Sicherheitsbulletin für Android – Juni 2016

Veröffentlicht am 6. Juni 2016 | Aktualisiert am 8. Juni 2016

Das Android-Sicherheitsbulletin enthält Details zu Sicherheitslücken, die Android-Geräte betreffen. Neben dem Bulletin haben wir ein Sicherheitsupdate für Nexus-Geräte als Over-the-Air-Update (OTA-Update) veröffentlicht. Die Nexus-Firmware-Images wurden auch auf der Google Developers-Website veröffentlicht. Diese Probleme werden durch Sicherheits-Patch-Levels vom 01. Juni 2016 oder höher behoben. Weitere Informationen zum Prüfen des Stands der Sicherheits-Patches finden Sie in der Nexus-Dokumentation.

Partner wurden am 2. Mai 2016 oder früher über die in diesem Bulletin beschriebenen Probleme informiert. Gegebenenfalls wurden Quellcode-Patches für diese Probleme im Repository des Android Open Source Project (AOSP) veröffentlicht.

Das schwerwiegendste Problem ist eine kritische Sicherheitslücke, die die Remote-Codeausführung auf einem betroffenen Gerät über mehrere Methoden wie E-Mail, Web-Browsing und MMS bei der Verarbeitung von Mediendateien ermöglichen könnte. Die Bewertung des Schweregrads basiert auf der Auswirkung, die die Ausnutzung der Sicherheitslücke auf ein betroffenes Gerät haben könnte, vorausgesetzt, die Plattform- und Dienstmitigationen sind zu Entwicklungszwecken deaktiviert oder werden erfolgreich umgangen.

Uns liegen keine Berichte über eine aktive Ausnutzung oder einen Missbrauch dieser neu gemeldeten Probleme durch Kunden vor. Im Abschnitt Maßnahmen zur Risikominimierung für Android- und Google-Dienste finden Sie Details zu den Sicherheitsmechanismen der Android-Plattform und zu Dienstmechanismen wie SafetyNet, die die Sicherheit der Android-Plattform verbessern.

Wir empfehlen allen Kunden, diese Updates auf ihren Geräten zu akzeptieren.

Maßnahmen für Android- und Google-Dienste

Hier finden Sie eine Zusammenfassung der Abhilfemaßnahmen, die von der Android-Sicherheitsplattform und Dienstschutzmaßnahmen wie SafetyNet bereitgestellt werden. Diese Funktionen verringern die Wahrscheinlichkeit, dass Sicherheitslücken auf Android-Geräten erfolgreich ausgenutzt werden können.

  • Die Ausnutzung vieler Probleme auf Android wird durch Verbesserungen in neueren Versionen der Android-Plattform erschwert. Wir empfehlen allen Nutzern, nach Möglichkeit auf die neueste Android-Version zu aktualisieren.
  • Das Android-Sicherheitsteam überwacht mit Verify Apps und SafetyNet aktiv den Missbrauch, um Nutzer vor potenziell schädlichen Apps zu warnen. „Apps überprüfen“ ist auf Geräten mit Google Mobile Services standardmäßig aktiviert. Diese Funktion ist besonders wichtig für Nutzer, die Apps außerhalb von Google Play installieren. Tools zum Rooten von Geräten sind bei Google Play nicht zulässig. Verify Apps warnt Nutzer jedoch, wenn sie versuchen, eine erkannte Root-Anwendung zu installieren – unabhängig davon, woher sie stammt. Außerdem versucht „Apps überprüfen“, bekannte schädliche Anwendungen zu erkennen und die Installation zu blockieren, die eine Sicherheitslücke zur Berechtigungseskalierung ausnutzen. Wenn eine solche Anwendung bereits installiert ist, wird der Nutzer von Verify Apps benachrichtigt und die erkannte Anwendung wird versucht, entfernt zu werden.
  • Die Google Hangouts- und Messenger-Anwendungen geben Medien nicht automatisch an Prozesse wie den Mediaserver weiter.

