kernel como esse seria classificado como crítico, mas, como ele primeiro exige comprometer um serviço de alto privilégio para chamar o driver, ele é classificado como de alta gravidade.
| CVE | Bugs do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-2444 | 27208332* | Alta | Nexus 9 | 16 de fevereiro de 2016 |
| CVE-2016-2445 | 27253079* | Alta | Nexus 9 | 17 de fevereiro de 2016 |
| CVE-2016-2446 | 27441354* | Alta | Nexus 9 | 1º de março de 2016 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no Wi-Fi
Uma vulnerabilidade de elevação de privilégio no Wi-Fi pode permitir que um aplicativo local malicioso execute código arbitrário no contexto de um aplicativo do sistema com privilégios elevados. Esse problema foi classificado como de alta gravidade porque também pode ser usado para ganhar recursos elevados, como Signature ou SignatureOrSystem privilégios de permissões, que não são acessíveis a aplicativos de terceiros.
Observação:o número de CVE foi atualizado, conforme solicitação do MITRE, de CVE-2016-2447 para CVE-2016-4477.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-4477 | 27371366 [2] | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 24 de fevereiro de 2016 |
Vulnerabilidade de elevação de privilégio no Mediaserver
Uma vulnerabilidade de elevação de privilégio no mediaserver pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto de um aplicativo de sistema elevado. Esse problema tem uma gravidade alta porque pode ser usado para acessar recursos elevados, como Signature ou SignatureOrSystem (links em inglês), que não são acessíveis para um aplicativo de terceiros.
| CVE | Bugs do Android | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-2448 | 27533704 | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 7 de março de 2016 |
| CVE-2016-2449 | 27568958 | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 9 de março de 2016 |
| CVE-2016-2450 | 27569635 | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 9 de março de 2016 |
| CVE-2016-2451 | 27597103 | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 10 de março de 2016 |
| CVE-2016-2452 | 27662364 [2] [3] | Alta | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 14 de março de 2016 |
Vulnerabilidade de elevação de privilégio no driver do MediaTek Wi-Fi
Uma elevação de vulnerabilidade de privilégio no driver do Wi-Fi da MediaTek pode permitir que um aplicativo malicioso local execute um código arbitrário no contexto do kernel. Normalmente, um bug de execução de código do kernel como esse seria classificado como crítico, mas, como ele primeiro exige comprometer um serviço que pode chamar o driver, ele é classificado como de alta gravidade.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-2453 | 27549705* | Alta | Android One | 8 de março de 2016 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de negação de serviço remota no codec de hardware da Qualcomm
Durante o processamento de arquivos de mídia e dados de um arquivo especialmente criado, uma vulnerabilidade de negação de serviço remota no codec de vídeo de hardware da Qualcomm pode permitir que um invasor remoto bloqueie o acesso a um dispositivo afetado, causando uma reinicialização. Isso é classificado como de alta gravidade devido à possibilidade de negação de serviço remota.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-2454 | 26221024* | Alta | Nexus 5 | 16 de dezembro de 2015 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no Conscrypt
Uma vulnerabilidade de elevação de privilégio no Conscrypt poderia permitir que um aplicativo local acreditasse que uma mensagem foi autenticada quando não foi. Esse problema é classificado como de gravidade moderada porque requer etapas coordenadas em vários dispositivos.
| CVE | Bugs do Android | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-2461 | 27324690 [2] | Moderada | Todos os Nexus | 6.0, 6.0.1 | Interno do Google |
| CVE-2016-2462 | 27371173 | Moderada | Todos os Nexus | 6.0, 6.0.1 | Interno do Google |
Vulnerabilidade de elevação de privilégio no OpenSSL e BoringSSL
Uma elevação de vulnerabilidade de privilégio no OpenSSL e no BoringSSL pode permitir que um aplicativo malicioso local acesse dados fora dos níveis de permissão. Normalmente, isso seria classificado como alto, mas, como requer uma configuração manual incomum, é classificado como de gravidade moderada.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-0705 | 27449871 | Moderada | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 7 de fevereiro de 2016 |
Vulnerabilidade de elevação de privilégio no driver do MediaTek Wi-Fi
Uma elevação de vulnerabilidade de privilégio no driver de Wi-Fi do MediaTek pode permitir que um aplicativo malicioso local cause uma negação de serviço. Normalmente, um bug de elevação de privilégios como esse seria classificado como Alto, mas, como ele exige a comprometação de um serviço do sistema, é classificado como de gravidade moderada.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-2456 | 27275187* | Moderada | Android One | 19 de fevereiro de 2016 |
* O patch para esse problema não está no AOSP. A atualização está contida nos drivers binários mais recentes para dispositivos Nexus disponíveis no site para desenvolvedores do Google.