Danksagungen

Wir möchten uns bei den folgenden Forschern für ihre Beiträge bedanken:

  • Di Shen (@returnsme) von KeenLab (@keen_lab), Tencent: CVE-2016-2468
  • Gal Beniamini (@laginimaineb): CVE-2016-2476
  • Gengjia Chen (@chengjia4574), pjf (weibo.com/jfpan) vom IceSword Lab, Qihoo 360 Technology Co., Ltd.: CVE-2016-2492
  • Hao Chen, Guang Gong und Wenlin Yang vom Mobile Safe Team, Qihoo 360 Technology Co. Ltd.: CVE-2016-2470, CVE-2016-2471, CVE-2016-2472, CVE-2016-2473, CVE-2016-2498
  • Iwo Banas: CVE-2016-2496
  • Jianqiang Zhao(@jianqiangzhao) und pjf (weibo.com/jfpan) vom IceSword Lab, Qihoo 360 Technology Co., Ltd.: CVE-2016-2490, CVE-2016-2491
  • Lee Campbell von Google: CVE-2016-2500
  • Maciej Szawłowski vom Google-Sicherheitsteam: CVE-2016-2474
  • Marco Nelissen und Max Spector von Google: CVE-2016-2487
  • Mark Brand von Google Project Zero: CVE-2016-2494
  • Mingjian Zhou (@Mingjian_Zhou), Chiachih Wu (@chiachih_wu) und Xuxian Jiang vom C0RE-Team: CVE-2016-2477, CVE-2016-2478, CVE-2016-2479, CVE-2016-2480, CVE-2016-2481, CVE-2016-2482, CVE-2016-2483, CVE-2016-2484, CVE-2016-2485, CVE-2016-2486
  • Scott Bauer (@ScottyBauer1): CVE-2016-2066, CVE-2016-2061, CVE-2016-2465, CVE-2016-2469, CVE-2016-2489
  • Vasily Vasilev: CVE-2016-2463
  • Weichao Sun (@sunblate) von Alibaba Inc.: CVE-2016-2495
  • Xiling Gong vom Tencent Security Platform Department: CVE-2016-2499
  • Zach Riggle (@ebeip90) vom Android-Sicherheitsteam: CVE-2016-2493

Details zur Sicherheitslücke

In den folgenden Abschnitten finden Sie Details zu den einzelnen Sicherheitslücken, die für das Patchlevel vom 01.06.2016 gelten. Es gibt eine Beschreibung des Problems, eine Begründung für den Schweregrad und eine Tabelle mit dem CVE, dem zugehörigen Android-Fehler, dem Schweregrad, aktualisierten Nexus-Geräten, aktualisierten AOSP-Versionen (falls zutreffend) und dem Meldedatum. Sobald verfügbar, verknüpfen wir die AOSP-Änderung, mit der das Problem behoben wurde, mit der Fehler-ID. Wenn sich mehrere Änderungen auf einen einzelnen Fehler beziehen, werden zusätzliche AOSP-Referenzen mit den Zahlen verknüpft, die auf die Fehler-ID folgen.

Sicherheitslücke bei der Remote-Codeausführung im Mediaserver

Eine Sicherheitslücke zur Remote-Codeausführung im Mediaserver kann es einem Angreifer ermöglichen, mit einer speziell erstellten Datei bei der Verarbeitung von Mediendateien und Daten eine Speicherbeschädigung zu verursachen. Dieses Problem wird als kritisch eingestuft, da eine Remote-Codeausführung im Kontext des Mediaserver-Prozesses möglich ist. Der Mediaserver-Prozess hat Zugriff auf Audio- und Videostreams sowie auf Berechtigungen, auf die Apps von Drittanbietern normalerweise nicht zugreifen können.

Die betroffene Funktion ist ein zentraler Bestandteil des Betriebssystems und es gibt mehrere Anwendungen, über die sie mit Remote-Inhalten aufgerufen werden kann, insbesondere MMS und die Browserwiedergabe von Medien.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2016-2463 27855419 Kritisch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 25. März 2016

Sicherheitslücken zur Codeausführung per Fernzugriff in libwebm

Sicherheitslücken bei der Remote-Codeausführung mit libwebm können es einem Angreifer ermöglichen, mit einer speziell erstellten Datei bei der Verarbeitung von Mediendateien und Daten Speicherbeschädigungen zu verursachen. Dieses Problem wird als kritisch eingestuft, da eine Remote-Codeausführung im Kontext des Mediaserver-Prozesses möglich ist. Der Mediaserver-Prozess hat Zugriff auf Audio- und Videostreams sowie auf Berechtigungen, auf die Apps von Drittanbietern normalerweise nicht zugreifen können.

Die betroffene Funktion ist ein zentraler Bestandteil des Betriebssystems und es gibt mehrere Anwendungen, über die sie mit Remote-Inhalten aufgerufen werden kann, insbesondere MMS und die Browserwiedergabe von Medien.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2016-2464 23167726 [2] Kritisch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google Intern

Sicherheitslücke zur Rechteausweitung im Qualcomm-Videotreiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Videotreiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da es zu einer dauerhaften lokalen Manipulation des Geräts kommen kann, was zur Reparatur des Geräts möglicherweise ein Neuflashen des Betriebssystems erfordert.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Datum der Meldung
CVE-2016-2465 27407865* Kritisch Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 21. Februar 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke vom Typ „Rechteausweitung“ im Qualcomm-Treiber für Audio

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Soundtreiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da es zu einer dauerhaften lokalen Manipulation des Geräts kommen kann, was zur Reparatur des Geräts möglicherweise ein Neuflashen des Betriebssystems erfordert.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Datum der Meldung
CVE-2016-2466 27947307* Kritisch Nexus 6 27. Februar 2016
CVE-2016-2467 28029010* Kritisch Nexus 5 13. März 2014

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke zur Rechteausweitung im Qualcomm-GPU-Treiber

Eine Sicherheitslücke zur Erhöhung der Berechtigungen im Qualcomm-GPU-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da es zu einer dauerhaften lokalen Manipulation des Geräts kommen kann, was zur Reparatur des Geräts möglicherweise ein Neuflashen des Betriebssystems erfordert.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Datum der Meldung
CVE-2016-2468 27475454* Kritisch Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 2. März 2016
CVE-2016-2062 27364029* Kritisch Nexus 5X, Nexus 6P 6. März 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke zur Rechteausweitung im Qualcomm-WLAN-Treiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Wi‑Fi-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als kritisch eingestuft, da es zu einer dauerhaften lokalen Manipulation des Geräts kommen kann, was zur Reparatur des Geräts möglicherweise ein Neuflashen des Betriebssystems erfordert.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Datum der Meldung
CVE-2016-2474 27424603* Kritisch Nexus 5X Google Intern

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke vom Typ „Rechteausweitung“ im Broadcom-WLAN-Treiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Broadcom-WLAN-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, Systemaufrufe aufzurufen, die die Geräteeinstellungen und das Verhalten ändern, ohne dafür die erforderlichen Berechtigungen zu haben. Dieses Problem wird als „Hoch“ eingestuft, da es dazu verwendet werden kann, lokalen Zugriff auf erweiterte Funktionen zu erhalten.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Datum der Meldung
CVE-2016-2475 26425765* Hoch Nexus 5, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Nexus Player, Pixel C 6. Januar 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke vom Typ „Rechteausweitung“ im Qualcomm-Treiber für Audio

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Soundtreiber könnte es einer schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein Dienst manipuliert werden muss, der den Treiber aufrufen kann.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Datum der Meldung
CVE-2016-2066 26876409* Hoch Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 29. Januar 2016
CVE-2016-2469 27531992* Hoch Nexus 5, Nexus 6, Nexus 6P 4. März 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke im Mediaserver, die eine Rechteausweitung ermöglicht

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Mediaserver kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext einer erhöhten Systemanwendung auszuführen. Dieses Problem hat die Bewertung „Hoch“, da es dazu verwendet werden könnte, lokalen Zugriff auf erweiterte Funktionen wie Signature oder SignatureOrSystem-Berechtigungen zu erhalten, auf die eine Drittanbieteranwendung nicht zugreifen kann.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2016-2476 27207275 [2] [3] [4] Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 11. Februar 2016
CVE-2016-2477 27251096 Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 17. Februar 2016
CVE-2016-2478 27475409 Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 3. März 2016
CVE-2016-2479 27532282 Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 6. März 2016
CVE-2016-2480 27532721 Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 6. März 2016
CVE-2016-2481 27532497 Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 6. März 2016
CVE-2016-2482 27661749 Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 14. März 2016
CVE-2016-2483 27662502 Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 14. März 2016
CVE-2016-2484 27793163 Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 22. März 2016
CVE-2016-2485 27793367 Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 22. März 2016
CVE-2016-2486 27793371 Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 22. März 2016
CVE-2016-2487 27833616 [2] [3] Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 Google Intern