Vulnerabilidade de elevação de privilégio no Wi-Fi
Uma vulnerabilidade de elevação de privilégio no Wi-Fi pode permitir que uma conta de visitante modifique as configurações de Wi-Fi que persistem para o usuário principal. Esse problema tem gravidade moderada porque permite o acesso local a recursos perigosos sem permissão.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-2457 | 27411179 | Moderada | Todos os Nexus | 5.0.2, 5.1.1, 6.0, 6.0.1 | 29 de fevereiro de 2016 |
Vulnerabilidade de divulgação de informações no AOSP Mail
Uma vulnerabilidade de divulgação de informações no AOSP Mail poderia permitir que um aplicativo malicioso local tivesse acesso às informações particulares do usuário. Esse problema tem uma gravidade moderada porque pode ser usado para acessar dados indevidamente sem permissão.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-2458 | 27335139 [2] | Moderada | Todos os Nexus | 5.0.2, 5.1.1, 6.0, 6.0.1 | 23 de fevereiro de 2016 |
Vulnerabilidade de divulgação de informações no Mediaserver
Uma vulnerabilidade de divulgação de informações no Mediaserver pode permitir que um aplicativo acesse informações sensíveis. Esse problema tem gravidade moderada porque pode ser usado para acessar dados indevidamente sem permissão.
| CVE | Bugs do Android | Gravidade | Dispositivos Nexus atualizados | Versões atualizadas do AOSP | Data de denúncia |
|---|---|---|---|---|---|
| CVE-2016-2459 | 27556038 | Moderada | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 7 de março de 2016 |
| CVE-2016-2460 | 27555981 | Moderada | Todos os Nexus | 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 | 7 de março de 2016 |
Vulnerabilidade de negação de serviço no kernel
Uma vulnerabilidade de negação de serviço no kernel pode permitir que um aplicativo malicioso local cause a reinicialização de um dispositivo. Esse problema é classificado como de baixa gravidade porque o efeito é uma negação temporária de serviço.
| CVE | Bug do Android | Gravidade | Dispositivos Nexus atualizados | Data de denúncia |
|---|---|---|---|---|
| CVE-2016-0774 | 27721803* | Baixa | Todos os Nexus | 17 de março de 2016 |
* O patch para esse problema está disponível no Linux upstream.
Perguntas e respostas comuns
Esta seção responde a perguntas comuns que podem surgir após a leitura deste boletim.
1. Como determino se meu dispositivo está atualizado para resolver esses problemas?
Os níveis de patch de segurança de 1º de maio de 2016 ou mais recentes resolvem esses problemas. Consulte a documentação do Nexus para instruções sobre como verificar o nível do patch de segurança. Os fabricantes de dispositivos que incluem essas atualizações precisam definir o nível da string de patch como: [ro.build.version.security_patch]:[2016-05-01]
2. Como determinar quais dispositivos Nexus são afetados por cada problema?
Na seção Detalhes da vulnerabilidade de segurança, cada tabela tem uma coluna "Dispositivos Nexus atualizados" que abrange o intervalo de dispositivos Nexus afetados atualizados para cada problema. Essa coluna tem algumas opções:
- Todos os dispositivos Nexus: se um problema afetar todos os dispositivos Nexus, a tabela vai mostrar "Todos os Nexus" na coluna Dispositivos Nexus atualizados. Todos os dispositivos Nexus encapsulam os seguintes dispositivos compatíveis: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player e Pixel C.
- Alguns dispositivos Nexus: se um problema não afetar todos os dispositivos Nexus, os dispositivos Nexus afetados serão listados na coluna Dispositivos Nexus atualizados.
- Nenhum dispositivo Nexus: se nenhum dispositivo Nexus for afetado pelo problema, a tabela vai mostrar "Nenhum" na coluna Dispositivos Nexus atualizados.
3. Por que a CVE-2015-1805 está incluída neste boletim?
A CVE-2015-1805 está incluída neste boletim porque o Aviso de segurança do Android: 2016-03-18 foi publicado muito próximo do lançamento do boletim de abril. Devido ao prazo apertado, os fabricantes de dispositivos tiveram a opção de enviar correções do boletim de segurança do Nexus de abril de 2016, sem a correção do CVE-2015-1805, se eles usaram o nível do patch de segurança de 1º de abril de 2016. Ele foi incluído novamente neste boletim porque precisa ser corrigido para usar o nível de patch de segurança de 1º de maio de 2016.
Revisões
- 2 de maio de 2016: publicação do boletim.
- 4 de maio de 2016:
- O boletim foi revisado para incluir links do AOSP.
- Lista de todos os dispositivos Nexus atualizados para incluir o Nexus Player e o Pixel C.
- CVE-2016-2447 atualizado para CVE-2016-4477, conforme solicitação do MITRE.