Sicherheitslücke zur Rechteausweitung im Qualcomm-Kameratreiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Kameratreiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein Dienst manipuliert werden muss, der den Treiber aufrufen kann.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Datum der Meldung
CVE-2016-2061 27207747* Hoch Nexus 5X, Nexus 6P 15. Februar 2016
CVE-2016-2488 27600832* Hoch Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013) Google Intern

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke zur Rechteausweitung im Qualcomm-Videotreiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Videotreiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein Dienst manipuliert werden muss, der den Treiber aufrufen kann.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Datum der Meldung
CVE-2016-2489 27407629* Hoch Nexus 5, Nexus 5X, Nexus 6, Nexus 6P 21. Februar 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke im NVIDIA-Kameratherder, die eine Rechteausweitung ermöglicht

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im NVIDIA-Kameratherder könnte es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein Dienst manipuliert werden muss, um den Treiber aufzurufen.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Datum der Meldung
CVE-2016-2490 27533373* Hoch Nexus 9 6. März 2016
CVE-2016-2491 27556408* Hoch Nexus 9 8. März 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke zur Rechteausweitung im Qualcomm-WLAN-Treiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Qualcomm-Wi‑Fi-Treiber könnte es einer schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein Dienst manipuliert werden muss, der den Treiber aufrufen kann.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Datum der Meldung
CVE-2016-2470 27662174* Hoch Nexus 7 (2013) 13. März 2016
CVE-2016-2471 27773913* Hoch Nexus 7 (2013) 19. März 2016
CVE-2016-2472 27776888* Hoch Nexus 7 (2013) 20. März 2016
CVE-2016-2473 27777501* Hoch Nexus 7 (2013) 20. März 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke vom Typ „Rechteausweitung“ im MediaTek-Energieverwaltungstreiber

Eine Erhöhung der Berechtigungen im MediaTek-Treiber für die Energieverwaltung kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst das Gerät manipuliert und die Berechtigung zum Rooten erlangt werden muss, um den Treiber aufzurufen.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Datum der Meldung
CVE-2016-2492 28085410* Hoch Android One 7. April 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke vom Typ „Rechteausweitung“ in der SD-Kartenemulationsschicht

Eine Sicherheitslücke zur Erhöhung von Berechtigungen in der SD-Karten-Userspace-Emulation könnte es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext einer erhöhten Systemanwendung auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da es dazu verwendet werden kann, lokalen Zugriff auf erweiterte Funktionen zu erhalten, z. B. auf Berechtigungen der Signatur oder SignaturOderSystem, auf die eine Drittanbieteranwendung nicht zugreifen kann.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2016-2494 28085658 Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 7. April 2016

Sicherheitslücke vom Typ „Rechteausweitung“ im Broadcom-WLAN-Treiber

Eine Sicherheitslücke zur Erhöhung von Berechtigungen im Broadcom-WLAN-Treiber kann es einer lokalen schädlichen Anwendung ermöglichen, beliebigen Code im Kontext des Kernels auszuführen. Dieses Problem wird als „Hoch“ eingestuft, da zuerst ein Dienst manipuliert werden muss, um den Treiber aufzurufen.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Datum der Meldung
CVE-2016-2493 26571522* Hoch Nexus 5, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus Player, Pixel C Google Intern

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Remote-DoS-Sicherheitslücke im Mediaserver

Eine Remote-Denial-of-Service-Sicherheitslücke im Mediaserver kann es einem Angreifer ermöglichen, mit einer speziell erstellten Datei einen Geräte-Absturz oder -Neustart zu verursachen. Dieses Problem wird aufgrund der Möglichkeit eines Remote-Denial-of-Service als „Hoch“ eingestuft.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2016-2495 28076789 [2] Hoch Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 6. April 2016

Sicherheitslücke vom Typ „Rechteausweitung“ in der Framework-Benutzeroberfläche

Eine Sicherheitslücke in Bezug auf die Rechteausweitung im Berechtigungsdialogfeld der Framework-Benutzeroberfläche könnte es einem Angreifer ermöglichen, auf nicht autorisierte Dateien im privaten Speicher zuzugreifen. Dieses Problem wird als mäßig eingestuft, da es dazu verwendet werden könnte, unberechtigt gefährliche Berechtigungen zu erlangen.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2016-2496 26677796 [2] [3] Moderat Alle Nexus-Geräte 6.0, 6.1 26. Mai 2015

Sicherheitslücke im Qualcomm-WLAN-Treiber, die zur Offenlegung von Informationen führt

Eine Offenlegung von Informationen im Qualcomm-WLAN-Treiber könnte es einer schädlichen lokalen Anwendung ermöglichen, auf Daten außerhalb ihrer Berechtigungsebenen zuzugreifen. Dieses Problem wird als mittel eingestuft, da zuerst ein Dienst manipuliert werden muss, der den Treiber aufrufen kann.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Datum der Meldung
CVE-2016-2498 27777162* Moderat Nexus 7 (2013) 20. März 2016

* Der Patch für dieses Problem ist nicht in AOSP enthalten. Das Update ist in den neuesten Binärtreibern für Nexus-Geräte enthalten, die auf der Google Developer-Website verfügbar sind.

Sicherheitslücke im Mediaserver, die zur Offenlegung von Informationen führt

Eine Sicherheitslücke im Mediaserver, die zur Offenlegung von Informationen führt, könnte es einer Anwendung ermöglichen, auf vertrauliche Daten zuzugreifen. Dieses Problem wird als mäßig eingestuft, da es dazu verwendet werden könnte, ohne Berechtigung auf Daten zuzugreifen.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2016-2499 27855172 Moderat Alle Nexus-Geräte 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1 24. März 2016

Sicherheitslücke im Activity Manager, die zur Offenlegung von Informationen führt

Eine Sicherheitslücke bei der Offenlegung von Informationen in der Activity Manager-Komponente könnte es einer Anwendung ermöglichen, auf vertrauliche Daten zuzugreifen. Dieses Problem wird als mäßig eingestuft, da es dazu verwendet werden könnte, ohne Berechtigung auf Daten zuzugreifen.

CVE Android-Fehler Schweregrad Aktualisierte Nexus-Geräte Aktualisierte AOSP-Versionen Datum der Meldung
CVE-2016-2500 19285814 Moderat Alle Nexus-Geräte 5.0.2, 5.1.1, 6.0, 6.0.1 Google Intern

Häufig gestellte Fragen und Antworten

In diesem Abschnitt werden häufige Fragen zu diesem Bulletin beantwortet.

1. Wie finde ich heraus, ob mein Gerät entsprechend aktualisiert wurde?

Diese Probleme werden durch Sicherheits-Patches vom 01. Juni 2016 oder höher behoben. Eine Anleitung zum Prüfen des Sicherheits-Patch-Levels finden Sie in der Nexus-Dokumentation. Gerätehersteller, die diese Updates einbinden, sollten die Patch-Stringebene auf Folgendes festlegen: [ro.build.version.security_patch]:[2016-06-01]

2. Wie finde ich heraus, welche Nexus-Geräte von den einzelnen Problemen betroffen sind?

Im Abschnitt Details zur Sicherheitslücke enthält jede Tabelle die Spalte „Aktualisierte Nexus-Geräte“, in der die betroffenen Nexus-Geräte aufgeführt sind, die für jedes Problem aktualisiert wurden. Für diese Spalte gibt es einige Optionen:

  • Alle Nexus-Geräte: Wenn ein Problem alle Nexus-Geräte betrifft, wird in der Tabelle in der Spalte Aktualisierte Nexus-Geräte „Alle Nexus“ angezeigt. „Alle Nexus-Geräte“ umfasst die folgenden unterstützten Geräte: Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player und Pixel C.
  • Einige Nexus-Geräte: Wenn ein Problem nicht alle Nexus-Geräte betrifft, sind die betroffenen Nexus-Geräte in der Spalte Aktualisierte Nexus-Geräte aufgeführt.
  • Keine Nexus-Geräte: Wenn das Problem keine Nexus-Geräte betrifft, wird in der Tabelle in der Spalte Aktualisierte Nexus-Geräte „Keines“ angezeigt.

Überarbeitungen

  • 6. Juni 2016: Veröffentlichung des Bulletins.
  • 7. Juni 2016:
    • Das Bulletin wurde überarbeitet und enthält jetzt AOSP-Links.
    • CVE-2016-2496 aus dem Bulletin entfernt.
  • 8. Juni 2016: CVE-2016-2496 wurde dem Bulletin wieder hinzugefügt.